Směrnice o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii (směrnice NIS2) – časté otázky

Směrnice o bezpečnosti sítí a informací – první právní předpis EU o kybernetické bezpečnosti – je prvním horizontálním nástrojem vnitřního trhu, jehož cílem je zlepšit odolnost sítí a informačních systémů v Unii vůči kybernetickým bezpečnostním rizikům. I přes významné úspěchy směrnice o bezpečnosti sítí a informací vykazuje určitá omezení. Digitální transformace společnosti, kterou zintenzivnila krize COVID-19, rozšířila prostředí hrozeb. Objevily se nové výzvy, které vyžadují přizpůsobené a inovativní reakce.

Aby mohla Komise analyzovat dopad a identifikovat nedostatky směrnice o bezpečnosti sítí a informací, provedla rozsáhlou konzultaci se zúčastněnými stranami. Komise zjistila tyto hlavní problémy:

• nedostatečná úroveň kybernetické odolnosti podniků působících v EU
• nejednotná odolnost mezi členskými státy a odvětvími
• nedostatečné společné chápání hlavních hrozeb a výzev mezi členskými státy
• Chybějící společná reakce na krizi.

V důsledku toho a s cílem reagovat na rostoucí hrozby v důsledku digitalizace a propojenosti navrhla Komise v prosinci 2020 revidovaný soubor pravidel, která obstojí i v budoucnu a jejichž cílem je posílit úroveň kybernetické odolnosti v Unii, o němž spolunormotvůrci dosáhli politické dohody dne 13. května 2022 a na konci listopadu 2022 formálně přijali novou směrnici.

Od krize COVID-19 se evropská ekonomika stala na digitálních řešeních závislejší než kdykoli předtím. Odvětví a služby jsou stále více propojené a vzájemně závislé. To vedlo k rostoucímu a rychle se vyvíjejícímu prostředí kybernetických bezpečnostních hrozeb: jakékoli narušení, byť původně omezené na jeden subjekt nebo jedno odvětví, může mít kaskádové účinky v širším měřítku, což může mít za následek dalekosáhlé a dlouhodobé negativní dopady na poskytování služeb na celém vnitřním trhu.

Pandemie COVID-19 ukázala zranitelnost našich stále více vzájemně závislých společností tváří v tvář neočekávaným rizikům. Zintenzivnila již vznikající otázky ve stávající směrnici o bezpečnosti sítí a informací a posloužila jako katalyzátor pro její revizi. Konkrétní změnou směrnice o bezpečnosti sítí a informací s ohledem na tuto krizi bylo rozšíření oblasti působnosti nové směrnice tak, aby zahrnovala konkrétnější prvky ve zdravotnictví, jako jsou subjekty provádějící výzkumné a vývojové činnosti v oblasti léčivých přípravků.

Směrnice NIS2 stanoví právní opatření ke zvýšení celkové úrovně kybernetické bezpečnosti v EU s cílem přispět k celkovému fungování vnitřního trhu. Vychází ze tří hlavních pilířů, které byly základem směrnice NIS1:

1. V zájmu dosažení vysoké úrovně připravenosti členských států směrnice NIS2 vychází ze strategie bezpečnosti sítí a informací 1 pro bezpečnost sítí a informačních systémů a vyžaduje, aby členské státy přijaly vnitrostátní strategii kybernetické bezpečnosti. Členské státy jsou rovněž povinny určit vnitrostátní skupiny pro reakci na počítačové bezpečnostní incidenty (CSIRT), které odpovídají za řešení rizik a incidentů, příslušný vnitrostátní orgán pro kybernetickou bezpečnost a jednotné kontaktní místo (SPOC). Jednotné kontaktní místo musí vykonávat styčnou funkci s cílem zajistit přeshraniční spolupráci mezi orgány členských států s příslušnými orgány v jiných členských státech a případně s Komisí a agenturou ENISA, jakož i meziodvětvovou spolupráci s jinými příslušnými orgány v rámci svého členského státu.
2. Směrnice NIS2 rovněž navazuje na rámec NIS1, kterým se zřizuje skupina pro spolupráci v oblasti bezpečnosti sítí a informací s cílem podporovat a usnadňovat strategickou spolupráci a výměnu informací mezi členskými státy, a na síť týmů CSIRT, která podporuje rychlou a účinnou operativní spolupráci mezi vnitrostátními týmy CSIRT.
3. Směrnice NIS1 zajišťuje, aby opatření v oblasti kybernetické bezpečnosti byla přijímána v sedmi odvětvích, která mají zásadní význam pro naše hospodářství a společnost a která jsou silně závislá na informačních a komunikačních technologiích, jako je energetika, doprava, bankovnictví, infrastruktura finančních trhů, pitná voda, zdravotní péče a digitální infrastruktura.

