Pravidelní čtenáři seriálu o kybernetické bezpečnosti Regulace podle NIS2 vědí, že základní dělící linka měkčího a přísnějšího režimu regulace povede podle velikosti podniku. Samozřejmě s odchylkami a výjimkami. Obecně tak lze říci, že střední podniky poskytující regulovanou službu budou v režimu nižších povinností (important) a velké podniky v režimu vyšších povinností (essential).
V dnešním díle se podíváme právě na ty výjimky a odchylky, které jsme si doteď nepředstavili. Speciální pozornost pak budeme věnovat registrátorům domén a provozovatelům DNS, protože touto cestou se pod regulaci dostanou i relativně malí hráči na trhu s webhostingem.
ROWAN LEGAL je přední tuzemskou advokátní kanceláří specializující se na právo IT, kybernetickou bezpečnost, telekomunikace, řešení sporů a arbitráží, korporátní a obchodní právo, duševní vlastnictví a hospodářskou soutěž včetně veřejných zakázek. Mezi její klienty patří největší národní a mezinárodní korporace včetně veřejných institucí. V kancelářích v Praze a Brně zaměstnává přes 100 spolupracovníků, z toho více než 90 zkušených právníků pravidelně oceňovaných v tuzemských i mezinárodních oborových žebříčcích.
ROWAN LEGAL, partner seriálu Regulace podle NIS2.
Policie a žalobci měli zůstat mimo regulaci
Začněme tím, koho NIS2 ze své působnosti vylučuje. Explicitně směrnice vyřazuje policii, státní zastupitelství a soudy. Výjimka je definována v ustanovení čl. 2 odst. 7 tak, že „směrnice se nevztahuje na subjekty veřejné správy, které vykonávají činnost v oblasti národní bezpečnosti, veřejné bezpečnosti, obrany nebo vymáhání práva, včetně prevence, vyšetřování, odhalování a stíhání trestných činů“. Je to výjimka z pravidla, že regulace se jinak vztahuje na subjekty veřejné správy, a to na ústřední i regionální úrovni. Tedy regulace naopak bude platit jak pro ministerstva a jiné úřady postavené jim na roveň (ČTÚ, ČOI, ČSÚ a další), tak i úřady s regionální působností, pokud poskytují služby, jejichž narušení by mohlo mít významný dopad do kritických společenských nebo hospodářských činností.
Vedle těchto zmíněných institucí, které by měly být z regulace vyčleněny automaticky, NIS2 v čl. 2 odst. 8 dává možnost osvobodit od povinností i další konkrétní subjekty, nejen ty, které spadají do kategorie veřejné správy, pokud se zabývají veřejnou bezpečností, obranou nebo vymáháním práva, včetně prevence, vyšetřováním, odhalováním a stíháním trestných činů. Jinými slovy to mohou být podpůrné firmy a organizace nikoliv nutně s kulatým razítkem, které pro tyto orgány zajišťují činnosti jinak regulované.
Je zajímavé se podívat, jak se s textem směrnice v tomto ohledu popral Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB). Ten to vidí opět trochu jinak. V návrhu vyhlášky o regulovaných službách dokonce mezi subjekty s tvrdší regulací řadí jak státní zastupitelství, tak policejní prezidium i orgány soudní moci. Tedy instituce, u které směrnice ani nedává členským státům na výběr a rovnou je ze své působnosti vyškrtává.
Kde velikost podniku nehraje roli
Otočme to a podívejme se na to, koho směrnice pod regulaci stáhne, ať už je jeho velikost jakákoliv. Bez nadsázky se dá mluvit o tom, že v některých specifických případech může do režimu vyšších povinností spadnout i živnostník. Vezmeme-li to opět podle kategorie poskytovaných služeb, tak bez ohledu na velikost regulace dopadne na poskytovatele veřejné sítě elektronických komunikací nebo veřejně dostupných služeb elektronických komunikací, na poskytovatele služeb vytvářejících důvěru a registrátory domén nejvyšší úrovně a provozovatele DNS.
První vymezení se týká operátorů a dalších poskytovatelů připojení k internetu. Podmínka, že musí jít o veřejnou síť nebo veřejně dostupnou službu elektronických komunikací, vylučuje různé účelové projekty a uzavřené sítě, včetně těch komunitních. Budou sem ale patřit lokální internetoví provideři, i ti nejmenší, to znamená podnikatelé se živnostenským listem či malá eseróčka, wifináři s přípojkami v několika vesnicích. Že to NÚKIB s regulací všech těchto subjektů myslí vážně, je patrné z návrhu regulační vyhlášky. Pod bodem 16.2 přílohy tohoto předpisu nalezneme rozdělení na režim přísnějších a mírnějších povinností následovně: mezi přísněji kontrolované budou patřit v tomto oboru velké a střední podniky bez dalšího, dále operátoři s nejméně 350 tisíci aktivními SIMkami na tuzemském maloobchodním trhu nebo provideři s nejméně 100 tisíci aktivními internetovými přípojkami na našem území. A do režimu nižších povinností spadnou všechny malé nebo mikropodniky, tedy i ten nejmenší živnostník oznámený ČTÚ jako podnikatel v elektronických komunikacích.
