Seriál Regulace podle NIS2

Na možnost zakazovat v důležitých provozech dodavatele z nepřátelských zemí pamatují dva návrhy zákonů. Brusel však preferuje koordinovaný přístup napříč Evropou.

Projednání návrhu kyberbezpečnostního zákona ve Sněmovně vázne. Dva klíčové výbory svá rozhodnutí odsouvají na konec listopadu s nadějí, že se do té doby podaří nalézt kompromis s regulátorem.

Nařízení původně požadovalo oznámit kybernetický incident do jedné hodiny i v noci nebo o víkendu. Nově bude stačit hlášení až v poledne dalšího pracovního dne.

Už za tři roky začne platit evropské nařízení, které výrobcům produktů s digitálními prvky stanoví povinnost hlídat jejich odolnost proti zranitelnostem a poskytovat bezpečnostní aktualizace alespoň po dobu pěti let.

V tuzemsku si o tom regulované subjekty v režimu nižších povinností rozhodují samy. Naopak v přísnějším režimu mají hlásit i ty nevýznamné.

Pomoci s plánováním nákladů může i jednoduchá tabulka se srovnáním stávajícího stavu a budoucích požadavků.

Kvůli tomu mohou pod regulaci nakonec spadnout i střední a velké firmy poskytující své aplikace s využitím některého z cloudových řešení.

Bezpečnost dodavatelského řetězce označili operátoři za bolavé místo celého zákona. Opozici pak vadí i odbyté projednání v Legislativní radě vlády.

Sněmovna začala projednávat nový zákon o kybernetické bezpečnosti. Výhrady k němu mají i koaliční poslanci.

Také v nich se objevuje mechanismus bezpečnosti dodavatelského řetězce. O vyloučení nepohodlných firem bude rozhodovat Ministerstvo vnitra, bez možností efektivní obrany i náhrady škody.

NÚKIB považuje systém celoevropských certifikátů kybernetické bezpečnosti za nedostatečný a dál prosazuje vlastní mechanismus dodavatelského řetězce.

Nedodrželi jste legislativní proces, píší vládní právníci do připomínek. Navrhují projednávání přerušit a meziresortní připomínkové řízení zopakovat.

Zpravodajské služby mají při zajišťování kybernetické bezpečnosti specifické postavení. Monitorují útoky ze zahraničí a mohou provést dokonce aktivní protiúder.

U podniků, které nebudou chtít smlouvu podepsat, si regulátor může vynutit automatizované vyhodnocování kyberbezpečnostních incidentů rozhodnutím.

Slovenská stávající právní úprava počítá s možností omezit nebo zakázat problematickou službu, produkt, proces, nebo rovnou celého dodavatele. Vždy ale se souhlasem vlády.

Interaktivní formulář podle zadaného odvětví poskytované služby a dalších kritérií odhadne, jestli na službu dopadne připravovaná regulace i v jak přísném režimu.

Nově zveřejněná zpráva o hodnocení dopadů regulace vypočítala náklady spojené s kybernetickými útoky, pokud by kyberbezpečnostní zákon nezačal platit.

Úřad odmítal zveřejnit finální stanovisko předsedy Legislativní rady vlády, podle kterého se má regulace kybernetické bezpečnosti upravit.

Zákon o kybernetické bezpečnosti neopouštějí komplikace ani při schvalování ve vládě. Ministři rozhodnutí o týden odložili. Prý je netlačí čas.

Návrh zákona o kybernetické bezpečnosti a doprovodný balíček změnových zákonů ve středu projedná vláda. Evropská komise spustila veřejnou konzultaci prováděcích předpisů.

Běžná praxe, reaguje šéf Legislativní rady vlády, který dal návrhu zelenou.

Pro nadnárodní korporace není sankční doložka v řádu několika stovek tisíc korun nepřekonatelný problém, řekl náměstek regulátora Tomáš Krejčí. Na kybernetickou bezpečnost bude podle jeho odhadu muset stát vynaložit 200 milionů ročně.

Bude možné upustit od správního trestu a podáním odporu proti příkazu s pokutou si pachatel přestupku nově nepohorší.

Dosud měl mít regulátor právo přikázat regulovanému subjektu zveřejnit informace o kyberbezpečnostních problémech. Nově si navrhl pravomoc je i cenzurovat.

Obce a státní instituce nově nebudou zákonem o kybernetické bezpečnosti považovány za podniky. Chrání se tím před regulací startupy, ve kterých by mohly mít majetkovou účast.

Oblast kybernetické bezpečnosti představuje performativní přístup. Regulované subjekty mají vymýšlet vlastní řešení, jak požadavkům zákona dostát.

Terčem útoku se může stát služba využívaná stamiliony lidí, a přesto nespadající pod působnost kyberbezpečnostní směrnice NIS2. Provozovatele tak nejde donutit, aby zranitelnost odstranil.

Směrnice regulující kybernetickou bezpečnost dává konkrétní obrysy neurčitým právním pojmům. Na incidenty je nutné reagovat do 24 hodin, v pracovní dny i ve svátek.

Poskytovatelé více služeb zařazených pod odlišné režimy regulace budou motivováni k tomu své podnikání rozdělit. Jinak pro ně začne platit přísnější metr na všechno.

Evropská směrnice vyžaduje v rámci spravedlivé rovnováhy povinností dvojí metr na subjekty v režimu základní a důležité.