Veřejné a soukromé subjekty určené členskými státy jako provozovatelé základních služeb v těchto odvětvích jsou povinny provést posouzení kybernetických bezpečnostních rizik a zavést vhodná a přiměřená bezpečnostní opatření. Jsou povinny oznamovat závažné incidenty příslušným orgánům. Kromě toho musí poskytovatelé klíčových digitálních služeb (poskytovatelé digitálních služeb nebo poskytovatelé digitálních služeb), jako jsou vyhledávače, služby cloud computingu a on-line tržiště, rovněž splňovat požadavky na bezpečnost a oznamování podle směrnice. Tyto subjekty zároveň podléhají takzvanému „mírnému“ regulačnímu režimu, což znamená, že tyto subjekty nepodléhají opatřením dohledu ex ante.

Směrnice NIS2 výrazně rozšiřuje oblast působnosti odvětví a zavádí prahovou hodnotu velikosti pro vymezení subjektů, které spadají do její oblasti působnosti a které by měly povinnost hlásit významné kybernetické bezpečnostní incidenty příslušným vnitrostátním orgánům.

Cílem směrnice NIS2 je řešit nedostatky předchozích pravidel, přizpůsobit ji současným potřebám a zajistit, aby obstála i v budoucnu.

Za tímto účelem směrnice rozšiřuje oblast působnosti předchozích pravidel přidáním nových odvětví na základě jejich stupně digitalizace a propojenosti a jejich zásadního významu pro hospodářství a společnost, a to zavedením jasného pravidla prahové hodnoty velikosti, což znamená, že do oblasti působnosti budou zahrnuty všechny střední a velké podniky ve vybraných odvětvích. Zároveň ponechává členským státům určitý prostor pro uvážení, pokud jde o určení menších subjektů s vysokým bezpečnostním rizikovým profilem, na něž by se rovněž měly vztahovat povinnosti vyplývající z nové směrnice.

Nová směrnice rovněž odstraňuje rozdíl mezi provozovateli základních služeb a poskytovateli digitálních služeb. Subjekty by byly klasifikovány na základě jejich významu a rozděleny do dvou kategorií: základní a důležité subjekty, které budou podléhat odlišnému režimu dohledu.

Posiluje a zefektivňuje požadavky na bezpečnost a podávání zpráv pro společnosti zavedením přístupu k řízení rizik, který poskytuje minimální seznam základních bezpečnostních prvků, které je třeba uplatňovat. Nová směrnice zavádí přesnější ustanovení o postupu hlášení incidentů, obsahu hlášení a lhůtách.

Kromě toho se směrnice NIS2 zabývá bezpečností dodavatelských řetězců a dodavatelských vztahů tím, že vyžaduje, aby jednotlivé společnosti řešily kybernetická bezpečnostní rizika v dodavatelských řetězcích a dodavatelských vztazích. Na evropské úrovni směrnice posiluje kybernetickou bezpečnost dodavatelského řetězce klíčových informačních a komunikačních technologií. Členské státy mohou ve spolupráci s Komisí a agenturou ENISA provádět koordinovaná posouzení bezpečnostních rizik kritických dodavatelských řetězců na úrovni Unie na základě úspěšného přístupu přijatého v souvislosti s doporučením Komise o kybernetické bezpečnosti sítí 5G.

Směrnice zavádí přísnější opatření v oblasti dohledu nad vnitrostátními orgány, přísnější požadavky na prosazování a jejím cílem je harmonizovat sankční režimy ve všech členských státech.

Rovněž posiluje úlohu skupiny pro spolupráci při utváření strategických politických rozhodnutí a zvyšuje sdílení informací a spolupráci mezi orgány členských států. Rovněž posiluje operativní spolupráci v rámci sítě CSIRT a zřizuje Evropskou síť styčných organizací pro řešení kybernetických krizí (EU-CyCLONe) na podporu koordinovaného řízení rozsáhlých kybernetických bezpečnostních incidentů a krizí.

