Tak, jak se prohlubuje naše závislost na ICT systémech, které nutně potřebujeme ke splnění obecných požadavků na digitalizaci společnosti, tak se stále důležitějším tématem stává ochrana těchto systémů. Profesně pocházím z prostředí soukromé firmy, jejíž oblastí podnikání byla ICT infrastruktura, zejména telekomunikace, ve které jsou otázky kybernetické bezpečnosti brány velmi vážně.
Naopak ve veřejné správě nebývá toto téma považované za nejdůležitější – bezpečnost ICT systémů je drahá a žádné viditelné zlepšení služeb nepřináší. Věci se kolikrát řeší, až když se stane průšvih. Bohužel na úřadech, v nemocnicích, ve školách či podobných organizacích je vůbec docela těžké přesvědčit personál o potřebách školení a dodržování základní kybernetické hygieny. Ačkoliv vidíme postupné zlepšování, příklad napadení ŘSD se škodou v desítkách milionů ukázal, že král je nahý a že stát dobíhají dluhy z minulosti v podobě zanedbání i základních prvků kybernetické ochrany a předcházení škod.
Ruku v ruce s narůstající závislostí na digitálních procesech se vyvíjí i unijní legislativa. Aktuálně platná směrnice NIS, směrnice o bezpečnosti sítí a informací, je prvním celoevropským právním předpisem o kybernetické bezpečnosti a jejím konkrétním cílem bylo dosáhnout vysoké společné úrovně kybernetické bezpečnosti ve všech státech EU. Přestože se zvýšila schopnost členských států reagovat na kybernetické nebezpečí – obecně považujeme evropské nastavení kybernetické ochrany za prvoligové, ukázalo se, že faktické provádění směrnice je obtížné, roztříštěné napříč evropským trhem.
V reakci na rostoucí hrozby spojené s digitalizací a s prudkým nárůstem kybernetických útoků předložila Evropská komise návrh na nahrazení Směrnice NIS novou směrnicí, nazvanou stejně – Network and Information Security Directive 2 (NIS2).
Cílem Komise je posílení bezpečnostních požadavků, řešení bezpečnosti dodavatelských řetězců, zjednodušení oznamovacích povinností, no a v neposlední řadě posílení pravomocí příslušných národních a evropských úřadů odpovědných za prosazování, včetně harmonizovaných sankcí.
Návrh NIS2 byl několik let diskutovaný v různých orgánech Komise, současné znění je již zafixované po jednání trialogu v červnu tohoto roku. Stínovým zpravodajem NIS2 je mimochodem český europoslanec Evžen Tošenovský z ODS (ECR), který se také aktivně zúčastnil projednávání evropského regulačního rámce pro elektronické komunikace.
Co je důležité pro všechny z nás, směrnice NIS2 rozšiřuje záběr regulovaných subjektů a zasahuje do více odvětví, čímž chce v dlouhodobém horizontu zvýšit jejich kybernetickou bezpečnost.
V aktuální, dosud platné Směrnici NIS, jsou vyjmenované dvě skupiny subjektů. Jsou to provozovatelé základních služeb a provozovatelé digitálních služeb. Tyto subjekty mají na základě transpozičních zákonů povinnosti odvětvové, ale také objemové. Regulovaným se tedy stal takový subjekt, který provozuje služby v oblastech:
- energetika (elektřina, ropa, zemní plyn),
- doprava (letecká, železniční, vodní, silniční),
- bankovnictví (úvěrové instituce),
- infrastruktura finančních trhů,
- zdravotnictví (zdravotnická zařízení, včetně nemocnic a soukromých klinik),
- dodávky a rozvody pitné vody (dodavatelé a distributoři),
- digitální infrastruktura (výměnné uzly internetu (IXP), poskytovatelé služeb systému doménových jmen (DNS), registry internetových domén nejvyšší úrovně (TLD)).
