Směrnice NIS2

Předmět: vysoká společná úroveň kybernetické bezpečnosti v Unii. Vyjmenovává, co směrnice ukládá státům: strategii, orgány, opatření pro subjekty, sdílení informací a dohled.

Působnost. Základní pravidlo: druh subjektu podle přílohy I nebo II a velikost alespoň středního podniku. Odstavec 2 pak deset situací, kdy velikost nerozhoduje vůbec.

Dělení na základní a důležité subjekty. Není to míra povinností v oblasti bezpečnosti (ta je stejná), ale míra dohledu a výše pokut. Stát vede seznam a subjekt se do něj registruje.

Přednost odvětvových předpisů. Ukládá-li jiný akt Unie rovnocenná opatření nebo oznamování, použijí se místo NIS2 ta ustanovení, u nichž je rovnocennost dána, včetně odpovídajícího dohledu a vymáhání. Posuzuje se to po částech, ne šmahem: u finančních subjektů je odvětvovým aktem DORA zejména pro řízení rizik IKT, incidenty, testování a související dohled, což z nich nedělá subjekty zcela mimo NIS2.

Minimální harmonizace. Stát smí jít výš. Proto se nikdy nedá vystačit se čtením směrnice: rozhodné je znění tuzemského zákona.

Definice, 41 pojmů. Nejdůležitější jsou incident, kybernetická hrozba, zranitelnost, riziko a poskytovatel řízených bezpečnostních služeb.

Národní strategie kybernetické bezpečnosti. Povinnost státu, ne subjektu. Praktický dopad: z priorit strategie se dá odhadnout, na co se dozor zaměří.

Příslušné orgány a jednotné kontaktní místo. Odpověď na otázku „kdo mě kontroluje". V Česku je to NÚKIB.

Národní rámec řešení kybernetických krizí. Kdo řídí rozsáhlý incident a podle jakého plánu. Subjekt v kritické infrastruktuře bývá jeho součástí.

Týmy CSIRT. Adresát oznámení podle čl. 23 a zároveň místo, odkud přijde technická pomoc. Rozdíl proti dozoru: CSIRT pomáhá, orgán kontroluje.

Požadavky na týmy CSIRT a jejich úkoly. Zahrnují včasné varování, reakci na incidenty a poskytnutí pomoci na žádost dotčeného subjektu.

Koordinované zveřejňování zranitelností a evropská databáze zranitelností. Nálezce může oznámit anonymně, má nárok na pomoc koordinátora a na náležitá následná opatření; koordinátor o lhůtách zveřejnění jedná, ale nestanoví je jednostranně. Obecnou imunitu za způsob získání nálezu článek nedává, ta se odvíjí od konkrétní politiky provozovatele systému. Databázi vede ENISA.

Spolupráce na vnitrostátní úrovni. Orgán, kontaktní místo a CSIRT si vyměňují informace, aby subjekt neoznamoval třikrát totéž na tři místa.

Skupina pro spolupráci. Vydává pokyny, které v praxi určují, jak se čl. 21 vykládá napříč Unií. Odtud přicházejí odvětvové metodiky.

Síť CSIRT. Operativní vrstva: rychlá výměna informací o incidentech s přeshraničním dopadem.

EU-CyCLONe. Krizová vrstva mezi technickou (síť CSIRT) a politickou. Aktivuje se u rozsáhlých incidentů.

Mezinárodní spolupráce. Unie může uzavřít dohody se třetími zeměmi o účasti na skupině pro spolupráci a na sítích.

Zpráva o stavu kybernetické bezpečnosti v Unii. Vydává ji ENISA jednou za dva roky; užitečný podklad pro vlastní analýzu rizik.

Vzájemná hodnocení. Státy si navzájem kontrolují, jak směrnici provádějí. Nepřímý tlak na to, aby dozor nebyl formální.

Odpovědnost vedení. Řídící orgán opatření schvaluje, dohlíží na ně a může nést odpovědnost za porušení. Členové vedení musí absolvovat školení. Nejostřejší ustanovení celé směrnice.

Deset povinných opatření k řízení rizik: analýza rizik, řešení incidentů, kontinuita provozu, bezpečnost dodavatelského řetězce, bezpečný vývoj, hodnocení účinnosti, kybernetická hygiena a školení, kryptografie, personální bezpečnost a řízení přístupu, vícefaktorové ověřování. Přiměřenost se poměřuje rizikem, velikostí a dopadem. U poskytovatelů digitálních služeb je rozvádí prováděcí nařízení (EU) 2024/2690.

Koordinované posouzení rizik kritických dodavatelských řetězců na unijní úrovni. Jeho výsledky musí subjekt zohlednit při hodnocení vlastních dodavatelů.

