Senát schválil nový zákon o kyberbezpečnosti
Kybernetická bezpečnost neovlivňuje jen fungování firem po technické stránce, ale promítá se stále výrazněji i do oblasti předpisů a regulací na národní i nadnárodní úrovni. Pod označením NIS2 tak přichází v legislativní oblasti zásadní norma, které bude mít přímý dopad na tisíce českých firem.
Zákon o kybernetické bezpečnosti, který 11. června 2025 schválil Senát Parlamentu ČR a 26. června podepsal prezident, by měl vstoupit v platnost v nejbližší době a účinnosti nabude pravděpodobně už ve druhé polovině letošního roku. Co tato novinka přináší a koho se evropská směrnice NIS2 a s ní související nový český zákon o kybernetické bezpečnosti týká?
Směrnice Network and Information System Directive 2 (NIS2) je modernizovaná verze původní směrnice NIS z roku 2016, která by měla zejména posílit celoevropskou úroveň kyberbezpečnosti a lépe chránit digitální prostor. Česká republika má jako členský stát EU povinnost tuto směrnici implementovat do svého právního řádu a nový zákon o kybernetické bezpečnosti, který nahradí stávající z roku 2014, bude mít výrazně větší dopad. Zatímco dosavadní český kybernetický zákon se týká přibližně 300 organizací, nová legislativa související s implementovanou směrnicí NIS2 už obsáhne mnohem širší škálu firem – odhaduje se, že se může dotknout šesti až devíti tisíc subjektů napříč různými odvětvími.
V souvislosti s novými předpisy čeká firmy několik změn, zejména nové povinnosti a zvýšená odpovědnost. Pro to, na které firmy se nový zákon o kybernetické bezpečnosti vztahuje, jsou podstatná dvě kritéria: velikost organizace a charakter služeb, které poskytují.
Pokud firma zaměstnává alespoň 50 zaměstnanců nebo má roční obrat či bilanční sumu aktiv přesahující 10 mil. eur, pravděpodobně pod novou regulaci spadá. To platí i v případě, pokud organizace poskytují alespoň jednu z tzv. regulovaných služeb v některém z následujících odvětví, na něž se zákon vztahuje: veřejná správa a výkon veřejné moci, doprava, energetika, digitální infrastruktura a služby, vodní či odpadové hospodářství, zdravotnictví, finanční trh, poštovní a kurýrní služby, výrobní, obranný nebo vesmírný průmysl, potravinářský či chemický průmysl, ale i věda, výzkum a vzdělávání.
Firma, která splňuje uvedené podmínky, se musí ohlásit u Národního úřadu pro kybernetickou a informační bezpečnost (prostřednictvím platformy Portál NÚKIB) a následně se stanoví systém řízení kybernetické bezpečnosti dle rozsahu povinností. Ty se liší podle toho, zda regulovaná služba spadá do vyššího nebo nižšího režimu povinností, což jsou dvě základní kategorie, do nichž nová legislativa regulované subjekty rozděluje. Od tohoto zařazení se odvíjejí konkrétní požadavky, které bude muset pro maximální zajištění kybernetická bezpečnosti firma splnit:
- Pro nižší režim je potřeba zajistit osobu, která bude zodpovědná za řízení kybernetické bezpečnosti.
- Vyšší režim už vyžaduje určit manažera kybernetické bezpečnosti, architekta kybernetické bezpečnosti a auditora kybernetické bezpečnosti.
Podstatné je, že kyberbezpečnost (cyber security) už z pohledu nové legislativy přestává být pouze IT záležitostí a stává se strategickou prioritou celé firmy. Za řízení kybernetické bezpečnosti bude nově plně odpovědné vedení společnosti a povinností managementu bude zajišťovat i zvyšování povědomí zaměstnanců o kybernetických hrozbách a správných bezpečnostních postupech.
K hlavním novinkám v souvislosti se zaváděním směrnice NIS2, resp. aplikací nového zákona o kybernetické bezpečnosti, patří zejména následující požadavky:
- Firmy nově musejí zavést taková bezpečnostní opatření, která zajistí odpovídající úroveň kybernetické bezpečnosti systémů a dat.
- Bude vyžadována přesná identifikace a evidence klíčových aktiv, jako je hardware, software a data. Pro subjekty ve vyšším režimu přibude také povinnost hodnotit rizika.
- Nastupuje rovněž povinnost zohledňovat nároky kybernetické bezpečnosti i u dodavatelů a zavádění adekvátních smluvních a bezpečnostních požadavků.
- V případě kybernetického incidentu bude povinností jej nahlásit příslušným úřadům.
Důležité je, že s novou legislativou přicházejí i tvrdé sankce za nedodržení povinností. Pokuty mohou dosáhnout až 250 mil. Kč, nebo 2 % z celosvětového ročního obratu firmy. Kromě finančních sankcí mohou hrozit i další postihy, jako je pozastavení certifikací nebo výkonu řídicích funkcí vrcholného managementu. Pro firmy to tedy rozhodně není dobrá zpráva, protože přísnější požadavky, resp. sankce za jejich nedodržení, mohou být v extrémních případech pro podnik prakticky likvidační. Oficiální kontroly bude provádět NÚKIB, ale i dozorové orgány podle odvětví – např. finanční instituce by měla kontrolovat Česká národní banka.
Petr Mišúr
Foto: Shutterstock, Networking4all
79
