Směrnice NIS2 a nový Zákon o kybernetické bezpečnosti

Evropský regulátor i NÚKIB přikládají stále větší významnost bezpečnosti dodavatelů. Důvodem jsou jak stále častější úspěšné útoky z poslední doby skrze dodavatelský řetězec (jako tomu bylo v případech Solarwinds, Okta, LastPass a mnoho dalších), tak i zvyšující se závislosti v řetězci. V analogii z fyzického světa jsou vidět závislosti v dodavatelském řetězci u dostupnosti a cen energií a pohonných hmot v kontextu války na Ukrajině. Z pohledu kybernetické bezpečnosti mohou tyto vazby na třetí strany být daleko nenápadnější a v určitých ohledech fatálnější (například nedávné zranitelnosti Log4j nebo OpenSSL).

Návrh zákona udává (podobně jako současná právní úprava) povinnost aktivně řídit kyberbezpečnost v rámci výběru svých dodavatelů, kdy pro významné dodavatele stanovuje další povinnosti včetně požadavků na obsah smlouvy s dodavatelem, vyhodnocení implementovaných bezpečnostních opatření dodavatele a návazných rizik, přezkoumávání smluv a pravidelnou kontrolu opatření dodavatele.

Úplnou novinkou v návrhu je začlenění hodnocení NÚKIB do procesu výběru významného dodavatele (platné pro organizace spadající do režimu vyšších povinností). Cílem je zde začlenění a zmírnění závislostí v kontextu strategických a politických zájmů České republiky. NÚKIB v rámci tohoto procesu plánuje vyhodnocovat oblasti, jako jsou země působnosti dodavatele, trestná činnost dodavatele, ekonomická aktivita, jednání zástupců dodavatele a další oblasti podrobněji popsané ve Vyhlášce o kritériích rizikovosti dodavatele.

Pro organizace spadající do režimu vyšších povinností NÚKIB navrhuje požadavky na lokalizaci dat pouze na území České republiky, případně Evropské unie (data se nesmí fyzicky vyskytovat jinde, než na povoleném území). Tento požadavek se vztahuje na případy zpracování dat, které mohou mít za následek incident s významným dopadem (například vede ke zranění více než 2500 osob, vede k finančním ztrátám nad 10 % běžných výdajů ročního rozpočtu povinné osoby a dalším dopadům).

Obdobný požadavek můžeme znát již z GDPR, kde je možné za určitých podmínek zpracovávat osobní údaje pouze na území Evropské unie.

Pokud se tento požadavek dostane do konečného znění zákona, bude to pravděpodobně pro společnosti znamenat významné výdaje na migraci dat ze současných úložišť do České republiky, resp. Evropské unie.

Hlášení kybernetických incidentů NÚKIB, resp. národnímu CERT je zakotveno již v současné právní úpravě. Nově tuto povinnost bude mít větší rozsah společností (v návaznosti na rozšíření rozsahu povinných subjektů popsaných v bodě 1). Povinnost je dále rozšířena také na oznámení incidentu uživatelům služby.

Návrh zákona přitvrzuje v oblasti pokut, které mohou vystoupat až do výše 10 000 000 Eur nebo 2 % z čistého obratu za poslední ukončené účetní období.

Dle záměru NIS2 by měla být zvýšena odpovědnost vrcholového vedení organizace za kyberbezpečnost a dodržování souladu se zákonem. Relativně významná část navrhovaného zákona je věnována právě povinnostem vrcholového vedení, mezi které patří zajištění stanovení bezpečnostní politikya cílů, zajištění dostatečných zdrojů, komunikaci důležitosti bezpečnosti ve společnosti, participace na řízení kybernetických rizik a řada dalších povinností.