Článok

V piatok 4. októbra 2024 bol do Národnej rady Slovenskej republiky predložený vládny návrh zákona, ktorým sa mení a dopĺňa zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti. Táto novela predstavuje implementáciu smernice NIS2, ktorá je považovaná za najrozsiahlejší európsky legislatívny rámec v oblasti kybernetickej bezpečnosti. Smernica NIS2 prináša zásadné zmeny v prístupe k ochrane digitálnej infraštruktúry a stanovuje nové štandardy pre riadenie kybernetických rizík.

Smernica NIS2, oficiálne známa ako druhá revízia smernice o bezpečnosti sieťových a informačných systémov, predstavuje komplexný prístup Európskej únie k posilneniu kybernetickej odolnosti. Jej hlavným cieľom je zlepšiť schopnosť členských štátov predchádzať kybernetickým hrozbám, riadiť riziká a efektívne reagovať na incidenty. Smernica si kladie za cieľ:

• Zjednotiť požiadavky na kybernetickú bezpečnosť: Odstrániť rozdiely medzi členskými štátmi a vytvoriť jednotný súbor minimálnych pravidiel pre všetky krajiny EÚ. To zabezpečí konzistentný prístup k ochrane kritických infraštruktúr a digitálnych služieb.

• Zlepšiť riadenie rizík: Organizácie budú povinné implementovať systematické postupy na identifikáciu, hodnotenie a riadenie kybernetických rizík. To zahŕňa pravidelné bezpečnostné audity, testovanie zraniteľností a aktualizáciu bezpečnostných protokolov.

• Posilniť oznamovacie povinnosti: Zavedenie jasných pravidiel pre hlásenie kybernetických incidentov umožní rýchlu reakciu a koordináciu medzi organizáciami a štátnymi orgánmi. To je kľúčové pre minimalizáciu dopadov incidentov na spoločnosť a ekonomiku.

• Podporiť účinnú spoluprácu: Vytvorenie mechanizmov na výmenu informácií a koordináciu reakcií medzi členskými štátmi posilní schopnosť EÚ čeliť kybernetickým hrozbám na nadnárodnej úrovni.

• Aktualizovať zoznam odvetví a činností: Smernica rozširuje svoj pôsobnosť na nové sektory, ktoré sú kľúčové pre fungovanie modernej spoločnosti a ekonomiky.

Rozšírenie pôsobnosti na nové sektory

Jednou z najvýznamnejších zmien, ktoré NIS2 prináša, je výrazné rozšírenie sektoru organizácií, na ktoré sa vzťahujú povinnosti v oblasti kybernetickej bezpečnosti. Kým pôvodná smernica NIS1 sa zameriavala na kľúčové odvetvia ako energetika, doprava, zdravotníctvo, financie, zásobovanie vodou a digitálna infraštruktúra, NIS2 zahŕňa aj ďalšie sektory, ako sú:

• Bankovníctvo a finančné trhy: Vzhľadom na digitalizáciu finančných služieb a zvýšené riziko kybernetických útokov na finančné inštitúcie je ich zahrnutie do smernice kľúčové pre ochranu ekonomickej stability.

• Verejná správa: Štátne inštitúcie spracúvajú veľké množstvo citlivých údajov a poskytujú kľúčové služby občanom. Ich ochrana je nevyhnutná pre zachovanie dôvery verejnosti a kontinuity služieb.

• Poštové a kuriérske služby: S rastom e-commerce a logistiky sa tieto služby stávajú cieľom kybernetických útokov, ktoré môžu narušiť dodávateľské reťazce.

• Odpadové hospodárstvo: Digitalizácia procesov v odpadovom hospodárstve prináša nové riziká, ktoré je potrebné efektívne riadiť.

• Výroba potravín a zdravotníckych pomôcok: Tieto sektory sú kritické pre verejné zdravie a bezpečnosť potravín. Kybernetické útoky môžu mať vážne následky pre celú populáciu.