NIS2 rovněž stanoví základní rámec s odpovědnými klíčovými aktéry pro koordinované zveřejňování zranitelností u nově objevených zranitelností v celé EU a vytváří databázi zranitelností EU pro veřejně známá zranitelná místa v produktech a službách IKT, kterou bude provozovat a spravovat Agentura EU pro kybernetickou bezpečnost (ENISA).

NIS2 se vztahuje na subjekty z těchto odvětví:

Odvětví s vysokou kritičností: energie (elektřina, dálkové vytápění a chlazení, ropa, plyn a vodík); doprava (letecká, železniční, vodní a silniční); bankovnictví; infrastruktury finančního trhu; zdraví včetně výroby farmaceutických výrobků včetně očkovacích látek; pitná voda; odpadní vody; digitální infrastruktura (internetové výměnné body; poskytovatelé služeb DNS; registry názvů TLD; poskytovatelé služeb cloud computingu; poskytovatelé služeb datových center; sítě pro doručování obsahu; poskytovatelé důvěryhodných služeb; poskytovatelé veřejných sítí elektronických komunikací a veřejně dostupných služeb elektronických komunikací); řízení služeb IKT (poskytovatelé řízených služeb a poskytovatelé řízených bezpečnostních služeb), veřejná správa a vesmír.

Další kritická odvětví: poštovní a kurýrní služby; nakládání s odpady; chemické látky; potraviny; výroba zdravotnických prostředků, počítačů a elektroniky, strojů a zařízení, motorových vozidel, přívěsů a návěsů a jiných dopravních prostředků a zařízení; poskytovatelé digitálních služeb (on-line tržiště, internetové vyhledávače a platformy služeb sociálních sítí) a výzkumné organizace.

Hodnocení stávajících pravidel týkajících se požadavků na bezpečnost a hlášení incidentů ukázalo, že v některých případech členské státy tyto požadavky provedly výrazně odlišným způsobem. To vytvořilo další zátěž pro společnosti působící ve více než jednom členském státě.

Pokud jde o požadavky na kybernetickou bezpečnost, chceme si být jisti, že všechny společnosti se ve svých politikách řízení kybernetických bezpečnostních rizik zabývají nezbytným základním souborem prvků.

Z tohoto důvodu obsahuje NIS2 seznam 10 klíčových prvků, které musí všechny společnosti řešit nebo zavést jako součást opatření, která přijímají, včetně zabezpečení dodavatelského řetězce , pro řešení incidentů, řešení a zveřejňování zranitelností, používání kryptografie a případně šifrování.

Pokud jde o hlášení incidentů, musíme nalézt správnou rovnováhu mezi potřebou rychlého hlášení, aby se zabránilo možnému šíření incidentů, a potřebou podrobného hlášení, aby bylo možné vyvodit cenné ponaučení z jednotlivých incidentů. Nová směrnice předpokládá vícestupňový přístup k hlášení incidentů. Dotčené společnosti mají 24 hodin od okamžiku, kdy se o incidentu poprvé dozvědí, na to, aby týmu CSIRT nebo příslušnému vnitrostátnímu orgánu předložily včasné varování, které by jim rovněž umožnilo požádat o pomoc (pokyny nebo operativní poradenství ohledně provádění možných zmírňujících opatření), pokud o to požádají. Po včasném varování by mělo následovat oznámení incidentu do 72 hodin od okamžiku, kdy se o incidentu dozvíte, a závěrečná zpráva nejpozději o měsíc později.

Nová směrnice o bezpečnosti sítí a informací staví dohled a prosazování do středu úkolů příslušných orgánů a stanoví soudržný rámec pro všechny činnosti v oblasti dohledu a prosazování ve všech členských státech.

S cílem posílit dohled, který pomáhá zajistit účinné dodržování předpisů, stanoví NIS2 minimální seznam prostředků dohledu, jejichž prostřednictvím mohou příslušné orgány vykonávat dohled nad základními a důležitými subjekty. Patří mezi ně pravidelné a cílené audity, kontroly na místě i na dálku, žádosti o informace a přístup k dokumentům nebo důkazům.

Kromě toho nová směrnice zavádí rozlišení režimů dohledu mezi základními a důležitými subjekty s cílem zajistit spravedlivou rovnováhu povinností jak pro subjekty, tak pro příslušné orgány.

