Režim nižších povinností jednoduše vysvětleno

Co je režim nižších povinností?

Do režimu nižších povinností spadají poskytovatelé regulované služby z odvětví, jako jsou poštovní a kurýrní služby, odpadové hospodářství, výroba chemických látek a obchod s nimi, potravinářství nebo zpracovatelský průmysl. Zákonu o kybernetické bezpečnosti podléhají v plném rozsahu, jejich výpadek však není považován za tak systémově citlivý jako u služeb, pro které platí režim vyšších povinností. Jde o druhý ze dvou režimů a týká se zvlášť velkého počtu středních podniků, které dosud žádnou odvětvovou regulaci kybernetické bezpečnosti neznaly. Směrnice zná subjekty základní a subjekty důležité; český zákon toto dělení nahradil dvěma režimy povinností – nejde přitom o totožné kategorie.

Která odvětví sem patří? (příloha II)

Jádro režimu nižších povinností tvoří odvětví, která směrnice označuje jako „ostatní kritická odvětví“ (příloha II). Kdo v nich působí a dosahuje příslušných prahových hodnot – zpravidla střední organizace od 50 zaměstnanců nebo s obratem 10 milionů EUR –, spadá typicky sem:

• Poštovní a kurýrní služby
• Odpadové hospodářství
• Výroba chemických látek a obchod s nimi
• Výroba, zpracování a distribuce potravin
• Zpracovatelský průmysl / výroba zboží – například zdravotnické prostředky, výpočetní technika, elektronika, stroje, motorová vozidla
• Poskytovatelé digitálních služeb – internetová tržiště, vyhledávače, sociální sítě
• Výzkumné organizace

Stejné jádro povinností, jiný dohled. O zařazení rozhoduje druh regulované služby a odvětví. Výrobce potravin z ostatních kritických odvětví musí zavést tytéž druhy technických a organizačních opatření jako dodavatel energie, jen v užším rozsahu – a kontrola u něj přichází až z konkrétního podnětu, nikoli předem. Odvětví s vysokou kritičností podle přílohy I naopak zpravidla vedou k zařazení do režimu, jímž je režim vyšších povinností, kde je dohled průběžný a rámec pokut vyšší.

Stejné jádro povinností, jiný dohled

Obsahové povinnosti – Řízení rizik, ohlašovací povinnosti v řetězci 24 hodin / 72 hodin / 30 dnů a Řízení a odpovědnost ze strany vedoucích orgánů – se v jádru shodují s vyšším režimem, jen jejich rozsah je užší. Beze změny platí i povinnost ohlásit regulovanou službu úřadu NÚKIB a povinné školení vedení. Hlavní rozdíl je v dohledu: v nižším režimu úřad postupuje z konkrétního podnětu – tedy až po incidentu nebo při konkrétních indiciích, nikoli průběžnými plánovanými kontrolami. Příslušný orgán zasáhne až tehdy, existuje-li opora pro podezření z pochybení.

Nižší rámec pokut

Nižší je i rámec pokut: až do výše 175 000 000 Kč nebo 1,4 % celosvětového ročního obratu – oproti 250 000 000 Kč nebo 2 % v režimu vyšších povinností. Rozhoduje vždy vyšší z obou částek a jde o horní hranici, nikoli o pevně danou pokutu. I mírnější rámec však umožňuje citelné sankce a odpovědnost vedení za přijatá opatření trvá.

Nepodceňovat

Nižší režim neznamená žádný režim. Technická a organizační opatření je nutné zavést v celém rozsahu, který pro tento režim platí; menší je jen hustota kontroly. Dohled z podnětu svádí některé provozy k domněnce, že opatření lze odkládat, dokud se někdo nepřijde podívat – kdo ale začne s dokumentací, analýzou rizik a nastavením ohlašovacích postupů až po bezpečnostním incidentu, o doklad o řádné prevenci již přišel a riskuje pokutu právě ve chvíli, kdy se úřad na základě podnětu podívá blíž.

Příklad to ukáže. Provozovatel svozu odpadu s 90 zaměstnanci se zařadí do režimu nižších povinností a podá ohlášení regulované služby do 60 dnů ode dne, kdy zákonné podmínky splnil. Zavede analýzu rizik i ohlašovací postup ve stejné logice jako provoz v režimu vyšších povinností, byť v užším rozsahu, a svá opatření pečlivě dokumentuje – nepočítá však s neohlášenými audity, nýbrž s kontrolou až v konkrétním případě.

Další kroky

V režimu nižších povinností je namístě odbavit tyto body:

• Ověřit zařazení: Porovnat odvětví (příloha II) a velikost – sedí režim nižších povinností, nebo přece jen vyšší?
• Podat ohlášení regulované služby: Lhůta činí 60 dnů ode dne, kdy jsou splněny zákonné podmínky; podává se přes portál NÚKIB.
• Nastavit řízení rizik: Zavést technická a organizační opatření a doložitelně je zdokumentovat.
• Nastavit řetězec hlášení: Stanovit postupy pro lhůty 24 hodin / 72 hodin / 30 dnů.
• Zapojit vedení: Absolvovat školení – odpovědnost vedoucích orgánů trvá.

Další zdroj: NÚKIB – průvodce zákonem o kybernetické bezpečnosti