Rozšírenie pôsobnosti smernice znamená, že viac organizácií bude musieť prispôsobiť svoje postupy a investovať do kybernetickej bezpečnosti. Toto opatrenie zvyšuje celkovú odolnosť spoločnosti voči kybernetickým hrozbám. Členské štáty EÚ majú 21 mesiacov na transpozíciu smernice do svojich vnútroštátnych právnych predpisov.

Vplyv na Slovenskú republiku

Implementácia smernice NIS2 bude mať významný dopad na Slovenskú republiku. Podľa Národného bezpečnostného úradu (NBÚ) má krajina už dnes nadštandardnú legislatívu v oblasti kybernetickej bezpečnosti. Avšak nová smernica rozšíri pôsobnosť NBÚ a zvýši počet povinných subjektov.

Očakáva sa, že okruh povinných subjektov môže vzrásť až na takmer 10 000. To znamená, že mnoho organizácií, ktoré doteraz nemuseli dodržiavať prísne kybernetické štandardy, bude teraz podliehať reguláciám. Pre tieto organizácie to znamená potrebu:

• Implementovať bezpečnostné opatrenia: Zavedenie technických a organizačných opatrení na ochranu informačných systémov a dát.

• Školiť zamestnancov: Zvýšiť povedomie o kybernetických hrozbách a zabezpečiť, aby zamestnanci vedeli správne reagovať na incidenty.

• Spolupracovať s NBÚ: Dodržiavať oznamovacie povinnosti a podieľať sa na národných iniciatívach v oblasti kybernetickej bezpečnosti.

Pre štát to predstavuje výzvu v oblasti koordinácie, podpory organizácií a zabezpečenia dostatočných kapacít na dohľad a reakciu na incidenty.

Vzťah medzi GDPR a NIS2

Smernica NIS2 obsahuje ustanovenia, ktoré sa týkajú ochrany osobných údajov, a preto je dôležité pochopiť jej vzťah s GDPR (Všeobecným nariadením o ochrane údajov). V prípade, že dôjde k porušeniu povinností, ktoré majú za následok porušenie ochrany osobných údajov, organizácie sú povinné informovať príslušné dozorné orgány v súlade s GDPR.

Ak za takéto porušenie sú uložené pokuty podľa GDPR, príslušné orgány nemôžu uložiť ďalšie pokuty podľa NIS2 za to isté konanie. To však neznamená, že sa organizácia vyhne všetkým následkom. Orgány môžu prijať iné opatrenia na presadzovanie práva podľa NIS2, napríklad:

• Nariadiť nápravné opatrenia: Organizácia musí napraviť nedostatky vo svojich bezpečnostných opatreniach.

• Poskytnúť usmernenia: Orgány môžu poskytnúť odporúčania na zlepšenie bezpečnosti.

• Monitorovať súlad: Zvýšený dohľad nad organizáciou, aby sa zabezpečilo dodržiavanie požiadaviek.

Táto synergia medzi GDPR a NIS2 zdôrazňuje dôležitosť komplexného prístupu k ochrane údajov a kybernetickej bezpečnosti.

Výhody NIS2 pre spoločnosti

Implementácia smernice NIS2 prináša pre spoločnosti množstvo výhod, ktoré presahujú rámec samotného dodržiavania právnych predpisov:

• Zvýšená bezpečnosť dát: Lepšie zabezpečenie citlivých informácií chráni spoločnosť pred stratou dát, únikom informácií a následnými škodami.

• Súlad s reguláciou: Dodržiavanie právnych požiadaviek pomáha predchádzať pokutám a sankciám, čo môže mať významný finančný dopad.

• Zlepšená reputácia: Spoločnosti, ktoré investujú do kybernetickej bezpečnosti, sú vnímané ako dôveryhodnejšie, čo môže prilákať nových zákazníkov a obchodných partnerov.

• Odolnosť proti hrozbám: Pripravenosť na kybernetické útoky znižuje riziko narušenia prevádzky a umožňuje rýchlejšie obnovenie činnosti po incidente.

