NIS 2. Odpírači kyberbezpečnosti, třeste se

Covid: hackeři útočí na nezabezpečené nemocnice. Ukrajina: ruští hackeři útočí na vše demokratické. Hlášení cen paliv: hackeři zaútočili na aplikaci ministerstva financí. I přesto, bohužel, mnozí význam kyberbezpečnosti podceňují. A právě pro ně tu je z dílny EU nová regulace, kterou se doslova nevyplatí ignorovat.

Ve středu rozsáhlých úprav v oblasti kyberbezpečnosti a digitalizace připravovaných v Evropské unii vynikají zejména tři návrhy právních předpisů. Ty jsou označované zkratkami NIS2, DMA (akt o digitálních trzích) [1], a DSA (akt o digitálních službách) [2] a dle předpokladů se dotknou až tisíců nových subjektů. Je však nutno říct, že nejde o jediné předpisy, které do oblasti kybernetické bezpečnosti mají napříště zasahovat [3]. Tento článek se ale bude věnovat primárně návrhu směrnice NIS2 [4], a to z pohledu dotčených subjektů, na něž má návrh dopadat.

Návrh směrnice NIS2 má za cíl rozšířit oblast působnosti aktuálně platné a účinné směrnice o opatřeních pro vysokou společnou úroveň bezpečnosti sítí a informačních systémů celé EU (směrnice NIS) [5]. NIS2 má NIS přizpůsobit aktuálním potřebám vyplývajícím ze stále rychlejší digitální transformace ve společnosti, neboť úprava vycházející z NIS se dnes jeví jako nedostatečná a nejednotná. Návrh směrnice NIS2 by měl tvořit jednu z částí opatření připravovaných s cílem dosáhnout lepší kybernetické odolnosti a schopnosti reagovat na incidenty v oblasti kybernetické bezpečnosti. Cílem návrhu je také sjednocení přístupu ke kybernetické bezpečnosti napříč členskými státy EU, neboť v současné době existují mezi členskými zeměmi značné rozdíly v přístupu k této problematice. Na české legislativní úrovni se v návaznosti na směrnici NIS2 předpokládá rozšíření působnosti zákona o kybernetické bezpečnosti.

Jaké hlavní změny návrh směrnice NIS2 přináší?

V první řadě jde o rozšíření okruhu subjektů, na něž se má návrh směrnice NIS2 vztahovat, a to tak, aby bylo zajištěno komplexní pokrytí všech odvětví a služeb, které mají zásadní význam pro klíčové společenské a hospodářské činnosti v rámci vnitřního trhu EU.

Dosud se povinnosti dle platné a účinné směrnice NIS vztahují na dvě skupiny subjektů – na tzv. provozovatele základních služeb a poskytovatele digitálních služeb. Tyto subjekty musí ze zákona zavádět fungující systémy kyberbezpečnosti, které mimo jiné zahrnují způsob reakce na kybernetické hrozby nebo řešení nastalých bezpečnostních incidentů. Mezi provozovatele základních služeb se řadí vybrané subjekty z následujících odvětví:

• energetika (elektřina, ropa, zemní plyn),
• doprava (letecká, železniční, vodní, silniční),
• bankovnictví (úvěrové instituce),
• infrastruktura finančních trhů,
• zdravotnictví (zdravotnická zařízení, včetně nemocnic a soukromých klinik),
• dodávky a rozvody pitné vody (dodavatelé a distributoři),
• digitální infrastruktura (výměnné uzly internetu (IXP), poskytovatelé služeb systému doménových jmen (DNS), registry internetových domén nejvyšší úrovně (TLD).