Prováděcí nařízení k NIS2 je tady

Co to je?

Evropský předpis, kterým se stanoví speciální pravidla pro zabezpečování informačních systémů u vybraných poskytovatelů regulovaných služeb – tzv. poskytovatelů digitálních služeb.

Tento předpis se uplatní namísto národních požadavků obsažených v zákoně o kybernetické bezpečnosti, avšak pouze v omezené míře a pouze vůči specifické skupině osob.

Kde to najdu?

V Úředním věstníku Evropské unie pod tímto odkazem: https://eur-lex.europa.eu/legal-content/CS/TXT/HTML/?uri=OJ:L_202402690. V angličtině (jazyce, ve kterém bylo nařízení draftováno) je pak k dispozici zde: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=OJ:L_202402690.

Pro koho to je?

Pro poskytovatele vybraných regulovaných služeb v odvětví Digitální infrastruktura a služby: provozovatele DNS, registry domén nejvyšší úrovně, poskytovatele služeb cloud computingu, služeb datových center, sítí pro doručování obsahu, řízených služeb, řízených bezpečnostních služeb, on-line tržišť, internetových vyhledávačů a služeb platforem sociálních sítí a služeb vytvářejících důvěru.

Poskytovatelé jiných služeb se prováděcím nařízením řídit nebudou.

Co je obsahem?

Podrobnosti k bezpečnostním opatřením, která bude potřeba v organizacích poskytovatelů digitálních služeb zavádět. Prováděcí nařízení se svým charakterem podobá současné vyhlášce o kybernetické bezpečnosti nebo navrhovaným vyhláškám o bezpečnostních opatřeních – obsahuje seznam opatření, z nichž si regulovaná osoba vybírá, která jsou pro ni relevantní, přiměřená a vhodná, a která tedy zavede ve své organizaci. Obsahově jsou bezpečnostní opatření založena na mezinárodních standardech (ISO 27 001, NIST), nejedná se tedy o žádnou revoluci na poli zabezpečování informačních systémů, naopak se navazuje na praxí osvědčené postupy.

Podrobnosti k určení, kdy se incident považuje za významný. Prováděcí nařízení specifikuje incidenty, které je potřeba hlásit NÚKIB, resp. Národnímu CERT (tzv. významné incidenty). Seznam kritérií pro identifikaci významného incidentu je konečný, tzn. pokud incident nesplňuje žádné ze stanovených kritérií, není potřeba jej hlásit. Kritéria pro identifikaci významného incidentu jsou rozdělena do dvou kategorií – obecná kritéria společná pro všechny služby a speciální kritéria relevantní pro jednotlivé služby. Incident je potřeba hlásit, pokud splňuje alespoň jedno obecné kritérium nebo alespoň jedno speciální kritérium.

Způsob hlášení incidentů zůstává stejný jako pro všechny ostatní subjekty (Portál NÚKIB, termíny), mění se pouze rozsah hlášených incidentů.

Kdy to bude?

Prováděcí nařízení je publikováno a brzy nabude platnosti. Dokud však nebude přijat nový zákon o kybernetické bezpečnosti, není pro nikoho závazné.

Do kdy musí být splněno?

Lhůty pro zavádění bezpečnostních opatření, stejně jako pro hlášení incidentů, budou stejné jako pro ostatní poskytovatele regulovaných služeb. Poskytovatelé digitálních služeb tedy budou mít rok od registrace digitální služby na to, aby zavedli vhodná a přiměřená bezpečnostní opatření a aby začali hlásit významné kybernetické bezpečnostní incidenty.

Budou k tomu nějaké podpůrné materiály?

Agentura ENISA je pověřena vydat podpůrný materiál k prováděcímu nařízení. NÚKIB počítá s publikací dalších potřebných podpůrných dokumentů a s poskytováním veškeré nezbytné metodické pomoci.

Co když poskytuji i jiné než digitální služby?

Povinnost řídit se pravidly prováděcího nařízení se vztahuje výlučně k regulovaným digitálním službám, nikoli k celé organizaci nebo k dalším regulovaným službám mimo odvětví digitální infrastruktury a služeb. Pokud regulovaná osoba poskytuje více regulovaných služeb, digitální i nedigitální, ve vztahu k digitálním službám se bude řídit pravidly prováděcího nařízení, ve vztahu ke zbylým službám se pak bude řídit standardními pravidly nového zákona o kybernetické bezpečnosti a jeho vyhlášek.

Požadavky nového zákona a prováděcího nařízení se v mnohém shodují (mj. i proto, že v obou případech se vychází z mezinárodních standardů), zabezpečování různých služeb v jedné organizaci by tedy nemělo činit významnější potíže.

Najdu to někde v novém zákoně?

Fungování prováděcího nařízení v kontextu nové regulace kybernetické bezpečnosti řeší § 18 návrhu nového zákona o kybernetické bezpečnosti. Text návrhu zákona je k dispozici zde: https://www.psp.cz/sqw/text/tiskt.sqw?O=9&CT=759&CT1=0.