V posledních letech se kybernetická bezpečnost stala klíčovou součástí fungování moderních firem. Útoky na IT systémy už nejsou záležitostí jen velkých korporací – ohroženy jsou i menší a střední firmy, státní instituce nebo poskytovatelé kritických služeb. S příchodem směrnice NIS2 a nového českého kybernetického zákona se povinnosti organizací výrazně mění. Firmy tak stojí před zásadní otázkou, jak se připravit, aby byly v souladu se zákonem a zároveň efektivně chránily své systémy.
Co je NIS2 a proč je důležitá?
Směrnice NIS2, přijatá Evropskou Unií, je pokračováním původní směrnice NIS (Network and Information Security). Jejím hlavním cílem je zvýšit bezpečnost sítí a informačních systémů, zejména těch, které poskytují kritické služby. Na rozdíl od původní směrnice je NIS2 přísnější, rozšiřuje okruh subjektů, které podléhají povinnostem, a navíc zavádí tvrdší sankce za nedodržení pravidel.
Pro firmy to znamená, že bezpečnostní rizika už nelze brát jako „věc IT oddělení“. NIS2 ukládá organizacím povinnost systematicky identifikovat rizika, přijímat preventivní opatření a prokazatelně dokládat, že se snaží útokům předcházet. To zahrnuje nejen technické nástroje, ale i procesy a školení zaměstnanců.
Jaké kroky firmy podnikají?
Příprava na NIS2 se často rozděluje do několika klíčových kroků:
- Mapování rizik a kritických aktiv
Prvním krokem je pochopení, co je pro firmu kritické. Zde je důležité identifikovat především tzv. regulovanou službu. Zatímco firma může mít robustní IT infrastrukturu, z pohledu NIS2 je klíčové určit systémy a služby, které tuto regulovanou činnost přímo podporují. Firmy vytvářejí inventář aktiv a hodnotí dopady jejich výpadku či úniku dat na fungování společnosti.
- Zavedení organizačních a technických opatření
Před samotným nasazením technologií je zásadní stanovení organizačních směrnic. Doporučuje se nejprve definovat bezpečnostní standardy pro jednotlivé technické oblasti (např. v rámci směrnice ke kybernetické bezpečnosti), aby se nestalo, že nasazená technická opatření nebudou splňovat zákonné požadavky. Teprve na základě těchto standardů se nasazují konkrétní nástroje:
- Technické nástroje: Firewall, šifrování dat, antivirové programy, multifaktorová autentizace, zálohování a monitoring systémů.
- Organizační procesy: Jasně definované povinnosti zaměstnanců a pravidelné vzdělávání zaměstnanců.
- Incident response a reporting
NIS2 ukládá povinnost hlásit významné kybernetické incidenty národním orgánům. Firmy proto zavádějí procesy pro rychlou identifikaci a vyhodnocení incidentu. Cílem je zajistit schopnost garantovat nahlášení incidentu na NÚKIB do 24 hodin. K tomu některé organizace využívají i externí hotline služby, aby byla dodržena přísná časová lhůta i mimo pracovní dobu. Bez jasného postupu by hrozila nejen vyšší škoda, ale i sankce.
- Audit a dokumentace
Směrnice vyžaduje, aby organizace mohly prokázat, že bezpečnostní opatření skutečně fungují. To znamená pravidelné interní audity, aktualizaci politik a důsledné vedení dokumentace. Firmy, které postrádají formální záznamy o plnění opatření, se při kontrole snadno dostanou do problémů.
Příklady dobré praxe: V praxi se ukazuje, že firmy, které kombinují technická opatření s jasnou strukturou procesů a směrnic, jsou nejlépe připravené. Některé společnosti jmenují manažera kybernetické bezpečnosti, a to jen z vlastního rozhodnutí. Ten sleduje aktuální hrozby, koordinuje školení a komunikuje s vedením firmy. Některé firmy využívají také externí auditní společnosti k provádění penetračních testů, které reálně prověří připravenost na bezpečnonostní incidenty.
Výzvy a překážky
Příprava na NIS2 není jednoduchá. Mnohé firmy se potýkají s omezeným rozpočtem, nedostatkem kvalifikovaných odborníků a složitou legislativou. Často také bývá výzvou propojit nové požadavky se stávajícími systémy a procesy. Přesto se ukazuje, že investice do bezpečnosti se vyplatí – nejen kvůli legislativě, ale i kvůli ochraně pověsti a důvěry zákazníků. Důležité je udržet také kulturu bezpečnosti. Zaměstnanci jsou často nejslabším článkem, proto firmy organizují pravidelná školení, testy phishingových útoků a osvětu o bezpečném nakládání s daty.
Co očekávat v budoucnu?
Závěrem lze říct, že NIS2 a nový kybernetický zákon posouvají kybernetickou bezpečnost z pozice doplňku IT oddělení do centra rozhodování celé firmy. Firmy, které toto přijmou, budou nejen v souladu se zákonem, ale také lépe připravené čelit kymernetickým hrozbám.
My v ARIONu se kybernetickou bezpečností zabýváme již mnoho let a rádi vám pomůžeme docílit toho, aby vaše firma byla v souladu s NIS2 a aby byla současně zajištěna ochrana vaší firmy. Pro více informací si neváhejte domluvit nezávaznou a bezplatnou schůzku s naším odborníkem zde.
