Zajímavosti

Příprava nové legislativy, Směrnice NIS2 a požadavky na novou úroveň kybernetické bezpečnosti v EU

Příprava nové legislativy, Směrnice NIS2 a požadavky na novou úroveň kybernetické bezpečnosti v EU
Tento článek je reklamním sdělením

Tak, jak se prohlubuje naše závislost na ICT systémech, které nutně potřebujeme ke splnění obecných požadavků na digitalizaci společnosti, tak se stále důležitějším tématem stává ochrana těchto systémů. Profesně pocházím přímo z prostředí privátní ICT infrastruktury, zejména z telekomunikací, ve které jsou otázky kybernetické bezpečnosti brány velmi vážně.

Naopak ve veřejné správě nebývá toto téma považované za nejdůležitější – bezpečnost ICT systémů je drahá a žádné viditelné zlepšení služeb nepřináší. Naopak, na úřadech, v nemocnicích, ve školách či podobných organizacích je vůbec docela těžké přesvědčit personál o potřebách školení a dodržování základní kybernetické hygieny.

Ruku v ruce s narůstající závislostí na digitálních procesech se tak vyvíjí i unijní legislativa.

Aktuálně platná směrnice NIS, směrnice o bezpečnosti sítí a informací, je prvním celoevropským právním předpisem o kybernetické bezpečnosti a jejím konkrétním cílem bylo dosáhnout vysoké společné úrovně kybernetické bezpečnosti ve všech státech EU. Přestože se zvýšila schopnost členských států – obecně považujeme evropské schopnosti kybernetické ochrany za prvoligové, ukázalo se, že provádění směrnice je obtížné, roztříštěné napříč evropským trhem.

V reakci na rostoucí hrozby spojené s digitalizací a s prudkým nárůstem kybernetických útoků předložila Komise návrh na nahrazení Směrnice NIS novou směrnicí, nazvanou stejně – Network and Information Security Directive 2 (NIS2).

Cílem Komise je posílení bezpečnostních požadavků, řešení bezpečnosti dodavatelských řetězců, zjednodušení oznamovacích povinností, no a v neposlední řadě posílení pravomocí příslušných národních a evropských úřadů odpovědných za prosazování, včetně harmonizovaných sankcí.

Návrh NIS2 byl několik let diskutovaný v různých orgánech Komise, současné znění je již zafixované po jednání Trialogu v červnu tohoto roku. Stínovým zpravodajem NIS2 je mimochodem europoslanec Evžen Tošenovský z ODS (ECR).

Co je důležité pro všechny z nás, navrhované je rozšíření oblasti působení Směrnice NIS2 tím, že fakticky zavazuje více subjektů a odvětví k opatřením, které v dlouhodobém horizontu zvýší jejich vlastní kybernetickou bezpečnost.

V aktuální, dosud platné Směrnici NIS, jsou vyjmenované dvě skupiny subjektů. Jsou to provozovatelé základních služeb a provozovatelé digitálních služeb. Tyto subjekty mají na základě transpozičních zákonů povinnosti odvětvové, ale také objemové. Regulovaným se tedy stal takový subjekt, který provozuje služby v oblastech:

  • energetika (elektřina, ropa, zemní plyn),
  • doprava (letecká, železniční, vodní, silniční),
  • bankovnictví (úvěrové instituce),
  • infrastruktura finančních trhů,
  • zdravotnictví (zdravotnická zařízení, včetně nemocnic a soukromých klinik),
  • dodávky a rozvody pitné vody (dodavatelé a distributoři),
  • digitální infrastruktura (výměnné uzly internetu (IXP), poskytovatelé služeb systému doménových jmen (DNS), registry internetových domén nejvyšší úrovně (TLD).

Avšak musí plnit i kritéria objemu poskytovaných služeb, tzv. dopadová kritéria. Tedy ne každé čerpadlo PHM je základní službou, ne každý operátor poskytující přístup k internetu je základní službou, nikoliv každá ordinace je základní službou.

Zpátky ke kybernetické bezpečnosti. V moderní společnosti jsou samozřejmě systémy základních služeb řízené informačním systémem. Systémy, na kterých jsou základní služby závislé, jsou Informační systémy základní služby.

Návrh Směrnice NIS2 regulované oblasti rozšiřuje, a to ve velkém. Mění se i terminologie. Nově jsou subjekty dělené na základní a důležité.