Pokud jde o prosazování, členské státy se dosud celkově zdráhaly uplatňovat sankce vůči subjektům, které nezavedly bezpečnostní opatření nebo neoznámily incidenty. To může mít negativní důsledky pro kybernetickou odolnost subjektů. Aby bylo prosazování účinné, stanoví nová směrnice jednotný rámec pro sankce v celé Unii. Stanoví proto minimální seznam správních sankcí za porušení povinností v oblasti řízení kybernetických bezpečnostních rizik a podávání zpráv stanovených ve směrnici NIS2. Tyto sankce zahrnují závazné pokyny, příkaz k provedení doporučení bezpečnostního auditu, příkaz k uvedení bezpečnostních opatření do souladu s požadavky bezpečnosti sítí a informací a správní pokuty. Pokud jde o správní pokuty, nová směrnice o bezpečnosti sítí a informací rozlišuje mezi základními a důležitými subjekty. Pokud jde o základní subjekty, vyžaduje, aby členské státy stanovily určitou úroveň správních pokut, zejména v maximální výši nejméně 10 000 000 EUR nebo 2 % celkového celosvětového ročního obratu za předchozí účetní období, podle toho, která hodnota je vyšší. Pokud jde o důležité subjekty, směrnice NIS2 vyžaduje, aby členské státy stanovily maximální pokutu ve výši nejméně 7 000 000 EUR nebo nejméně 1,4 % celkového celosvětového ročního obratu za předchozí účetní období, podle toho, která hodnota je vyšší.

Při výkonu svých donucovacích pravomocí by příslušné orgány měly náležitě zohlednit konkrétní okolnosti každého případu, jako je povaha, závažnost a doba trvání porušení, způsobená škoda nebo vzniklé ztráty, úmyslná nebo nedbalostní povaha porušení.

Aby byla zajištěna skutečná odpovědnost za opatření v oblasti kybernetické bezpečnosti na organizační úrovni, zavádí směrnice NIS2 ustanovení o odpovědnosti fyzických osob zastávajících vedoucí funkce v subjektech spadajících do oblasti působnosti nové směrnice o bezpečnosti sítí a informací.

Nová pravidla zlepšují způsob, jakým EU předchází rozsáhlým kybernetickým bezpečnostním incidentům a krizím, řeší je a reaguje na ně. Činí tak zavedením jasných odpovědností, vhodného plánování a větší spolupráce EU. NIS2 vyžaduje, aby členské státy jmenovaly vnitrostátní orgány odpovědné za řízení kybernetických krizí, zavedly vnitrostátní plány reakce na rozsáhlé kybernetické bezpečnostní incidenty a krize a zřídily evropskou síť styčných organizací pro řešení kybernetických krizí (EU-CYCLONe) na podporu koordinovaného řízení rozsáhlých kybernetických bezpečnostních incidentů a krizí na operační úrovni. Tato síť je klíčovou složkou přispívající k vytvoření rámce EU pro řešení kybernetických krizí, který Komise nastínila v roce 2017 v doporučení o koordinované reakci na rozsáhlé incidenty a krize.

Zpravidla se má za to, že základní a důležité subjekty spadají do pravomoci členského státu, v němž jsou usazeny. Pokud je subjekt usazen ve více než jednom členském státě, měl by spadat do pravomoci každého z těchto členských států. Příslušné orgány každého z těchto členských států by měly spolupracovat, poskytovat si vzájemnou pomoc a případně provádět společná opatření v oblasti dohledu. Existuje několik výjimek z tohoto pravidla:

• poskytovatelé veřejných sítí elektronických komunikací nebo poskytovatelé nebo veřejně dostupné služby elektronických komunikací by spadali do pravomoci členského státu, v němž poskytují své služby.
• subjekty veřejné správy by spadaly do pravomoci členského státu, který je zřídil.
• některé typy subjektů by spadaly do pravomoci členského státu, v němž mají hlavní provozovnu v Unii. Mezi tyto subjekty patří poskytovatelé služeb systému doménových jmen, registry doménových jmen nejvyšší úrovně, subjekty poskytující služby registrace doménových jmen, poskytovatelé služeb cloud computingu, poskytovatelé služeb datových center, poskytovatelé sítí pro doručování obsahu, poskytovatelé řízených služeb, poskytovatelé řízených bezpečnostních služeb, jakož i poskytovatelé online tržišť, internetových vyhledávačů a platforem sociálních sítí. Cílem je zajistit, aby tyto subjekty nečelily velkému množství různých právních požadavků, neboť poskytují služby přes hranice ve zvláště vysoké míře. Pro účely účinného dohledu budou členské státy od těchto typů subjektů vyžadovat, aby mimo jiné oznámily, kde se nachází hlavní provozovna subjektu, jakož i jeho další právní provozovny v Unii, nebo pokud nejsou usazeny v Unii, místo, kde je určen zástupce subjektu. Agentura ENISA by byla povinna vytvořit a vést rejstřík s informacemi poskytnutými na tomto základě členskými státy.

