foto: Pixabay, Public domain
V úterý 30. října proběhl v prostorách Hospodářské komory ČR kulatý stůl věnovaný návrhu zákona o kybernetické bezpečnosti, který předložil Národní úřad pro kybernetickou bezpečnost na základě evropské směrnice NIS 2. Kulatý stůl byl organizován Dopravní sekcí Hospodářské komory v čele s Janem Sechterem.
Národní úřad pro kybernetickou bezpečnost (NÚKIB) vypracoval návrh zákona o kybernetické bezpečnosti, který vychází z evropské směrnice zvané NIS 2 (Network and Information Security 2). Zákon už začala projednávat Poslanecká sněmovna, kde prošel prvním čtením a v současné době je zařazován na program příslušných výborů, v nichž bude v průběhu listopadu prostor pro diskusi o detailech a pro formulaci pozměňovacích návrhů, které v reflexi situace a potřeb dotčených podniků mohou při zachování obecných a nezpochybnitelně důležitých cílů směrnice a zákona přispět k hladšímu zavedení nových pravidel a jejich funkčnosti.
Jan Sechter: Intenzívní komunikace s NÚKIBem je klíčová
Cílem setkání, které svolal předseda Dopravní sekce Jan Sechter bylo především vyslechnout v diskusi se zástupci NÚKIBu vysvětlení některých prvků, především specificky podmínky pro podniky z dopravy a z dopravní infrastruktury. Doprava z velké části patří dle návrhu zákona do kategorie Strategicky významných služeb, jejíž narušení by mohlo mít závažný dopad na bezpečnost České republiky nebo vnitřní pořádek.
Jan Sechter při zahájení zdůraznil, že je důležité s Národním úřadem pro kybernetickou bezpečnost, který se z definice zabývá bezpečnostními otázkami, intenzívně komunikovat a vysvětlovat situaci jednotlivých specifických odvětví kritické infrastruktury, v tomto případě dopravy. Cílem této komunikace mj. je rozšířit spektrum dialogu i mimo nejvíce dotčeného odvětví, kterým jsou telekomunikační společnosti a společnosti obecně se zabývající digitálními technologiemi. Zásadní pro jednotlivé železniční podniky a dopravce je neztratit konkurenční výhody a pozici.
Daniela Kovalčíková: Je obtížné rozeznat, koho se nová pravidla týkají a jak
V úvodu formulovala některé principiální obavy podniků JUDr. Daniela Kovalčíková. Uvedla, že v současné době nejsou podniky podle návrhu zákona o kybernetické bezpečnosti, který má i s přílohami dvě stovky stran a k němuž ještě přibudou prováděcí vyhlášky, postupovat. Nová evropská směrnice je účinná od 18. října a Evropská komise již vydala rozsáhlé prováděcí nařízení, které je přímo účinné a vstupuje v platnost 18. listopadu. Podle Kovalčíkové je velmi obtížné především podle ustanovení návrhu zákona poznat, kterého podniku se nová pravidla týkají a v jaké míře, tj. které budou označené za strategicky významné, a zda se jich budou týkat úplná a přísnější pravidla, nebo zda případně spadají do režimu nižší náročnosti.
Přítomní zástupci NÚKIBu, Jiří Dočekal z oddělení regulace cloud computingu a Patrik Fráňa z oddělení regulace soukromého sektoru, v rámci prezentace uvedli, že nová směrnice především skutečně významně rozšiřuje počet dotčených subjektů a je již orientována prakticky plošně. Implementace v České republice formou přijetí nového zákona o kybernetické bezpečnosti a návazných vyhlášek s ohledem na náročnost legislativního procesu zřejmě proběhne k 1. červenci 2025. Současný zákon je v platnosti od roku 2015 a po bezmála deseti letech by potřeboval aktualizaci i bez evropské směrnice.
NÚKIB: Pravidla mají být performativní
Ve velmi podrobné diskusi s přítomnými zástupci podniků i regulatorních institucí o specifikách situace podniků působících v dopravě zaznělo, že do platnosti nového zákona se pro jednotlivé subjekty nic nemění. Jeho ambicí je podle požadavku směrnice upravit podmínky bezpečnostních opatření v kybernetické oblasti pro přibližně 6000 organizací a regulovat přes 107 služeb ve 22 odvětvích, jako je energetika, zdravotnictví, bankovnictví, doprava, veřejná správa nebo digitální infrastruktura. Hlavním kritériem výběru je přitom velikost podniku podle počtu zaměstnanců nebo finanční situace. Nad rámec požadavků směrnice se nový zákon v České republice má dotknout vybraných subjektů v oblasti letectví, výzkumu a vývoje, obranného průmyslu (vojenský materiál) a vybraných institucí veřejné správa.