Základní subjekty dle Směrnice NIS rozšiřuje navíc ještě:

  • v odvětví energetiky – pododvětví dálkového vytápění a chlazení a také vodíku (provozovatelé výroby, skladování a přepravy vodíku),
  • do odvětví zdravotnictví se budou vedle zdravotnických zařízení nově řadit také referenční laboratoře EU, subjekty provádějící výzkum a vývoj léčivých přípravků, subjekty vyrábějící základní farmaceutické výrobky a přípravky a zdravotnické prostředky považované za kritické v případě ohrožení veřejného zdraví),
  • vedle odvětví pitné vody se přidává i odvětví odpadní vody,
  • do odvětví digitální infrastruktury se nově řadí také poskytovatelé služeb cloud computingu, služeb datových center, sítí pro doručování obsahu, služeb vytvářejících důvěru, veřejných sítí elektronických komunikací, služeb elektronických komunikací (jsou-li jejich služby veřejně dostupné),
  • nově se sem řadí také subjekty v odvětví veřejné správy (ústřední subjekty veřejné správy, orgány samosprávy), a vesmíru (pozemní infrastruktury podporující využívání kosmického prostoru).

Důležitými subjekty jsou navržené:

  • poštovní a kurýrní služby,
  • nakládání s odpady,
  • výroba, produkce a distribuce chemických látek,
  • výroba, zpracování a distribuce potravin,
  • výroba (zdravotnických prostředků a diagnostických zdravotnických prostředků in vitro; počítačů, elektronických a optických přístrojů a zařízení; elektrických zařízení; strojů a zařízení j.n. (tj. strojů a zařízení, které mechanicky nebo tepelně působí na materiály nebo na materiálech provádějí výrobní procesy); motorových vozidel; přívěsů a návěsů a ostatních dopravních prostředků a zařízení),
  • digitální služby (poskytovatelé online tržišť, internetových vyhledávačů a platforem služeb sociálních sítí).

Vedle přidání nových odvětví na směrnice NIS2 přidává kritérium velikosti subjektu, z něhož vyplývá, že do působnosti směrnice budou zahrnuty všechny střední a velké podniky ve vybraných odvětvích, na něž se má vztahovat směrnice NIS2. Z pohledu samospráv jde o jasné kritérium – i jejich podniky mají své zaměstnance a obraty.

I menší městské nebo oblastní krajské nemocnice či zdravotní zařízení budou s největší pravděpodobností spadat nově mezi základní subjekty. Nová podoba národní legislativy transponující NIS2 velmi pravděpodobně přinese jasné argumenty ředitelům městských a krajských zařízení, proč se upřímně zabývat všemi oblastmi kybernetické bezpečnosti.

Jaké povinnosti bude muset regulovaný subjekt plnit?

Dvě základní kategorie opatření; technické a netechnické. V první řadě je to povinnost přijmout vhodná a přiměřená odpovídající technická a organizační opatření k řízení bezpečnostních rizik. Opatření musí zahrnovat tyto základní aspekty:

  • analýzu rizik a politiku bezpečnosti informačních systémů
  • řešení incidentů včetně prevence a reakce na ně, opět technické i netechnické kategorie opatření
  • řízení kontinuity provozu a krizové řízení; včetně například cvičení přechodu na nedigitální provoz v nouzovém režimu
  • zabezpečení dodavatelského řetězce včetně bezpečnostních aspektů týkající se vztahů mezi subjekty, jeho dodavateli či poskytovateli služeb. Opět zde řešíme technické a netechnické aspekty
  • zabezpečení pořizování, vývoje a údržby sítě a informačních systémů včetně zveřejňování informací o zranitelnostech a jejich řešení, myšleno především nadřízeným a odpovědným orgánům – v našem případě pravděpodobně NUKIB nebo CSIRT
  • vytvářet politiky a postupy, včetně auditů a penetračních testů s účelem posouzení účelnosti opatření řízení rizik KB
  • subjekty budou povinné používat kryptografii a šifrování

Odpovědnými za provádění opatření budou vedoucí orgány, které budou nucené pravidelně absolvovat školení. Politika kybernetické bezpečnosti také přinese požadavky na lidské zdroje. Ve podnicích splňující kritéria vyplývající z NIS2 bude potřebné zavést bezpečnostní role Manažer kybernetické bezpečnosti, Architekt kybernetické bezpečnosti a auditor kybernetické bezpečnosti.