Současně ale platí, že musí plnit i kritéria objemu poskytovaných služeb, tzv. dopadová kritéria. Tedy ne každé čerpadlo PHM je základní službou, ne každý operátor poskytující přístup k internetu je základní službou, nikoliv každá ordinace je základní službou. Zažilo se označovat takovou infrastrukturu jako kritickou (KII), podle § 2 krizového zákona č. 240/2000 Sb.
Zpátky ke kybernetické bezpečnosti. V moderní společnosti jsou samozřejmě systémy základních služeb řízené informačním systémem. Systémy, na kterých jsou základní služby závislé, jsou Informační systémy základní služby.
Návrh Směrnice NIS2 regulované oblasti rozšiřuje, a to ve velkém. Mění se i terminologie. Nově jsou subjekty dělené na základní a důležité.
Základní subjekty dle Směrnice NIS rozšiřuje navíc ještě:
- v odvětví energetiky – pododvětví dálkového vytápění a chlazení a také vodíku (provozovatelé výroby, skladování a přepravy vodíku),
- do odvětví zdravotnictví se budou vedle zdravotnických zařízení nově řadit také referenční laboratoře EU, subjekty provádějící výzkum a vývoj léčivých přípravků, subjekty vyrábějící základní farmaceutické výrobky a přípravky a zdravotnické prostředky považované za kritické v případě ohrožení veřejného zdraví),
- vedle odvětví pitné vody se přidává i odvětví odpadní vody,
- do odvětví digitální infrastruktury se nově řadí také poskytovatelé služeb cloud computingu, služeb datových center, sítí pro doručování obsahu, služeb vytvářejících důvěru, veřejných sítí elektronických komunikací, služeb elektronických komunikací (jsou-li jejich služby veřejně dostupné),
- nově se sem řadí také subjekty v odvětví veřejné správy (ústřední subjekty veřejné správy, orgány samosprávy) a vesmíru (pozemní infrastruktury podporující využívání kosmického prostoru).
Důležitými subjekty jsou navržené:
- poštovní a kurýrní služby,
- nakládání s odpady,
- výroba, produkce a distribuce chemických látek,
- výroba, zpracování a distribuce potravin,
- výroba (zdravotnických prostředků a diagnostických zdravotnických prostředků in vitro; počítačů, elektronických a optických přístrojů a zařízení; elektrických zařízení; strojů a zařízení j.n. (tj. strojů a zařízení, které mechanicky nebo tepelně působí na materiály nebo na materiálech provádějí výrobní procesy); motorových vozidel; přívěsů a návěsů a ostatních dopravních prostředků a zařízení),
- digitální služby (poskytovatelé online tržišť, internetových vyhledávačů a platforem služeb sociálních sítí).
Naštěstí se ve vyjednávání podařilo prosadit, že kromě odvětvového kritéria se ve většině případů uplatní také kritérium velikosti subjektů, aby se nová regulace až na výjimky nesmyslně nevztahovala na malé subjekty. Do působnosti směrnice NIS2 tak budou zahrnuty všechny střední a velké podniky ve vybraných odvětvích. Také z pohledu státní správy jde o jasné kritérium – i jejich podniky mají své zaměstnance a obraty, ačkoliv nejsou přímo orgány veřejné správy.
Zpátky k soukromé sféře, k telekomunikacím. Provozovatelé veřejných sítí elektronických komunikací a poskytovatelé veřejně dostupných služeb elektronických komunikací spadají automaticky do režimu směrnice a regulace se jim nevyhne. Nicméně do „důležitější“ kategorie „základní“ (essential) spadnou střední a velké firmy, zatímco malé podniky budou jen v kategorii „důležití“ (important). Velikost podniku bude tak mít význam pro určení síly budoucí regulace. Regulace se samozřejmě bude týkat celého ICT, včetně poskytovatelů obsahu, ale o tom podrobně jindy.
Jaké povinnosti bude muset regulovaný subjekt plnit?
