Směrnice NIS 2
Od 18. října 2024 začne platit nová směrnice EU o kybernetické bezpečnosti – NIS 2. Toto závazné nařízení stanovuje standard pro kybernetickou bezpečnost v celé Evropské unii a nutí podniky z různých odvětví dokumentovat svoji bezpečnostní strategii.
Odpočítávání začíná a podniky jsou vyzývány, aby jednaly.
Let’s get prepared together!
Co je NIS 2?
EU zavedla pro své členské státy přísné předpisy v oblasti kybernetické bezpečnosti prostřednictvím směrnice NIS 2 (Bezpečnost sítí a informací). NIS 2 je nástupcem směrnice NIS, která vstoupila v platnost v roce 2016. Zavedení ucelené bezpečnostní strategie proto již není nutné pouze k ochraně před kybernetickými útoky, nýbrž je vyžadováno také zákonem.
Členské státy musí přijmout opatření potřebná k dosažení shody se směrnicí NIS 2 do 17. října 2024 a začít tato opatření uplatňovat od 18. října 2024.
Jak se liší NIS 1 od NIS 2?
NIS 2 je vylepšenou verzí směrnice NIS z roku 2016, která již měla zajistit vysokou úroveň bezpečnosti sítí a informačních systémů v Unii, avšak vykazovala několik slabých míst.
Nejdůležitější rozdíly mezi NIS 1 a NIS 2 jsou tyto:
-
Nová verze zahrnuje více odvětví a podniků, které jsou nepostradatelné pro společnost a hospodářství, jako např. energetiku, zdravotnictví, dopravu a digitální infrastrukturu.
-
NIS 2 vyžaduje, aby dotčené podniky a organizace zavedly účinný systém řízení rizik a hlásily závažné nebo významné kybernetické incidenty příslušným vnitrostátním orgánům, které pak mohou přijmout potřebná opatření. Směrnice NIS 1 poskytovala pouze obecné pokyny pro bezpečnostní opatření a hlášení incidentů.
-
Nová bezpečnostní směrnice stanoví pro členské státy přísnější sankce, které mohou dosáhnout až 20 milionů eur nebo čtyř procent celkového obratu, pokud dotčené podniky a organizace nezavedou nezbytná bezpečnostní opatření nebo neohlásí závažné či významné kybernetické incidenty příslušným vnitrostátním orgánům. Směrnice NIS 1 ponechávala stanovení sankcí na členských státech, což vedlo k jejich nejednotnému uplatňování.
-
Směrnice NIS 2 zdůrazňuje osobní odpovědnost vedení podniků za kybernetickou bezpečnost a poprvé stanoví, že jednatelé společností ručí svým soukromým majetkem, pokud nedodrží zákonné požadavky.
Koho se to týká?
- října 2024 – datum, do kterého musí všech 27 členských států EU jednotně převzít nařízení o kybernetické bezpečnosti NIS 2 do své národní legislativy. Zůstává však tísnivá otázka: Které podniky jsou povinny směrnici NIS 2 implementovat?
Podstatné organizace: Jedná se o organizace, které působí v oblasti kritické infrastruktury. Patří mezi ně například energetika, doprava, vodní hospodářství, zdravotnictví nebo bankovnictví.
Důležité organizace: Do této kategorie patří přední podniky potravinářského a chemického průmyslu a podniky vyrábějící elektrospotřebiče, stroje a vozidla.
Kromě toho mají členské státy možnost samy rozšířit cílové skupiny, kterých se NIS 2 týká. Do svých národních seznamů mohou přidat další organizace, a zavázat tak místní úřady, vzdělávací instituce a další subjekty k realizaci směrnice.
Jaké jsou stanoveny sankce?
Směrnice NIS 2 je přísně vymáhána, včetně vysokých peněžních sankcí za její nedodržení nebo za nesplnění ohlašovacích povinností. Výše sankcí závisí na kategorizaci jednotlivých podniků.
Podniky klasifikované jako „důležité“ musí zaplatit pokuty ve výši 7 milionů eur nebo maximálně 1,4 % svého celkového ročního obratu za předchozí účetní rok. „Významným podnikům“ hrozí pokuta až do výše 10 milionů eur nebo maximálně 2 % jejich celkového ročního obratu.
Náležitá péče v oblasti kybernetické bezpečnosti je neoddiskutovatelná a vrcholový management má povinnost vést implementaci a monitorování těchto opatření k zajištění kybernetické bezpečnosti.
Co to konkrétně znamená pro vás?
Směrnice NIS 2 je směrnice EU, která vstoupila v platnost 16. ledna 2023 a jejímž cílem je zlepšit úroveň kybernetické bezpečnosti a odolnosti kritické infrastruktury a poskytovatelů digitálních služeb. Směrnice vyžaduje, aby dotčené podniky a organizace zavedly účinný systém řízení rizik a hlásily závažné nebo významné kybernetické incidenty příslušným vnitrostátním orgánům, které pak mohou přijmout nezbytná opatření. Aby se minimalizovaly možné škody na uživatelích, životním prostředí a veřejném pořádku, je cílem včas odhalit bezpečnostní nedostatky a přijmout proti nim preventivní opatření. Aby bylo zajištěno, že všechny zúčastněné strany budou dodržovat stejně vysoké standardy, jsou podniky navíc odpovědné za zajištění bezpečnosti celého dodavatelského řetězce a za předávání požadavků svým obchodním partnerům a dodavatelům. Mezi další opatření patří, mimo jiných:
-
Zavedení vhodných a přiměřených bezpečnostních opatření, která jsou v souladu s platnými normami a osvědčenými postupy, aby byla zajištěna důvěrnost, integrita, dostupnost a pravost jejich dat a služeb.
-
Vytvoření a aktualizace plánu kontinuity provozu, který umožňuje obnovení běžných provozních podmínek po kybernetickém incidentu.
-
Zabránění neoprávněnému přístupu zavedením vícefaktorového ověřování pro přístup do svých sítí a informačních systémů.
Agentura EU pro kybernetickou bezpečnost (ENISA) bude sehrávat rozhodující roli při kontrole a podpoře uplatňování těchto právních aktů.
Časový plán směrnice NIS 2
Směrnice NIS 2 vstoupila v platnost 16. ledna 2023 a musí být převedena do národní legislativy do 17. října 2024. Implementaci směrnice Komise poprvé přezkoumá do 17. října 2027 a v budoucnu se bude přezkoumání opakovat každých 36 měsíců.
Je čas začít se aktivně připravovat.
Směrnice NIS 2 vstoupila v platnost již 16. ledna 2023
Naše ucelená koncepce zabezpečení v rozsahu 360°
Koncepce zabezpečení v rozsahu 360° – naše ucelená nabídka bez kompromisů
V dynamickém světě kybernetické bezpečnosti probíhají neustálé změny a zavedení směrnice NIS 2 tuto skutečnost jen podtrhuje. Zatímco čekáme na to, až bude směrnice plně převedena do národní legislativy, aby nabyla plné účinnosti, je naléhavost přijetí opatření nepopiratelná.
Abychom splnili přísné požadavky směrnice NIS 2, musíme se opírat o evropské a mezinárodní normy, které tvoří její základ. Tyto normy nejen definují bezpečné produkty, nýbrž také stanovují zásady pro implementaci robustních bezpečnostních systémů. Vynikajícím příkladem je IEC 62443, celosvětově uznávaná řada norem pro bezpečnost v oblasti automatizace. Naše ucelená koncepce zabezpečení v rozsahu 360° zahrnuje jak technická, tak organizační opatření, která jsou podložena odpovídajícími certifikáty podle normy IEC 62443.