Národní bezpečnostní úřad (NBÚ) připravil novelu zákona č. 69/2018 Z. z. o kybernetické bezpečnosti, která vyvolala širokou diskusi mezi odbornou veřejností. Novela byla schválena a vstoupila v platnost 1. srpna 2021. V tomto článku se dozvíte, jaké změny nastaly a které části vyvolaly největší rozruch.
Novela zákona o kybernetické bezpečnosti byla vypracována na základě požadavků Evropské unie, jakož i na základě povinností NBÚ vyplývajících z Programového prohlášení vlády SR. Novela je podle stanoviska NBÚ výsledkem implementace nařízení Evropského parlamentu a Rady EU 2019/881 ze dne 17. dubna 2019 o agentuře ENISA (Agentura Evropské unie pro kybernetickou bezpečnost) a o certifikaci kybernetické bezpečnosti informačních a komunikačních technologií a o zrušení nařízení (EU) č. 526/2013 (akt o kybernetické bezpečnosti). Podle navrhovatele má novela posílit pravomoci vnitrostátních orgánů, upravit proces certifikace kybernetické bezpečnosti a postavení auditora a upřesnit některé definice v zákoně. Hlavním účelem novely je také implementace 5G Toolboxu EU (strategická a technická opatření ke zmírnění rizik, která mají posílit integritu a bezpečnost nových sítí).
Jaké změny nám novela přinesla?
Změny, které novela zákona o kybernetické bezpečnosti přinesla, se týkaly zejména rozšířených pravomocí úřadu. Uvedené úpravy vyvolaly širokou debatu.
Největší výhrady odborné veřejnosti k novele zákona se týkaly zejména automatizovaného poskytování informací, institutu blokování a omezení používání produktu nebo služby.
V případě automatizovaného poskytování informací může úřad svým rozhodnutím uložit provozovateli základní služby povinnost automatizovaně vyhodnocovat výskyt kybernetického bezpečnostního incidentu a následně jej nahlásit. Jedná se zjednodušeně o automatizovaný proces hlášení bezpečnostních incidentů vybranými provozovateli základních služeb. V očích odborné veřejnosti vyvolává tato pravomoc úřadu řadu otázek, stejně jako dojem, že soukromí občanů bude výrazně narušeno.
NBÚ ve svém stanovisku informoval veřejnost o tom, že do jeho pravomocí nespadá sběr žádných údajů (ať už osobních či citlivých) a že rovněž nemůže přímo zasahovat do žádného softwaru ani do komunikace v síti. Dále uvedl, že může pracovat s informacemi pouze na úrovni technických identifikátorů, které bude pravidelně vydávat, a vybraný provozovatel bude na základě rozhodnutí povinen zkontrolovat, zda ve svých systémech a službách nezaznamenává výskyt vydaných sad technických identifikátorů, a následně úřad informovat o případném nálezu. V případě, že uvedené pravomoci úřadu nebudou zneužívány, měly by dané povinnosti zajistit rychlé a efektivní řešení bezpečnostních incidentů.
Instituce blokování není z pohledu úřadu žádným novým vynálezem, neboť již v roce 2019 byl Bezpečnostní radou SR schválen materiál NBÚ, tzv. Pravidla pro blokování. V tomto dokumentu má být zakotven postup týkající se blokování kybernetických bezpečnostních útoků, který je v souladu s mezinárodními standardy. Instituce blokování by se měla primárně vztahovat na provozovatele základních služeb a byla navržena Ministerstvem hospodářství SR. V podstatě se jedná o provádění blokování v případech řešení kybernetického bezpečnostního incidentu. Podle úředních zdrojů nedochází ke sledování obsahu komunikace ani ke shromažďování údajů, ale sledují se technické identifikátory (např. IP adresa, adresy řídicích serverů atd.). Pro odbornou veřejnost se však jedná o novou povinnost, jejíž záměr a rozsah jsou velmi nejasné, a očekává se aktualizace vyhlášky, která by teoreticky mohla blíže specifikovat záměr a rozsah působnosti dané povinnosti. Od aktualizace vyhlášky se rovněž očekává podrobná analýza a nastavení pravidel tohoto institutu, jelikož úzce souvisí se zásahy do základních práv a svobod. NBÚ si tuto skutečnost plně uvědomuje a uvádí, že institut blokování slouží pouze jako krajní prostředek řešení kybernetických incidentů v případech, kdy jsou jiné nástroje neúčinné, jako je například přetrvávající útok a hrozba pro koncového uživatele.
