Obsah článku:
- Co je směrnice NIS2 a jak souvisí s novým zákonem o kyberbezpečnosti v ČR?
- Koho se týká nový zákon o kybernetické bezpečnosti podle směrnice NIS2?
- Režimy povinností dle nZKB — vyšší a nižší, jak to s nimi je?
- Povinnosti, které nZKB dle NIS2 přináší nehledě na režim firmy
- Podcast, kde shrnujeme to nejzásadnější o novém kyberzákoně
- Je potřeba mít do roka po účinnosti zavedena úplně všechna opatření?
- Kdy bude účinný nový zákon o kybernetické bezpečnosti podle NIS2?
- Jak se připravit na nový zákon o kybernetické bezpečnosti dle směrnice NIS2?
Co je směrnice NIS2 a jak souvisí s novým zákonem o kyberbezpečnosti v ČR?
Směrnice NIS2 (Network and Information Security Directive 2) je aktualizovaná směrnice EU, která byla v roce 2022 přijata s cílem posílit kybernetickou bezpečnost v členských státech EU.
Do právního řádu ČR budou požadavky směrnice NIS2 implementovány prostřednictvím nového zákona o kybernetické bezpečnosti (nZKB), který nahradí stávající legislativu (ZoKb/VoKB).
Tento proces má na starost NÚKIB (Národní Úřad pro Kybernetickou a Informační Bezpečnost).
Zákon zavádí změny dané směrnicí NIS2 do českého právního řádu s cílem nastavit základní úroveň kyberbezpečnosti pro organizace poskytující klíčové služby pro společnost.
Koho se týká nový zákon o kybernetické bezpečnosti podle směrnice NIS2?
Odhaduje se:
- 6000 – 9000+ firem,
- 22 odvětví ekonomiky (dle nZKB – NIS2 jich pokrývá 18),
- 100+ služeb.
Jde převážně o střední a velké organizace, ale v digitálním odvětví i malé a mikro podniky.
Patří sem i vaše firma? To zjistíte v naší příručce.
Budou 2 režimy povinností — vyšší a nižší — vyšší vždy bere!
Režimy vycházejí ze směrnice NIS2 a pracuje s nimi také nový zákon o kybernetické bezpečnosti.
Určují přísnost a počet opatření, které musíte řešit, ale také třeba to, komu budete hlásit případné incidenty.
Opatření dělíme na organizační (školení, procesy, dokumentace) a technická (firewall, SIEM a tak dále).
Vyšší režim má celkem 25 opatření, nižší 13.
Pokud máte jednu službu v nižším režimu a druhou ve vyšším, pro obě se vždy řídíte vyšším režimem.
Povinnosti, které nZKB dle NIS2 přináší nehledě na režim firmy:
1️⃣ Samoidentifikace — organizace musí sama posoudit, jestli se jí nZKB přímo týká.
2️⃣ Do 31. 12. 2025 zaregistrovat své regulované služby přes portál NÚKIB.
3️⃣ Do 30 dnů od potvrzení registrace NÚKIB pak nahlásit kontaktní údaje (IČO atd).
4️⃣ Stanovit rozsah určením aktiv regulovaných služeb. / Neurčovat ho, ale zavádět opatření na celou firmu (všechna aktiva).
5️⃣ Začít zavádět opatření do 1 roku od doručení rozhodnutí o registraci od NÚKIB.
6️⃣ Hlásit incidenty — vyšší režim hlásí NÚKIBu, nižší Národnímu CERT.
7️⃣ Pokud je to vhodné, informovat své klienty o incidentech a hrozbách.
8️⃣ Hlásit provedení výstrah, varování a protiopatření vydaných NÚKIBem.
A další dvě pro strategicky významné služby (spadá-li sem firma, zjistí to z chystaného nařízení vlády):
〰️ Mechanismus BDŘ = prověřovat bezpečnostně významné dodavatele.
〰️ Zajišťovat dostupnost služby v rozsahu, kvalitě a stanoveném čase z území ČR.
#Tip → Poslechněte si podcast, kde shrnujeme to nejzásadnější o novém kyberzákoně:
Je potřeba mít do roka po účinnosti zavedena úplně všechna opatření?
