Kybernetická bezpečnost sítí a informačních systémů

KLÍČOVÉ BODY

Kybernetická bezpečnost se vztahuje na činnosti nezbytné k ochraně sítí a informačních systémů, jejich uživatelů a dalších osob dotčených kybernetickými hrozbami.

Kritická odvětví

Směrnice se vztahuje především na střední a velké subjekty působící v následujících vysoce kritických odvětvích definovaných v příloze I směrnice:

• energie:
  • elektřina, včetně výrobních, distribučních a přenosových soustav a nabíjecích bodů,
  • dálkové vytápění a chlazení,
  • ropa, včetně těžby, skladování a ropovodů,
  • plyn, včetně výrobních, distribučních a přenosových soustav a skladování, a
  • vodík,
• přeprava ve vzduchu, po železnici, po vodních cestách a silnici,
• bankovnictví a infrastruktury finančního trhu, jako jsou úvěrové instituce, provozovatelé obchodních systémů a ústřední protistrany,
• zdravotnictví, včetně poskytovatelů zdravotní péče, výrobců základních farmaceutických výrobků a kritických zdravotnických prostředků a referenčních laboratoří EU,
• pitná voda,
• odpadní voda,
• digitální infrastruktura, včetně poskytovatelů služeb datových center, služeb cloud computingu, veřejných sítí elektronických komunikací a veřejně dostupných služeb elektronických komunikací,
• řízené služby IKT (mezi podniky),
• vesmír,
• veřejná správa na centrální a regionální úrovni, s výjimkou soudnictví, parlamentů a centrálních bank; směrnice se nevztahuje na subjekty veřejné správy, které vykonávají činnosti v oblasti národní bezpečnosti, veřejné bezpečnosti, obrany nebo vymáhání práva.

Vztahuje se také na další kritická odvětví vymezená v příloze II:

• poštovní a kurýrní služby,
• nakládání s odpady,
• výroba, produkce a distribuce chemických látek,
• výroba, zpracování a distribuce potravin,
• výroba, zejména zdravotnických prostředků, počítačů, elektronických a optických přístrojů, některých elektrických zařízení a strojů, motorových vozidel a ostatních dopravních prostředků a zařízení,
• digitální poskytovatelé on-line tržišť, vyhledávačů a sociálních sítí a
• výzkumné organizace.

Národní strategie kybernetické bezpečnosti

Každý členský stát musí přijmout národní strategii k dosažení a udržení vysoké úrovně kybernetické bezpečnosti v kritických odvětvích, včetně:

• rámce správy, který vyjasňuje úlohy a povinnosti příslušných zúčastněných stran na vnitrostátní úrovni,
• politik na podporu bezpečnosti dodavatelských řetězců,
• politik pro řešení zranitelností,
• politik na podporu a rozvoj vzdělávání a odborné přípravy v oblasti kybernetické bezpečnosti a
• opatření ke zlepšení informovanosti o kybernetické bezpečnosti mezi občany.

Členské státy musí do 17. dubna 2025 stanovit seznam základních a důležitých subjektů, a to spolu se subjekty poskytujícími služby registrace jmen domén. Tento seznam musí pravidelně přezkoumávat, a to alespoň každé dva roky, a v případě potřeby jej aktualizovat. Evropská komise přijala pokyny týkající se informací, které je třeba shromáždit při vypracovávání těchto seznamů, a to společně se šablonou.

Komise také vydala pokyny, které objasňují pravidla vztahu mezi směrnicí (EU) 2022/2555 a současnými a budoucími odvětvovými právními akty EU, které se zabývají opatřeními k řízení kybernetických bezpečnostních rizik nebo požadavky na hlášení incidentů. Dodatek k pokynům obsahuje neúplný seznam odvětvových právních aktů, které Komise považuje za spadající do oblasti působnosti článku 4 směrnice (EU) 2022/2555.

Týmy pro reakce na počítačové bezpečnostní incidenty

Týmy pro reakce na počítačové bezpečnostní incidenty (týmy CSIRT) poskytují subjektům technickou pomoc, mimo jiné:

• monitorováním a analýzou kybernetických hrozeb, zranitelností a incidentů na vnitrostátní úrovni,
• poskytováním včasných varování a upozornění, oznamováním a informacemi o kybernetických hrozbách, zranitelnostech a incidentech dotčeným subjektům a dalším zúčastněným stranám, pokud možno v téměř reálném čase,
• reakcí na incidenty a případně poskytnutím pomoci,
• shromažďováním a analyzováním forenzních dat a poskytováním dynamické analýzy rizik a incidentů a přehledu o situaci v oblasti kybernetické bezpečnosti a
• prováděním proaktivního skenování sítí a informačních systémů na základě žádosti s cílem odhalit zranitelnosti s potenciálním významným dopadem.

Síť CSIRT

Směrnice zřizuje síť vnitrostátních týmů CSIRT na podporu rychlé a účinné operativní spolupráce.

Koordinované odhalování slabých míst

Členské státy musí:

• určit jeden ze svých týmů CSIRT, který bude koordinovat zveřejňování zranitelností odhalených v produktech nebo službách IKT, a
• zajistit, aby osoby v členských státech mohly oznamovat zranitelnosti, na požádání anonymně.