Spolupráce EU pokračuje tím, že členským státům umožňuje jednat společně a řešit vznikající bezpečnostní rizika, která představuje probíhající digitální transformace.

Konkrétně budou členské státy moci společně dohlížet na provádění pravidel EU a vzájemně si pomáhat v případě přeshraničních nekalých praktik, vést strukturovanější dialog se soukromým sektorem a koordinovat zveřejňování slabých míst zjištěných v softwaru a hardwaru prodávaných na celém vnitřním trhu. Budou rovněž moci koordinovaně pracovat na posouzení bezpečnostních rizik a hrozeb souvisejících s novými technologiemi, jako tomu bylo poprvé u sítí 5G.

Členské státy budou vycházet ze spolupráce EU s cílem zlepšit vnitrostátní schopnosti prostřednictvím výměn zaměstnanců mezi orgány a vzájemných hodnocení. Stávající skupiny, zejména skupina pro spolupráci sdružující vnitrostátní orgány pro kybernetickou bezpečnost a síť skupin pro reakci na počítačové bezpečnostní incidenty (CSIRT), přispějí k pokroku spolupráce jak na strategické, tak na technické úrovni.

Směrnice NIS2 úzce souvisí s dalšími dvěma iniciativami, směrnicí o odolnosti kritických subjektů (CER) a nařízením o digitální provozní odolnosti finančního sektoru (akt o digitální provozní odolnosti, DORA) ..

Oblast působnosti směrnice o bezpečnosti sítí a informací 2 a směrnice o odolnosti kritických subjektů (směrnice o odolnosti kritických subjektů) byla do značné míry sladěna, aby se zajistilo komplexní řešení fyzické a kybernetické odolnosti kritických subjektů. Subjekty určené jako kritické subjekty podle směrnice CER budou rovněž podléhat povinnostem v oblasti kybernetické bezpečnosti podle směrnice NIS2. Kromě toho musí příslušné vnitrostátní orgány podle směrnic CER a NIS2 spolupracovat a pravidelně si vyměňovat relevantní informace, například o rizicích, kybernetických hrozbách a incidentech, jakož i o jiných než kybernetických rizicích, hrozbách a incidentech. Skupina pro spolupráci v rámci směrnice NIS2 se bude muset pravidelně a nejméně jednou ročně scházet se skupinou pro odolnost kritických subjektů zřízenou podle směrnice CER.

Pokud jde o finanční sektor, zatímco nová směrnice o bezpečnosti sítí a informací zahrnuje do své oblasti působnosti úvěrové instituce, provozovatele obchodních systémů a ústřední protistrany, nařízení DORA se bude na tyto subjekty vztahovat, pokud jde o řízení kybernetických bezpečnostních rizik a oznamovací povinnosti. Zároveň je důležité zachovat silný vztah pro výměnu informací mezi finančním sektorem a ostatními odvětvími, na něž se vztahuje směrnice o bezpečnosti sítí a informací 2. Za tímto účelem by se podle nařízení DORA , mohly jednání skupiny pro spolupráci v oblasti bezpečnosti sítí a informací účastnit evropské orgány dohledu pro finanční sektor a příslušné vnitrostátní orgány finančního sektoru. Kromě toho by příslušné orgány DORA mohly konzultovat a sdílet relevantní informace s jednotnými kontaktními místy (SPOC) a týmy CSIRT zřízenými v rámci NIS2. Příslušné orgány, jednotná kontaktní místa nebo týmy CSIRT zřízené podle směrnice NIS2 by rovněž obdržely podrobnosti o závažných incidentech souvisejících s IKT od příslušných orgánů podle nařízení DORA. Kromě toho by členské státy měly i nadále zahrnovat finanční sektor do svých strategií kybernetické bezpečnosti a vnitrostátní týmy CSIRT mohou do svých činností zahrnout finanční sektor.

Členské státy budou muset směrnici provést ve vnitrostátním právu do 17. října 2024 (21 měsíců od vstupu směrnice o bezpečnosti sítí a informací v platnost2). Komise poté musí pravidelně přezkoumávat fungování směrnice a do 17. října 2027 o tom poprvé podat zprávu Parlamentu a Radě.