Seriál Regulace podle NIS2

Evropská směrnice vyžaduje v rámci spravedlivé rovnováhy povinností dvojí metr na subjekty v režimu základní a důležité.

Předkladatel zákona o kybernetické bezpečnosti se opakovaně snaží vytvářet dojem, že přerušení projednání návrhu na Legislativní radě vlády není nic neobvyklého. Přitom z předložených materiálů více než polovina prošla hladce.

V případě, že lidé v čele firmy nerespektují uloženou povinnost odstranit zjištěné nedostatky, získá regulátor oprávnění na čas odstranit z funkce je.

Legislativní rada vlády požaduje zásadně přepracovat zhodnocení dopadů nové právní úpravy. Nelíbí se jí ani koncentrace rozhodovací pravomoci u zákazů čínských dodavatelů.

Přestupky proti kyberbezpečnosti nebude možné trestat zjednodušeně příkazem ani od potrestání upustit. Poškození s náhradami škod mají také smůlu.

NÚKIB upozorňuje, že standardní smluvní ujednání vylučují případy mimořádných událostí jako válka nebo přírodní katastrofa.

Hotovo mají pouze Maďarsko a Chorvatsko. Podle šéfa úřadu je to díky tomu, že směrnici NIS2 v podstatě jen přeložily.

Portál NÚKIB vznikl přerodem z „Neveřejného webu“, jeho adresu úřad nikde nezveřejňuje a sám rozhoduje o tom, koho do něj vpustí.

Evropě podle odhadů z Bruselu chybí až půl milionu expertů na kyberbezpečnost. Rozběhly se školicí programy pro nové zájemce.

Jeho základem mají být národní bezpečnostní operační střediska. Počítá se i s využitím umělé inteligence k analýzám hrozeb.

Nesoulad výrobku s požadavky připravovaného nařízení bude důvodem ke stažení spotřebiče z trhu a pokuty jdou do milionů eur.

Na přednášky a semináře ke směrnici NIS2 nemá cenu se zatím spoléhat. Žádné převratné informace nebo novinky stejně nemají, říká zástupkyně státního podniku, který pracuje s vojenským materiálem.

Původně NÚKIB navrhoval pod přísnější regulaci stáhnout operátory s 350 000 aktivními SIM kartami nebo 100 000 internetovými přípojkami. V novém návrhu přesné počty chybí.

NÚKIB v nové verzi návrhu kybernetického zákona slevil z požadavků na reportování všech bezpečnostních incidentů. Ty vzniklé nezáměrně nebudou podléhat oznamovací povinnosti.

Ve vlastním návrhu kyberzákona, důvodové zprávě k němu a zprávě RIA se přitom nic podstatného nezměnilo. Ústupek ministerstev je tak výsledkem povánočního vyjednávání.

Geopolitická rovina má významný vliv na postup států v otázce regulace dodavatelů. „Není špatné to regulovat. Špatné je, jak je to navržené,“ říká právník hájící zájmy Huawei. Uvnitř: ROZHOVOR A PODCAST.

Politické rozhodnutí bude muset padnout hlavně o bezpečnosti dodavatelského řetězce a definici kritické části aktiv. V nich se pohledy úřadů rozcházejí.

Kamenem úrazu je požadavek NÚKIBu na navýšení tabulkových míst pro řešení nové agendy. Správce státní pokladny o tom nechce ani slyšet.

Na kyberbezpečnost by se měly zaměřit i menší firmy, které sice pod regulaci podle NIS2 nespadnou, za následky kybernetického incidentu jim ale hrozí sankce od ÚOOÚ.

Posunutí minimálně o dva týdny může být v procesu přijímání nového zákona o kybernetické bezpečnosti komplikací. Aby začal platit v říjnu, musí Sněmovnou projít do prázdnin.

Správně nastavený log management obvykle jako první upozorní na to, že se v systémech dějí nepravosti.

Teprve z recitálů ke směrnici lze vyčíst, že bezpečnost dodavatelského řetězce je primárně cílena na odstranění čínských komponent z evropských mobilních sítí.

Šest z deseti kybernetických incidentů mají původ uvnitř organizace, zbývající čtyři směřují zvenku.

V současnosti zbývá vypořádat zhruba deset připomínek, kde se pohled NÚKIBu a ministerstev zásadně rozchází. Zákon by v lednu měl jít do vlády.

Záleží na velikosti podniku, počtu poskytovaných služeb, jejich druhu, míře regulace a jestli se otázce bezpečnosti firma věnuje už nyní.

Nezáleží přitom na velikosti podniku. Pod přísnější regulaci se tak může dostat i živnostník poskytující webhosting už 10 tisícům domén.

Styčná síť organizací pro řešení kybernetických krizí bude během rozsáhlých útoků partnerem politikům pro přijímání strategických rozhodnutí na evropské úrovni.

Pravomoci NÚKIBu podle nového kyberzákona významně posílí a přiblíží se režimu nouzového stavu. Proti jeho rozhodnutím nebude možná obrana opravnými prostředky.

Doteď jsme byli zvyklí na to, že NÚKIB přišel za povinnou osobou a regulaci pro ni stanovil. U kritické infrastruktury to bylo opatřením obecné povahy, u provozovatelů základních služeb správním rozhodnutím. To s novým zákonem odpadá. Nastupuje tu princip samostatné identifikace povinných subjektů. Uvnitř: ROZHOVOR a PODCAST.

Nařízení DORA je více detailní než NIS2 a přizpůsobení se jejím požadavkům bude pro finanční instituce nákladnější.