Oznamovací povinnost. Významný incident: včasné varování do 24 hodin, oznámení do 72 hodin, závěrečná zpráva do jednoho měsíce. Významný je incident, který způsobil nebo může způsobit vážné provozní narušení, finanční ztrátu nebo značnou újmu jiným osobám. Konkrétní prahy pro digitální služby dává prováděcí nařízení (EU) 2024/2690.

Evropské systémy certifikace. Stát může požadovat certifikované produkty a služby jako způsob prokázání souladu s čl. 21.

Tvorba norem. Podpora evropských a mezinárodních norem, ale bez vynucení konkrétní technologie.

Pravomoc a územní působnost. Obvykle stát usazení; u poskytovatelů digitálních služeb ale stát hlavní provozovny, a není-li v Unii, stát, kde působí zástupce.

Registr subjektů. ENISA vede registr poskytovatelů digitálních služeb, kteří o sobě předávají údaje přes svůj členský stát.

Databáze údajů o registraci jmen domén. Registry a registrátoři shromažďují přesné údaje a zpřístupňují je oprávněným žadatelům. Průnik s GDPR je tu nejcitlivější.

Ujednání o sdílení informací o kybernetické bezpečnosti. Dobrovolné, ale státem podporované; sdílet lze i s subjekty mimo působnost směrnice.

Dobrovolné oznamování. Otevřené i tomu, kdo do působnosti nespadá, a pro incidenty, které významné nejsou. Nezakládá dodatečné povinnosti.

Obecné aspekty dohledu. Dozor má být účinný a orgány musí mít pravomoci ke kontrole i k nápravě.

Dohled nad základními subjekty. Kontrola i bez podnětu: inspekce, audity, žádosti o data, a v krajním případě pozastavení osvědčení nebo dočasný zákaz výkonu funkce pro vedení.

Dohled nad důležitými subjekty. Jen následně, tedy až jsou-li důkazy nebo indicie o porušení. Tady je skutečný rozdíl mezi oběma kategoriemi.

Správní pokuty. Základní subjekt nejméně 10 000 000 EUR nebo 2 % celosvětového obratu, důležitý nejméně 7 000 000 EUR nebo 1,4 %, vždy podle toho, co je vyšší. Jde o minimum stropu, který má stát zavést.

Souběh s porušením zabezpečení osobních údajů. Zjistí-li dozor porušení, které je zároveň porušením podle GDPR, informuje dozorový úřad. Za totéž jednání se pokuta podle NIS2 neuloží, uplatní-li se GDPR.

Sankce obecně. Stát stanoví sankce za porušení vnitrostátních opatření; musí být účinné, přiměřené a odrazující.

Vzájemná pomoc. Působí-li subjekt ve více státech, orgány spolupracují a mohou provést společný dozorový úkon.

Výkon přenesené pravomoci. Rámec pro akty, kterými Komise doplňuje směrnici.

Postup projednávání ve výboru. Touto cestou vzniklo prováděcí nařízení (EU) 2024/2690, které pro poskytovatele digitálních služeb rozvádí čl. 21 a upřesňuje prahy podle čl. 23.

Přezkum. Do 17. října 2027 a poté každých 36 měsíců; posuzuje se mimo jiné vhodnost prahu velikosti a rozsah příloh I a II.

Transpoziční lhůta. Státy měly opatření přijmout a zveřejnit do 17. října 2024 a používat je od 18. října 2024. Česko lhůtu nedodrželo, zákon č. 264/2025 Sb. je účinný až od 1. listopadu 2025.

Změna nařízení eIDAS. Ruší se jeho čl. 19 s účinkem od 18. října 2024; bezpečnost poskytovatelů služeb vytvářejících důvěru se řídí NIS2.

Změna kodexu elektronických komunikací. Ruší se čl. 40 a 41 směrnice (EU) 2018/1972; telekomunikace přecházejí pod NIS2.

Zrušení směrnice NIS1. Směrnice (EU) 2016/1148 se ruší s účinkem od 18. října 2024.

Vstup v platnost. Dvacátým dnem po vyhlášení, tedy 16. ledna 2023.

Určení. Směrnice je určena členským státům, ne subjektům. Odsud plyne celý rozdíl proti GDPR, AI Actu a CRA.

Vysoce kritická odvětví, jedenáct položek: energetika, doprava, bankovnictví, infrastruktura finančního trhu, zdravotnictví, pitná voda, odpadní vody, digitální infrastruktura, správa služeb IKT, veřejná správa a vesmír. Subjekt odsud, který překračuje strop středního podniku, je základní.

Další kritická odvětví, sedm položek: poštovní a kurýrní služby, odpadové hospodářství, chemické látky, potraviny, výroba vybraných produktů, poskytovatelé digitálních služeb a výzkum. Subjekt odsud je zpravidla důležitý, ne základní.

Srovnávací tabulka ke zrušené směrnici NIS1. Praktická jen pro toho, kdo pracuje se staršími dokumenty a potřebuje najít, kam se ustanovení přesunulo.