Průvodce implementací NIS2 pro firmy a organizace v ČR

V éře rostoucích digitálních hrozeb přináší Evropská unie aktualizovanou směrnici NIS2, jejímž cílem je významně posílit kybernetickou odolnost napříč členskými státy. V reakci na novou regulaci EU, Česká republika vytváří zcela nový zákon o kybernetické bezpečnosti (dále jen „nZKB“) včetně prováděcích právních předpisů.

Pro firmy v České republice představuje nZKB novou etapu v přístupu k zabezpečení jejich digitálních aktiv a procesů. Komplexní průvodce, vytvořený aliancí All4Cyber, vás provede celým procesem implementace nZKB, od počátečního sebeurčení až po kontinuální zlepšování stavu kybernetické bezpečnosti ve vaší společnosti. Garantem tématu je Petr Samek, spolumajitel české IT společnosti CNS, která je členem aliance All4Cyber.

Úvod do NIS2: Revoluce v evropské kybernetické bezpečnosti

NIS2 představuje revoluční krok v ochraně kritické infrastruktury a důležitých služeb před kybernetickými hrozbami. Oproti své předchůdkyni výrazně rozšiřuje působnost, zavádí přísnější bezpečnostní požadavky a klade důraz na proaktivní přístup k řízení kybernetických rizik. Cílem směrnice je zlepšit odolnost veřejných a soukromých subjektů v oblasti kybernetické bezpečnosti a vytvořit robustní a harmonizovaný rámec kybernetické bezpečnosti napříč EU.

Klíčové aspekty NIS2 zahrnují:

• rozšíření působnosti na více odvětví a subjektů,
• zavedení dvoustupňového systému klasifikace subjektů (základní a důležité),
• posílení schopnosti reagovat na kybernetické incidenty,
• zvýšení odpovědnosti managementu za kybernetickou bezpečnost
• a zpřísnění sankcí za nedodržení směrnice.

Pro firmy v Česku to znamená nutnost důkladně přehodnotit své současné přístupy ke kybernetické bezpečnosti a implementovat komplexní bezpečnostní opatření.

Krok 1: Sebeurčení - Spadáte pod nZKB?

První zásadní krok spočívá v důkladném posouzení, zda vaše organizace spadá do působnosti nZKB.

Regulované subjekty jsou definovány na základě kritérií pro identifikaci regulovaných služeb. Jedná se o subjekty, které poskytují služby např. v odvětvích veřejné správy, výrobního průmyslu, zdravotnictví, energetiky, finančních trhů apod. Tyto subjekty mohou být podrobeny dvěma režimům, tj. vyšší režim pro základní subjekty a nižší režim pro důležité subjekty, které stanovují míru povinností uložených nZKB.

Nový ZKB zavádí sofistikovaná kritéria kombinující sektorovou příslušnost s velikostními parametry.

Středním podnikem jsou takové podniky, které

• zaměstnávají více než 50 osob
• a jejich roční obrat přesahuje 10 milionů EUR,
• nebo roční balanční suma přesahuje 10 milionů EUR.

 Velký podnikem jsou pak takové podniky, které

• zaměstnávají více než 250 osob
• a jejich roční obrat přesahuje 50 milionů EUR,
• nebo roční balanční suma přesahuje 43 milionů EUR.

Při určování velikosti organizace je třeba brát v úvahu tzv. partnerské (dceřiné) či propojené podniky (koncern, holding) a přičíst jejich velikosti. Je také důležité poznamenat, že i menší subjekty mohou spadat pod nZKB, pokud jsou identifikovány jako klíčové pro své odvětví.

Pro efektivní sebeurčení proveďte důkladnou sektorovou analýzu, velikostní posouzení a zvažte kritičnost vašich služeb. V případě nejasností konzultujte s odborníky a pečlivě dokumentujte celý proces sebeurčení.

Krok 2: Detailní analýza současného stavu

Po úspěšném sebeurčení následuje detailní analýza současného stavu kybernetické bezpečnosti ve vaší společnosti. Tento krok je zásadní pro pochopení vaší pozice ve vztahu k požadavkům NIS2 a identifikaci oblastí vyžadujících zlepšení.

Začněte komplexním auditem stávajících bezpečnostních opatření. Ten by měl zahrnovat analýzu síťové architektury, přezkoumání bezpečnostních politik a posouzení stavu nastavených procesů (např. řízení přístupů, řízení patch managementu, řízení incidentů, …), evaluaci bezpečnostních technologií, posouzení bezpečnostního povědomí zaměstnanců a evaluaci procesů reakce na incidenty.

Pomocí analýzy identifikujete kritická místa v zabezpečení společnosti a získáte přehled o aktuálním stavu KB.  Současný stav porovnejte s požadavky nZKB, vypracujte detailní přehled identifikovaných mezer a prioritizujte oblasti pro zlepšení.

Krok 3: Vytvoření implementačního plánu

Na základě výstupu z analýzy by měla být vytvořena strategie implementace, která bude zahrnovat harmonogram úkolů, určení odpovědných osob za jednotlivé úkoly, termíny plnění a výběr vhodných technologií a řešení.

Začněte stanovením jasných a měřitelných cílů pro implementaci nZKB. Definujte krátkodobé, střednědobé a dlouhodobé priority na základě identifikovaných mezer. Zajistěte, aby tyto cíle byly v souladu s celkovou strategií a cíli vaší organizace.

Na implementaci požadavků nZKB je třeba pohlížet jako na projekt. Stanovte odpovědnou osobu za implementaci (projektového manažera), rozdělte projekt do menších, zvládnutel

Více informací

Pro další informace o alianci All4Cyber, jejích službách, řešeních a nadcházejících aktivitách, navštivte www.all4cyber.cz, LinkedIn, X, FCB nebo nás kontaktujte na info@all4cyber.cz.