Další pravomocí NBÚ je možnost za určitých okolností zakázat nebo omezit používání konkrétního produktu, procesu, služby nebo třetí strany při poskytování základní služby. Jedná se o širokou pravomoc úřadu, která určitým způsobem zasahuje do vlastnických práv, a to bez možnosti kompenzace. Úřad může o daném zákazu či omezení rozhodnout bez předchozího varování a diskuse. Jedná se o rozhodnutí NBÚ mimo správní řízení bez procesní účasti dotčených provozovatelů. To znamená, že provozovatel, kterého se zákaz nebo omezení týká, může být zablokován, aniž by znal důvod a mohl provést nápravu, aby k zablokování vůbec nedošlo. Podle NBÚ se rozhodnutí přijímá na základě analýzy rizik a posouzení Bezpečnostní radou SR. Rozhodnutí rovněž předchází námitkové řízení, návrh je po dobu 30 dnů zveřejněn na webových stránkách úřadu a rozhodnutí je přezkoumatelné Ústavním soudem SR.
Toto oprávnění se nevztahuje pouze na slovenské provozovatele, ale může se týkat i zahraničních provozovatelů, kteří ve Slovensku vykonávají svou obchodní činnost.
Tímto opatřením by byla například zajištěna pohotová reakce úřadu na útoky (např. útoky typu DOS), které by zahlcovaly systémy provozovatelů. Je však nutné přesně definovat a stanovit pravomoci úřadu v souvislosti s tímto oprávněním, které dosud nebyly jednoznačně sděleny, aby nedocházelo k jeho zneužití.
Blokování škodlivých aktivit nebo obsahu, které mohou způsobit bezpečnostní incident, bude tedy plně záviset na rozhodnutí NBÚ, které bude založeno výhradně na podezření. Kdybychom uvedené omezení uvedli do praxe, lze říci, že úřad může například zakázat využívání určitých služeb či produktů pocházejících například z Ruska nebo Číny, ba dokonce může blokovat přístup k jednotlivým webovým stránkám.
Novela přinesla také změny týkající se povinností provozovatele základní služby. Prodloužila se lhůta pro přijetí a dodržování obecných bezpečnostních opatření, a to z původních 6 měsíců na 12 měsíců ode dne oznámení o zařazení do registru provozovatelů základních služeb. Při uzavření smlouvy o zajištění plnění bezpečnostních opatření a oznamovacích povinností s třetí stranou se provádí analýza rizik. Novela rovněž upravuje povinnost uzavření smlouvy tak, že tato povinnost neplatí, pokud je třetí strana provozovatelem základní služby nebo poskytovatelem digitální služby, nebo pokud je riziko v souvislosti s danou činností nízké.
Novela zákona rovněž upravuje bezpečnostní opatření k zajištění kybernetické bezpečnosti. Bezpečnostní opatření jsou ve srovnání s původním zněním zákona před novelizací rozsáhlejší. Vzhledem k rozšíření bezpečnostních opatření a nutnosti jejich podrobnějšího upřesnění očekáváme novelu vyhlášky o kybernetické bezpečnosti.
O vývoji situace a možné novelizaci vyhlášky o kybernetické bezpečnosti vás budeme informovat.
Zdroje:
https://touchit.sk/ako-je-to-teda-s-novelou-zakona-o-kybernetickej-bezpecnosti/340655