• Prevencia finančných strát: Minimalizácia bezpečnostných incidentov vedie k zníženiu nákladov spojených s ich riešením, právnymi spormi a obnovou systémov.

• Podpora zo strany štátu: Prístup k národným zdrojom, informáciám a odborníkom môže byť kľúčový pri riešení komplexných kybernetických hrozieb.

Tieto výhody podporujú dlhodobú udržateľnosť a konkurencieschopnosť spoločností na trhu.

Posilnenie kybernetickej ochrany v EÚ prostredníctvom NIS2

Smernica NIS2 predstavuje strategický krok Európskej únie smerom k posilneniu kybernetickej odolnosti na vnútroštátnej aj nadnárodnej úrovni. V súčasnosti, keď sú kybernetické útoky čoraz sofistikovanejšie a častejšie, je koordinovaný prístup k ich riešeniu nevyhnutný.

Jedným z hlavných nástrojov na dosiahnutie tohto cieľa je zriadenie Európskej siete styčných organizácií pre kybernetické krízy (EU-CyCLONe). Táto sieť:

• Podporuje spoluprácu medzi členskými štátmi: Umožňuje rýchlu výmenu informácií o hrozbách a incidentoch.

• Koordinuje reakcie na cezhraničné incidenty: Zabezpečuje jednotnú a efektívnu reakciu na útoky, ktoré ovplyvňujú viaceré krajiny.

• Zlepšuje pripravenosť: Organizuje spoločné cvičenia a školenia na zvýšenie schopností reagovať na kybernetické krízy.

Okrem toho NIS2 podporuje vytváranie národných stratégií kybernetickej bezpečnosti a posilňuje úlohu Národných CSIRT (Computer Security Incident Response Teams), ktoré sú kľúčové pre riešenie incidentov na národnej úrovni.

Výzvy pri implementácii NIS2

Implementácia NIS2 prináša aj niekoľko výziev:

• Finančné náklady: Organizácie budú musieť investovať do nových technológií, infraštruktúry a školení, čo môže byť nákladné, najmä pre menšie podniky.

• Personálne zdroje: Nedostatok kvalifikovaných odborníkov v oblasti kybernetickej bezpečnosti môže komplikovať plnenie nových požiadaviek.

• Komplexnosť regulácií: Orientácia v nových právnych predpisoch môže byť náročná, čo zvyšuje potrebu právneho a odborného poradenstva.

• Koordinácia medzi subjektmi: Zvýšená spolupráca medzi rôznymi organizáciami a štátnymi inštitúciami vyžaduje efektívnu komunikáciu a jasné procesy.

Napriek týmto výzvam je dôležité, aby organizácie pristúpili k implementácii NIS2 proaktívne a využili dostupné zdroje a podporu.

Záver

V ére digitálnej transformácie je kybernetická bezpečnosť neoddeliteľnou súčasťou fungovania moderných spoločností a ekonomík. Smernica NIS2 predstavuje významný krok v posilnení kybernetickej odolnosti Európskej únie. Jej implementácia pomôže zabezpečiť, že organizácie budú lepšie chránené pred kybernetickými hrozbami, zvýši sa dôvera v digitálne služby a posilní sa celková bezpečnosť spoločnosti.

Pre Slovenskú republiku to znamená nielen prispôsobenie sa novým požiadavkám, ale aj príležitosť stať sa lídrom v oblasti kybernetickej bezpečnosti. Spoločnosti, ktoré investujú do bezpečnosti, budú lepšie pripravené čeliť výzvam digitálneho veku a získajú konkurenčnú výhodu na globálnom trhu.

V konečnom dôsledku je úspech implementácie NIS2 závislý od spolupráce medzi štátom, organizáciami a odbornou verejnosťou. Spoločným úsilím môžeme vytvoriť bezpečnejší a odolnejší digitálny priestor pre všetkých.