Co se týče poskytovatelů služeb vytvářejících důvěru, zde je otázka zajištění kyberbezpečnosti zcela namístě. Veskrze půjde o certifikační autority, vydavatele kvalifikovaných certifikátů, časových razítek a podobných služeb, tedy prostředků, s jejichž využitím můžete bez jakéhokoliv přehánění přijít o střechu nad hlavou. Na tyto subjekty už stávající legislativa oprávněně klade velmi vysoké nároky a nejinak tomu bude i za rok v říjnu, po předpokládané transpozici NIS2. Poskytovatelé těchto služeb budou automaticky zařazeni do režimu vyšších povinností.
Webhostingy a registrátoři domén
A zbývají nám registrátoři domén a provozovatelé DNS. Aby nedošlo k mýlce, je potřeba upozornit, že podle regulační vyhlášky se má jednat o registrátory domén nejvyšší úrovně (TLD). Tedy půjde o registrátory národních domén (v ČR pouze sdružení CZ.NIC), generické domény (ty nejsou v evropské jurisdikci) a firemní generické TLD, pokud budou spravovány v zemích EU. Typově půjde o domény .bmw, .eurovision a další. Tyto registry bez výjimky skončí v režimu vyšších povinností.
Registrátoři, jak je chápeme my, co pravidelně každý rok platíme registrační poplatek za delegaci domény druhého řádu, jsou z této kategorie vyloučeni. Mohou se ale najít v jiné samostatné kategorii, v níž často skončí spolu s provozovateli webhostingu. V regulační vyhlášce se jedná o položku 16.4 označenou jako „Poskytování služeb systému překladu jmen domén (DNS)“.
Už ve veřejné konzultaci vzbudila tato úprava značnou kontroverzi svým striktním nastavením. Do režimu přísnější regulace totiž řadí provozovatele autoritativního DNS, kteří poskytují buď správu, nebo hosting více než 10 tisícům domén druhého řádu. Co pod tím číst a v jakém detailu je ukryt ďábel? Vezměme za příklad registrátora domén, který bude spravovat 30 tisíc domén, ale nebude mít vlastní autoritativní DNS server. DNS záznamy si tak jeho zákazníci budou muset nechat vést jinde, typicky u firmy, která jim bude poskytovat webhosting. Takový registrátor se regulaci podle kybernetického zákona zcela vyhne. Kdežto webhosting, jehož součástí přirozeně správa DNS serveru a vedení záznamů je, který bude ze svých serverů obsluhovat 10 001 doménu, pod regulaci spadne, a rovnou pod tu přísnější.
Národní úprava pak zmiňuje v této kategorii ještě jednu samostatnou položku, a to je „aktivní poskytování veřejně dostupné rekurzivní služby pro překlad jmen domén (rekurzivní DNS) koncovým uživatelům internetu“. Pozornému oku neujde, že zatímco u autoritativního DNS je podmínkou prosté poskytování bez jakéhokoliv přívlastku, u rekurzivního musí jít o aktivní poskytování. Ponecháme-li stranou otázku, zda tyto služby je možné poskytovat i pasivně, bude zajisté zajímavé vysvětlení, jaký druh a míra aktivity se očekává, aby definice došla naplnění. I na toto se už zanedlouho zeptáme v podcastu Lupy nejpovolanějšího, tedy jednoho z autorů právní úpravy z NÚKIBu. Těšit se na něj můžete v jednom z příštích dílů seriálu Regulace podle NIS2.
Jestliže jsme začali srovnáním požadavků směrnice s národní úpravou, tak tím i skončíme. NIS2 totiž všechny registrátory domén (nejen těch nejvyšší úrovně) bez ohledu na jejich velikost řadí mezi regulované subjekty (čl. 2 odst. 4 směrnice), stejně jako provozovatele DNS, lhostejno, zda půjde o autoritativní, nebo rekurzivní nameservery. Je tedy přísnější než navrhovaná národní úprava. Je ale třeba mít stále na paměti princip proporcionality, který státům uvolňuje ruce k tomu si některé parametry nastavit odlišně.