NIS2 je nová směrnice Evropské unie, která má za cíl posílit kybernetickou bezpečnost organizací poskytujících klíčové služby pro společnost. Zavádí nové povinnosti v oblasti ochrany systémů, hlášení incidentů a řízení rizik, přičemž se zaměřuje na širší spektrum odvětví a podporuje spolupráci mezi státy EU.
Požadavky NIS2 se promítnou do české legislativy prostřednictvím nového zákona o kybernetické bezpečnosti.
-
Zabezpečení systémů a prevence – organizace musí zavést opatření k ochraně svých systémů před kybernetickými útoky, a to napříč novými sektory, jako je zdravotnictví, ICT či vodohospodářství.
-
Hlášení incidentů – organizace musí hlásit kybernetické incidenty do 24 hodin a ve vybraných případech poskytnout zprávu o přijatých opatřeních a dopadech.
-
Řízení rizik – organizace musí řídit rizika nejen ve vlastních systémech, ale i u svých dodavatelů a partnerů, aby zajistily, že splňují bezpečnostní standardy.
-
Větší odpovědnost vedení – vrcholové vedení je odpovědné za zavedení bezpečnostních opatření a dohled nad kybernetickou bezpečností v organizaci.
-
Silnější sankce – nedodržení pravidel může vést k pokutám nebo jiným sankcím, což vyžaduje pravidelné audity a kontroly.
-
Spolupráce a sdílení informací – organizace musí sdílet informace o hrozbách a spolupracovat s národními i evropskými úřady, což vyžaduje efektivní komunikační a koordinační mechanismy.
-
Harmonizace pravidel – organizace musí dodržovat jednotné bezpečnostní standardy napříč EU, což může znamenat úpravu interních procesů.
Směrnice NIS stanovila kybernetická bezpečnostní pravidla pro klíčová odvětví, jako je energetika, doprava či finance. NIS2 rozšiřuje regulaci na další sektory, aby posílila jejich odolnost vůči kybernetickým hrozbám.
Zároveň rozděluje služby na essential (základní) a important (významné), což se v českém právním řádu projeví jako vyšší a nižší režim povinností. Rozdíl mezi nimi spočívá například v rozsahu bezpečnostních opatření, úrovni dohledu a pravidlech hlášení incidentů.
Rozšíření regulovaných odvětví dle NIS2
Přehled regulovaných odvětví dle nového zákona o kybernetické bezpečnosti najdete v rychlém přehledu Koho se týká nový zákon o kybernetické bezpečnosti.
Odvětví regulovaná směrnicí NIS2 se v českém právním řádu mírně liší, protože při jejím zavedení do národní legislativy dochází k úpravám odpovídajícím specifikům českého prostředí. Některé sektory mohou být vymezeny odlišně nebo doplněny o další oblasti, aby regulace lépe odpovídala místním potřebám a legislativním požadavkům.
Evropská unie zavedla novou směrnici NIS2, aby posílila kybernetickou bezpečnost států EU kvůli rostoucímu počtu závažných kybernetických hrozeb. Původní směrnice NIS už neodrážela aktuální technologickou a bezpečnostní situaci, a proto NIS2 přináší:
-
Rozšíření okruhu povinných subjektů – zahrnuje více odvětví a organizací, které jsou klíčové pro fungování společnosti a ekonomiky.
-
Zvýšení standardů bezpečnosti – zavádí přísnější pravidla pro ochranu sítí a informačních systémů.
-
Zlepšení koordinace mezi státy EU – posiluje spolupráci při řešení kybernetických incidentů a zajišťuje jednotný přístup k regulaci napříč Unií.
Cílem NIS2 je posílit odolnost evropské infrastruktury, chránit občany i organizace a minimalizovat dopady kybernetických útoků na společnost a ekonomiku.