Poskytovatelé regulovaných služeb mají být rozděleni do dvou kategorií v režimu nižších a vyšších povinností. Jak zástupci NÚKIBu opakovaně zdůrazňovali, pravidla mají být „performativní“, v gesci dotčených organizací, a podstatný je cíl, kterým je žádoucí stupeň kybernetické bezpečnosti. Zejména v nižším stupni povinností nejde o nic zásadně nového a jednotlivé organizace již v rámci stávajících opatření podstatnou část těchto požadavků splňují. V oblasti bezpečnosti dodavatelských řetězců se budou vyšší povinnosti týkat asi 150 klíčových poskytovatelů strategický významných služeb. NÚKIB na základě hlášení poskytovatele o bezpečnostně významné dodávce ve spolupráci s ministerstvy, tajnými službami a dalšími institucemi posoudí rizika a případně předloží „opatření obecné povahy“ Bezpečnostní radě státu a následně jej vydá.
Rizikem v kybernetické oblasti je špatně napsaná smlouva
Jak bylo zdůrazněno, zákaz týkající se rizikového dodavatele, bude až krajním krokem a mohou mu předejít vhodně zvolená bezpečnostní opatření, která zajistí jak vyhovující míru bezpečnosti, tak nenarušení strategické služby. Jedním z bodů, kterým se v diskusi přítomní věnovali, byla role vlády, a to ve vazbě na případné následné soudní spory s vyřazeným dodavatelem, který by se soudně domáhal odškodnění. Pokud vláda opatření obecné povahy pouze projedná, ale nebude jej explicitně schvalovat, odpovědnost bude o úroveň níže na NÚKIBu a pozice organizací napadených za nedodržení smlouvy bude slabší.
Jak uvedl Jiří Dočekal, v oblasti kybernetické bezpečnosti je druhým největším rizikem po uživateli/lidském faktoru „špatně napsaná smlouva“. V oblasti dopravy by se nová přísnější pravidla měla nicméně týkat jen stavby a provozu infrastruktury. V případě ostatních dotčených půjde o režim nižších povinností, které jsou již dnes prakticky v plném rozsahu nějakou formou organizacemi dodržovány. „Ďábel je ukryt v detailu,“ zaznělo v diskusi, a obecným zájmem všech potenciálně dotčených je, aby zákon i návazné vyhlášky byly srozumitelné a aby se jednotlivé organizace pohybovaly v předvídatelném prostředí.
Mohutná reklamní kampaň slibuje nemožné
Jan Sechter také zmínil mohutnou reklamní kampaň externích společností, které nabízejí ostatním pomoc s orientací v NIS 2 a implementací nových pravidel. S ohledem na to, že zákon je teprve v Poslanecké sněmovně a prováděcí vyhlášky ještě neprošly mezirezortním připomínkovým řízením, a s tím, že evropská směrnice není přímo aplikovatelná, jsou tyto snahy v mnoha případech problematické, zavádějící a nemohou splnit deklarovaný účel. Podle slov zástupců NÚKIBu je opravdu obtížné, aby kdokoli v této fázi zařídil pro klienta implementaci pravidel, jestliže jejich finální podobu dnes nezná ani úřad samotný. Jak zástupci organizací, tak úřadu označili diskusi za velmi přínosnou. Do jaké míry se podaří k oboustranné spokojenosti do návrhu zákona a navazujících vyhlášek vtělit připomínky dotčených podniků, uvidíme v průběhu legislativního procesu, zejména v jednáních příslušných výborů Poslanecké sněmovny.
Jan Sechter po skončení kulatého stolu Security Magazínu řekl: „Svoboda podnikání a odpovědnost podniků za dodavatelské řetězce je klíčovým prvkem konkurenceschopnosti. Je potřebné je racionálně sladit s požadavky na úroveň bezpečnosti a přínosy a náklady poměřovat na pomyslných lékárnických vahách.“
Tagy