Emerging Department

S námi budete v obraze, jaké řešení vaše firma potřebuje.

Scroll Down Arrow

Co byste měli vědět o směnici NIS 2?

Směrnice NIS 2 nahrazuje a ruší směrnici NIS (Směrnice (EU) 2016/1148). Cílem této směrnice je posílení unijní kybernetické bezpečnosti a postupné sbližování pravidel pro její zajišťování napříč státy Unie. Směrnice NIS 2 se zaměřuje na problematiku řízení kybernetických rizik a zavedení ohlašovací povinnosti pro určitá odvětví, mezi která patří: energetika, doprava, zdravotnictví a digitální infrastruktura.

Platnost směrnice a co znamená její implementace?

Směrnice NIS 2 byla oficiálně přijata Radou Evropské unie již 28. listopadu a v úředním věstníku EU vyšla 27. prosince 2022. Od tohoto data začíná lhůta 20 dní a následně vstoupí tato směrnice v platnost. A teď to nejdůležitější – členské státy EU musí směrnici začlenit do vnitrostátního práva do 21 měsíců od vstupu směrnice v platnost.

Koho se směrnice týká?

Směrnice rozděluje ekonomické subjekty ze soukromé i veřejné sféry na 2 skupiny: subjekty ESSENTIAL a IMPORTANT.

Směrnice se bez ohledu na velikost subjektu týká všech typů podnikání, které jsou uvedeny v přílohách I. a II. (hyperlink). Primárně se jedná o subjekty, kde:

  • Je subjekt jediným poskytovatelem v daném státě.
  • Je subjekt součástí veřejné správy a jejich orgánů.
  • Subjekt je svou činností kritický pro určité odvětví na národní a regionální úrovni, popřípadě na jeho činnosti závisí další odvětví v členském státě.
  • Je subjekt definován jako kritický podle směrnice Evropského parlamentu a Rady (Směrnice o odolnosti kritických subjektů).
  • Narušení služby subjektu by mohlo mít přímý dopad na veřejnou bezpečnost či zdraví obyvatel státu. Popřípadě vyvolat systémová rizika s vlivem na odvětví s následným negativním zahraničním vlivem.

Jaké povinnosti směrnice přináší?

  • Subjekty (Essential i Important) jsou povinny hlásit všechny incidenty, které mají významný dopad.
    • Jde například o incidenty, které s sebou přináší významné provozní narušení služby nebo velké finanční ztráty.
    • Nebo jde o incident, který ovlivnil či může ovlivnit další subjekty (fyzické a právnické osoby) a způsobuje ztráty materiální i nemateriální povahy.
  • Incidenty musí být oznámeny nejpozději do 24 hodin od zjištění.
  • V prvotním hlášení o incidentu uvádíme:
    • Základní popis incidentu.
    • Informace o tom, zda byl incident způsoben nezákonným jednáním.
    • Upozorňujeme na případný zahraniční dopad u daného incidentu.
  • Zaslané prvotní hlášení je následně do 72 hodin nutné zpřesnit o další zjištěné údaje, popřípadě samotný CERT tým může požadovat doplnění konkrétních skutečností.
  • Do 1 měsíce od zjištění incidentu musí subjekty zaslat finální hlášení obsahující:
    • Popis podstaty incidentu a subjektem přijatá opatření.
    • V případě, že incident není do této doby dořešen, je třeba informovat CERT tým o vývoji. Do měsíce od vyřešení incidentu subjekt zasílá finální hlášení s informacemi viz. výše.

Co mě čeká? Jaké kroky budu muset ve firmě podniknout?

Neztrácejte čas a obraťte se na svého dodavatele bezpečnostních produktů.

X