Ve zkratce řečeno — záleží na kontextu každé firmy.
Pro firmy, které začínají na zelené louce, podle informací od NÚKIB existuje nutné minimum.
Pro vyšší režim, začíná-li se od nuly, je dobré během prvního roku stihnout:
〰️ Zmapovat a evidovat všechna aktiva v rozsahu regulované služby.
〰️ Udělat Business Impact a GAP analýzu.
〰️ Udělat analýzu a plán zvládání rizik.
〰️ Mít prohlášení o aplikovatelnosti a krizový plán.
Zbytek jde dodělat postupně v rámci přehledu bezpečnostních opatření.
Nižší režim má nutné minimum v návrhu vyhlášky pro nižší režim:
§ 4 — Zajišťování minimální úrovně kyberbezpečnosti (odstavec 2 až 6).
§ 5 — Požadavky na vrcholné vedení (= angažování se ve firemní kyberbezpečnosti).
§ 6 — Bezpečnost lidských zdrojů (= školení vedení, manažerů i zaměstnanců).
§ 11 — Řešení kybernetických bezpečnostních incidentů (= posuzovat je a hlásit).
Kdy bude účinný nový zákon o kybernetické bezpečnosti?
nZKB bude účinný 1. listopadu 2025 a pro regulované firmy začnou platit první povinnosti.
Po účinnosti zákona je pro regulované firmy prioritní zaregistrovat se přes portál NÚKIB.
Na to mají čas do 31. prosince 2025. Kdo to nestihne, riskuje porušení legislativy.
Zákon už tedy máme, ale na vyhlášky k němu si ještě chvilku počkáme.
Zatím vyšla první prováděcí vyhláška o portálu NÚKIB. Její právně závazné znění naleznete zde.
Je důvod panikařit?
Není! Důležité je projevit snahu.
I kdyby šlo jen o report z GAP analýzy, kde je naplánováno, kdy a jak budete řešit mezery v souladu a bezpečnostní rizika.
Pamatujte, že kontrola je sekundární povinností státu a sankce až poslední možnost.
NÚKIB není proti vám. Všichni společně stojíme proti kyber zločincům.
Jde zkrátka o přiměřenost, a s tou vám rádi pomůžeme — #UmimeNIS2.
Jak se připravit na nový zákon o kyberbezpečnosti dle NIS2?
Pokud se chystáte připravovat, začněte tzv. samoidentifikací, tím si ověříte, jestli na vás zákon vůbec dopadá.
Pomůže vám s tím naše příručka zde. Případně si také přečtěte další článek, ve kterém detailně radíme, jak si určit, zda nZKB dopadá na vaši firmu.
Pokud ve firmě máte systém řízení bezpečnosti informací podle ISO 27001 či TISAX®, přečtěte si tento článek. Zjistíte, jak standardy pokrývají povinnosti ze zákona.
Pokud na vás zákon dopadá, startovním bodem implementace pro vás bude GAP analýza.
Díky ní zjistíte, co vám chybí ke splnění zákona a kudy k souladu a lepší kyberbezpečnosti přiměřeně možnostem firmy.
Předejdete dvojení práce, papírů i nákladů.
Pro další informace a vývoj ohledně nové právní úpravy zamiřte i na portál NÚKIB, nebo odebírejte náš newsletter a mějte je každý měsíc ve své schránce.
Využité zdroje:
- Portál NÚKIB – sekce s návrhy prováděcích právních předpisů pro nový zákon o kybernetické bezpečnosti
- VeKLEP – Návrh vyhlášky o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností
- VeKLEP – Návrh vyhlášky o bezpečnostních opatřeních poskytovatele regulované služby v režimu nižších povinností
- VeKLEP – Návrh vyhlášky o regulovaných službách
- e‑Sbirka – Vyhláška o Portálu Národního úřadu pro kybernetickou a informační bezpečnost a požadavcích na některé úkony
- VeKLEP – Nařízení vlády o regulovaných službách, které splňují podmínky strategicky významné služby
- VeKLEP – Nařízení vlády o nepominutelných funkcích stanoveného rozsahu
