Od vyhlášení nového zákona o kybernetické bezpečnosti uplynul jeden rok a pro většinu organizací již skončila registrační fáze. Nyní začíná období, během kterého musí vybudovat funkční systém řízení kybernetické bezpečnosti. Podle společnosti regfor přitom mnoho firem stále podceňuje skutečný rozsah změn, které česká legislativa přináší.
Nejde jen o převzetí evropské směrnice
Nový český zákon podle odborníků nepředstavuje pouhou transpozici evropské směrnice NIS2. Zavádí vlastní systém kategorizace povinností a vyžaduje, aby organizace identifikovaly regulované služby, stanovily rozsah klíčových aktiv, zavedly řízení rizik, bezpečnostní opatření i procesy pro zvládání incidentů. Kybernetická bezpečnost se tak podle regfor stává součástí celkového řízení organizace, nikoliv pouze technickou disciplínou.
Rozhodující je význam poskytované služby
Jedním ze specifik české legislativy je zaměření na tzv. regulovanou službu. Povinnosti se neodvíjejí pouze od velikosti firmy nebo odvětví, ale také od významu konkrétní poskytované služby a aktiv nezbytných pro její provoz. Organizace jsou současně rozděleny do režimu vyšších a nižších povinností, které určují rozsah bezpečnostních opatření i dokumentace.
Významnou změnu přináší také řízení dodavatelského řetězce. Firmy budou muset při výběru dodavatelů zohledňovat bezpečnostní požadavky, promítat je do smluv a hodnotit související rizika. Podle regfor se tak řízení dodavatelů stane nedílnou součástí bezpečnostní architektury organizace, nikoliv pouze otázkou ceny nebo dostupnosti služeb.
Implementace čeká v několika krocích
Během přechodného období by organizace měly provést analýzu souladu s novou legislativou, navrhnout cílový stav, zavést technická i organizační bezpečnostní opatření, připravit procesy pro hlášení kybernetických incidentů a upravit smlouvy s dodavateli. Součástí implementace jsou například řízení rizik, správa aktiv, školení zaměstnanců, řízení přístupových práv, zálohování nebo příprava na povinné hlášení incidentů vůči NÚKIB.
Za největší problém považují odborníci skutečnost, že mnoho organizací stále přenáší odpovědnost za kybernetickou bezpečnost výhradně na IT oddělení. Nový zákon však klade důraz na aktivní zapojení vrcholového vedení, které má schvalovat bezpečnostní opatření, dohlížet na jejich fungování a nést odpovědnost za řízení rizik.
Podle regfor proto firmy, které budou nové požadavky vnímat pouze jako administrativní povinnost, pravděpodobně nezískají vyšší úroveň bezpečnosti. Naopak organizace, které regulaci využijí jako příležitost ke zlepšení řízení rizik a provozní odolnosti, mohou získat lepší přehled o svých aktivech, dodavatelích i schopnosti reagovat na bezpečnostní incidenty.
Zdroj: regfor