Jistěže může být taková role sdílená, přesto bude klást nároky na odborné kapacity ICT expertů.

Pokud proběhne legislativní proces hladce, nová Směrnice o síťové a informační bezpečnosti bude vydaná někdy do poloviny roku 2023. Transpozice do českého právního řádu chvíli potrvá, ale už nyní je jasné, kam budou muset odpovědní manažeři v podnicích mířit. Koneckonců splňovat dikci směrnice mohou subjekty i dobrovolně.

Ztráta dobrého jména a řešení následků vážného kybernetického útoku jsou zpravidla dražšími, nežli jsou investice do zabezpečení systémů řízení podniků a služeb.

Směrnicím NIS2 se budeme rozsáhle věnovat na konferenci KKTS Plzeň 2022, která se koná 22. září v prostorách hotelu Parkhotel Plzeň. Budeme rádi, když přijmete naše pozvání na konferenci. Registrovat se můžete zde: REGISTRACE.

Autor článku: Jakub Rejzek, místopředseda Výboru pro digitalizace zastupitelstva Středočeského kraje, prezident Výboru nezávislého ICT průmyslu z.s.

Tento článek je reklamním sdělením

Více z Zajímavosti

První zmrazený člověk: Na lék proti rakovině čeká už 55 let!

Zajímavosti24.11.2022

Ťukni tlapou: Dokážou zvířata ovládat počítače?

Zajímavosti21.11.2022

Velký londýnský smog: Konečně známe jeho příčinu!

Zajímavosti14.11.2022

Nenápadný, ale ostrý mixér slaví 100 let!

Zajímavosti10.11.2022

Les Svastika: Hákový kříž uprostřed lesů

Zajímavosti7.11.2022

Čemu jste celý život věřili, ale není to (tak úplně) pravda

Zajímavosti4.11.2022

V objetí chutí: 4 slavná národní jídla

Zajímavosti3.11.2022

Proč pláčeme při krájení cibule?

Zajímavosti31.10.2022

Nejslavnější uaáá: Jak šel čas se lvími maskoty Hollywoodu

Zajímavosti27.10.2022
Zajímavosti
Časopis, který by vás mohl zajímat

Nenechte si ujít další zajímavé články

Tvoří opatovický poklad  místo zlata knihy?
epochaplus.cz

Tvoří opatovický poklad ...

Existují teorie, že skutečnou podstatou...
Heboučké zachumlání
panidomu.cz

Heboučké zachumlání

Deky, plédy, kožešiny, televizní župany – nic není...
Porsche představuje vstup do virtuálních světů během akce Art Basel v Miami
iluxus.cz

Porsche představuje vstup do...

Společnost Porsche během veletrhu Art Basel...
Stojí lásce v cestě Třeštíkova manželka?
nasehvezdy.cz

Stojí lásce v cestě...

Svůj vztah s TOMÁŠEM...
Pohřeb žehem křesťané dlouho odmítali
epochaplus.cz

Pohřeb žehem křesťané dlouho...

Křesťané spalovat své mrtvé věřící nechtěli. Proč? Součástí...
Dveře MASTER – co kus to originál
rezidenceonline.cz

Dveře MASTER – co kus to...

Jsou synonymem pro nadčasový minimalistický design, tak...
Rigatoni se slaninou
tisicereceptu.cz

Rigatoni se slaninou

Těstoviny se špenátem a slaninou...
Chodsko a Domažlicko: Za krásami zřícenin
epochanacestach.cz

Chodsko a Domažlicko: Za...

Kromě hradů, jejichž jména...
Kdo je tajným milencem krásné Halouzkové?
nasehvezdy.cz

Kdo je tajným milencem...

Krásná rusovlávska Natálie...
Kamarádka má děti s mým manželem
skutecnepribehy.cz

Kamarádka má děti s mým...

Naprostá náhoda odhalila...
Nezvyklý případ slavných lovců duchů: Když manželé Warrenovi pátrali po Bigfootovi
enigmaplus.cz

Nezvyklý případ slavných lovců...

Je to scéna, při které zalapá po dechu i tak...
Czech Space Week – startuje největší tuzemský festival kosmických aktivit
21stoleti.cz

Czech Space Week – startuje...

Za hranice Česka a ještě dál se...