Režim vyšších povinností jednoduše vysvětleno

Co je režim vyšších povinností?

Do režimu vyšších povinností spadají poskytovatelé regulované služby v odvětvích s nejvyšší kritičností, jako je energetika, zdravotnictví, zásobování pitnou vodou, bankovnictví, infrastruktura finančního trhu, doprava nebo digitální infrastruktura. Jde o páteř zásobování: pokud takový poskytovatel po kybernetickém útoku vypadne, může to zasáhnout celé dodavatelské řetězce i veřejné služby. Právě proto na ně zákon o kybernetické bezpečnosti klade nejširší povinnosti a přiřazuje jim nejvyšší stupeň dohledu i sankcí. Směrnice zná subjekty základní a subjekty důležité; český zákon toto dělení nahradil dvěma režimy povinností – nejde přitom o totožné kategorie.

Jak se režim určuje

Zařazení se odvíjí od druhu regulované služby, tedy od odvětví, a od velikosti poskytovatele. Do režimu vyšších povinností spadají zpravidla velké organizace v odvětvích, která směrnice označuje jako „odvětví s vysokou kritičností“ (příloha I) – v praxi od 250 zaměstnanců nebo od obratu nad 50 milionů EUR. Přistupují zvláštní případy, například poskytovatelé kvalifikovaných služeb vytvářejících důvěru nebo registry domén nejvyšší úrovně, u nichž na velikosti nezáleží. Poskytovatel má vždy jediný režim pro všechny své regulované služby.

Rozdíl proti režimu nižších povinností

Dělicí čára je ostrá. Protikladem je režim nižších povinností a v režimu vyšších povinností je dohled průběžný – tedy probíhá i bez konkrétního podnětu, například formou kontrol na místě nebo bezpečnostních auditů. Vyšší je i rámec pokut: až do výše 250 000 000 Kč nebo 2 % celosvětového ročního obratu namísto 175 000 000 Kč nebo 1,4 % v nižším režimu. Vedoucí orgány nesou odpovědnost za opatření k řízení kybernetických bezpečnostních rizik a mohou odpovídat i osobně.

Oba režimy v přímém srovnání

Pozor: samotné bezpečnostní povinnosti – řízení rizik, ohlašovací cesty, minimální technická opatření – se v obou režimech z velké části překrývají. Liší se především jejich rozsah a to, jak přísně a jak brzy se úřad dívá.

Povinnosti v praxi

Obsahové povinnosti – Řízení rizik, ohlašovací povinnosti v řetězci 24 hodin / 72 hodin / 30 dnů a Řízení a odpovědnost – se obsahově podobají nižšímu režimu, jejich rozsah je však širší a kontrola přísnější. Představte si regionálního dodavatele energie se 400 zaměstnanci, který musí jednat po ransomwarovém incidentu: má podané ohlášení regulované služby a určené kontaktní místo, významný incident hlásí do 24 hodin, do 72 hodin doplní oznámení s posouzením incidentu a s první analýzou příčin a nejpozději do 30 dnů podá závěrečnou zprávu. Protože spadá do režimu vyšších povinností, musí navíc kdykoli počítat s neohlášenou kontrolou.

Co je třeba udělat?

Spadá Vaše společnost do režimu vyšších povinností? Pak jsou rozhodující především tyto kroky:

• Zdokumentovat vlastní zařazení: Posoudit druh regulované služby, odvětví i velikost a výsledek písemně zaznamenat – odpovědnost za zařazení nese poskytovatel, nikoli NÚKIB.
• Podat ohlášení regulované služby: Ohlášení se podává přes portál NÚKIB do 60 dnů ode dne, kdy jsou splněny zákonné podmínky.
• Nastavit řetězec hlášení: Definovat a s týmem nacvičit postupy pro hlášení do 24 hodin, oznámení do 72 hodin a závěrečnou zprávu do 30 dnů.
• Zapojit vedoucí orgány: Vedení se školí, schvaluje opatření k řízení rizik a dohlíží na jejich zavedení – jinak odpovídá osobně.
• Připravit se na průběžný dohled: Sbírat doklady bez mezer, aby neohlášená kontrola nenarazila na prázdno.

Další zdroj: NÚKIB – průvodce zákonem o kybernetické bezpečnosti