Povinný subjekt bude muset plnit dvě základní kategorie opatření; technické a netechnické. V první řadě je to povinnost přijmout vhodná a přiměřená odpovídající technická a organizační opatření k řízení bezpečnostních rizik. Opatření musí zahrnovat tyto základní aspekty:
- analýzu rizik a politiku bezpečnosti informačních systémů
- řešení incidentů včetně prevence a reakce na ně, opět technické i netechnické kategorie opatření
- řízení kontinuity provozu a krizové řízení; včetně například cvičení přechodu na nedigitální provoz v nouzovém režimu
- zabezpečení dodavatelského řetězce včetně bezpečnostních aspektů týkající se vztahů mezi subjekty, jeho dodavateli či poskytovateli služeb. Opět zde řešíme technické a netechnické aspekty
- zabezpečení pořizování, vývoje a údržby sítě a informačních systémů včetně zveřejňování informací o zranitelnostech a jejich řešení, myšleno především nadřízeným a odpovědným orgánům – v našem případě pravděpodobně NÚKIB nebo CSIRT
- vytvářet politiky a postupy, včetně auditů a penetračních testů s účelem posouzení účelnosti opatření řízení rizik KB
- subjekty budou povinny používat kryptografii a šifrování
Řízení rizik, popsané v článku 18 NIS2, uplatňuje princip tzv. „All-hazard Approach“. AHA zahrnuje ochranu síťových a informačních systémů a také jejich fyzického prostředí před jakoukoliv událostí. Příkladem jsou krádež, požár, povodeň, redundance telekomunikačních tras, výpadky napájení, záškodnictví či sabotérství či jiné nekalé jednání.
V lecčems NIS2 přinese povinnost vytvořit podobná a ještě důkladnější opatření, nežli která jsme zaváděli při účinnosti GDPR. Předpokládáme, že raketově vzroste zájem o certifikaci podle normy ISO 27000. Směrnice přímo hovoří o potřebě být v souladu s mezinárodně uznávanými normami.
Pokud jste dočetli až sem a jste vyděšení, nevěšte hlavu. Opatření mají být přiměřená velikosti subjektu a pravděpodobnosti výskytu incidentů. Pro posuzování a základní audit mají sloužit také profesní a oborové asociace, například Výbor nezávislého ICT průmyslu z.s. Součástí analýz rizik budou také posuzování rizik kritických dodavatelských řetězců. V dalším článku se budeme posuzování důvěryhodnosti dodavatelského řetězce věnovat obšírněji na téma koordinovaného posuzování rizik v EU podle doporučení (EU) 2019/534 a podle souboru opatření pro KB sítí, tzv. EU Toolboxu.
Odpovědnými za provádění opatření budou statutární orgány regulovaných subjektů, které budou nucené pravidelně absolvovat školení. Politika kybernetické bezpečnosti také přinese zvýšené požadavky na lidské zdroje. V podnicích splňujících kritéria vyplývající z NIS2 bude potřebné zavést bezpečnostní role manažer kybernetické bezpečnosti, architekt kybernetické bezpečnosti a auditor kybernetické bezpečnosti (znají regulované subjekty již podle současného znění NIS). Jistěže může být taková role sdílená, přesto bude klást nároky na odborné kapacity ICT expertů.
Pokud proběhne legislativní proces hladce, NIS2 bude vydána někdy do konce roku 2022, podle odhadu autora. Členské státy mají následně 21 měsíců na implementaci směrnice do národního práva. Vtělení NIS2 do českého právního řádu chvíli potrvá, ale už nyní je jasné, kam budou muset odpovědní manažeři v podnicích mířit. Koneckonců splňovat dikci směrnice mohou subjekty i dobrovolně. Ztráta dobrého jména a řešení následků vážného kybernetického útoku jsou zpravidla dražšími, nežli jsou investice do zabezpečení systémů řízení podniků a služeb.
Více se o kybernetické bezpečnosti můžete dozvědět na konferenci Kam kráčí telekomunikační sítě 22. září v Plzni.
ČLÁNKY DO MAILU