Agentura Evropské unie pro kybernetickou bezpečnost (ENISA) vytvoří a bude spravovat databázi zranitelností.

Skupina pro spolupráci

Směrnice zřizuje skupinu pro spolupráci na podporu a usnadnění strategické spolupráce a výměny informací. Skupina se skládá ze zástupců členských států, Komise a agentury ENISA. V příslušném případě může skupina pro spolupráci přizvat ke spolupráci Evropský parlament a zástupce příslušných zúčastněných stran.

Evropská síť styčných organizací pro řešení kybernetických krizí

Evropská síť styčných organizací pro řešení kybernetických krizí (EU-CyCLONe) je tvořena zástupci orgánů členských států pro řešení kybernetických krizí a v případech, kdy potenciální nebo probíhající rozsáhlý kybernetický bezpečnostní incident má nebo pravděpodobně bude mít významný dopad na odvětví spadající do oblasti působnosti této směrnice, jsou jejími členy také zástupci Komise. V jiných případech se činností sítě Komise zúčastní jako pozorovatel.

Síť podporuje koordinované řešení rozsáhlých kybernetických bezpečnostních incidentů a krizí na operativní úrovni a zajišťuje pravidelnou výměnu informací mezi členskými státy a orgány, institucemi a jinými subjekty EU.

Síť má mimo jiné za úkol:

• koordinovat řešení rozsáhlých kybernetických bezpečnostních incidentů a krizí a podporovat rozhodování na politické úrovni,
• zvyšovat připravenost,
• rozvíjet situační povědomí a
• posuzovat důsledky a dopad rozsáhlých kybernetických bezpečnostních incidentů a krizí a navrhovat případná opatření k jejich zmírnění.

Opatření k řízení kybernetických bezpečnostních rizik

Subjekty musí přijmout přiměřená a adekvátní technická, provozní a organizační opatření pro řízení kybernetických bezpečnostních rizik. Katalog opatření zahrnuje mimo jiné analýzu rizik a zásady bezpečnosti informačních systémů, řešení incidentů, kontinuitu provozu, zotavení po havárii a krizové řízení, bezpečnost dodavatelského řetězce, řešení a odhalování zranitelností, základní hygienické postupy, zásady a postupy týkající se používání kryptografie (a případně šifrování), bezpečnost lidských zdrojů a používání vícefaktorového ověřování nebo řešení průběžného ověřování. Tato opatření musí být založena na přístupu zohledňujícím všechna rizika.

Řídicí orgány musí tato opatření schvalovat a dohlížet na jejich provádění a mohou být hnány k odpovědnosti za jejich porušení.

Podávání zpráv

Subjekty musí oznámit svému týmu CSIRT nebo příslušnému orgánu veškeré incidenty, které:

• způsobily nebo by mohly způsobit závažné provozní narušení služeb nebo finanční ztráty,
• způsobily nebo by mohly způsobit jiným osobám značnou hmotnou nebo nehmotnou újmu.

Agentura ENISA společně s Komisí a skupinou pro spolupráci kromě toho vypracuje jednou za dva roky zprávu o stavu kybernetické bezpečnosti v EU, která bude předložena také Parlamentu.

Dohled a vymáhání

Směrnice stanovuje prostředky a sankce k zajištění vymáhání.

Vzájemná hodnocení

Vzájemná hodnocení mají za cíl poučit se ze společných zkušeností, posílit vzájemnou důvěru, dosáhnout společné vysoké úrovně kybernetické bezpečnosti a posílit schopnosti a politiky členských států v oblasti kybernetické bezpečnosti, které jsou nezbytné pro provádění této směrnice. Tato hodnocení zahrnují virtuální návštěvy nebo návštěvy na místě i externí výměny informací. Účast na těchto vzájemných hodnoceních je dobrovolná.

Prováděcí akt

Prováděcí nařízení (EU) 2024/2690 stanovuje pravidla pro uplatňování směrnice (EU) 2022/2555, pokud jde o technické a metodické požadavky na opatření k řízení rizik v oblasti kybernetické bezpečnosti, a dále upřesňuje případy, kdy je incident považován za významný s ohledem na:

• poskytovatele služeb systému názvů domén,
• registry doménových jmen nejvyšší úrovně,
• poskytovatele služeb cloud computingu,
• poskytovatele služeb datových center,
• poskytovatele sítí pro doručování obsahu,
• poskytovatele spravovaných služeb,
• poskytovatele spravovaných služeb zabezpečení,
• poskytovatele online tržišť, online vyhledávačů a platforem pro služby sociálních sítí a
• poskytovatele služeb vytvářejících důvěru.

Zrušení

Směrnice (EU) 2022/2555 zrušila směrnici (EU) 2016/1148 (viz shrnutí) od 18. října 2024 a prováděcí nařízení (EU) 2024/2690 zrušilo prováděcí nařízení (EU) 2018/151, které stanovilo pravidla pro uplatňování směrnice (EU) 2016/1148.