V súčasnosti je nositeľom základných európskych pravidiel v oblasti kybernetickej bezpečnosti smernica Európskeho parlamentu a Rady (EÚ) 2016/1148 o opatreniach na zabezpečenie vysokej spoločnej úrovne bezpečnosti sietí a informačných systémov v Únii (tzv. Smernica NIS) a nariadenie Európskeho parlamentu a Rady 2019/881 o agentúre ENISA (Agentúra Európskej únie pre kybernetickú bezpečnosť) a o certifikácii kybernetickej bezpečnosti informačných a komunikačných technológií  (akt o kybernetickej bezpečnosti).

Nová smernica NIS2

V jednotlivých členských štátoch EÚ na tieto európske pravidlá nadväzujú príslušné národné právne rámce upravujúce oblasť kybernetickej bezpečnosti, pričom v podmienkach Slovenskej republiky sú to najmä zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov a ďalšie súvisiace vykonávacie právne predpisy.

Tieto právne normy možno bezpochyby považovať za zjednocujúci prvok na riešenie opatrení v oblasti kybernetickej bezpečnosti v Európe. S posilnením digitálnej transformácie procesov prebiehajúcich v spoločnosti pri riešení pandémie COVID-19, ako aj vojnového konfliktu na Ukrajine, prišlo aj k akcelerácii kybernetických útokov. Nie je preto žiadnym prekvapením, že príslušné autority pristúpili k „prekopaniu“ týchto pravidiel.

Výsledkom je, že novým reprezentantom európskych pravidiel v oblasti kybernetickej bezpečnosti má byť nová smernica NIS2. Ide o smernicu Európskeho parlamentu a Rady o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii a o zrušení smernice 2016/1148, ktorá pôvodnú Smernicu NIS nahradí.

V nasledujúcich bodoch si priblížime vybrané skutočnosti, ktoré nám nová smernica NIS2 prinesie:

• Regulované subjekty delí na kľúčové subjekty a dôležité subjekty, ktoré definuje v svojich prílohách nasledovne:
  • verejné alebo súkromné kľúčové subjekty pôsobiace v odvetviach definovaných v prílohe I. smernice NIS2 sú: energetika, doprava, bankovníctvo, infraštruktúry finančných trhov, zdravotníctvo, pitná voda, odpadová voda, digitálna infraštruktúra, verejná správa a vesmír,
  • verejné alebo súkromné dôležité subjekty pôsobiace v odvetviach definovaných v prílohe II. smernice NIS2 sú: poštové a kuriérske služby, odpadové hospodárstvo, získavanie, výroba a distribúcia chemických látok, výroba, spracovanie a distribúcia potravín, výroba a poskytovatelia digitálnych služieb.

• Zavádza pravidlo veľkosti regulovaného subjektu, a to v tom zmysle, že subjekt spadá pod reguláciu smernice NIS2, ak sú súčasne splnené nasledujúce podmienky:
  • subjekt poskytuje aspoň jednu službu uvedenú v prílohách smernice NIS2, a zároveň
  • je stredným alebo veľkým podnikom, teda zamestnáva 50 a viac zamestnancov, alebo dosahuje ročný obrat alebo bilančnú sumu ročnej súvahy aspoň 10 miliónov EUR.

V niektorých prípadoch stanovených smernicou NIS2, ale toto pravidlo platiť nebude a pod reguláciu NIS2 budú spadať všetky subjekty z daného sektora, bez ohľadu na ich veľkosť, a to napríklad subjekty poskytujúce verejné elektronické komunikačné siete alebo verejne dostupné elektronické komunikačné služby, správcovia mien domény najvyššej úrovne a poskytovatelia služby systému doménových mien (DNS), subjekt, ktorý je jediným poskytovateľom služby v členskom štáte a pod.

• Od členských štátov vyžaduje najmä:
  • prijatie vnútroštátnej stratégie kybernetickej bezpečnosti, v ktorej sa vymedzia strategické ciele a vhodné politické a regulačné opatrenia,
  • určenie jednej alebo viacerých jednotiek CSIRT zodpovedných za riešenie incidentov podľa presne stanovených postupov,
  • zavedenie národného rámca krízového riadenia kybernetickej bezpečnosti, a to najmä určením príslušných vnútroštátnych orgánov zodpovedných za riadenie incidentov a kríz kybernetickej bezpečnosti veľkého rozsahu,
  • určenie jedného alebo viacero príslušných vnútroštátnych orgánov zodpovedných za kybernetickú bezpečnosť a za úlohy dohľadu v tejto oblasti,
  • určenie národného jednotného kontaktného miesta pre kybernetickú bezpečnosť, ktoré bude zabezpečovať cezhraničnú spoluprácu orgánov členských štátov,
  • zabezpečenie, aby riadiace orgány kľúčových a dôležitých subjektov schválili opatrenia na riadenie kybernetických rizík prijaté príslušnými subjektmi a pravidelne absolvovali osobitnú odbornú prípravu v oblasti kybernetickej bezpečnosti,
  • zabezpečenie, že kľúčové a dôležité subjekty v rozsahu pôsobnosti prijmú náležité a primerané technické a organizačné opatrenia na riadenie kybernetických rizík súvisiacich s bezpečnosťou sietí a informačných systémov.

• Stanovuje rámec na koordinované zverejňovanie informácií o zraniteľnostiach a od agentúry ENISA vyžaduje, aby pre zistené zraniteľnosti vyvinula a spravovala európsky register zraniteľností.

• Zriaďuje skupinu pre spoluprácu na podporu a uľahčenie strategickej spolupráce a výmeny informácií medzi členskými štátmi.

• Zriaďuje sieť jednotiek CSIRT s cieľom prispieť k zvyšovaniu dôvery a podporiť rýchlu a účinnú operačnú spoluprácu medzi členskými štátmi.

• Zriaďuje Európsku sieť styčných organizácií pre kybernetické krízy (EÚ – CyCLONe) s cieľom podporiť koordinované riadenie incidentov a kríz veľkého rozsahu v oblasti kybernetickej bezpečnosti a zabezpečiť pravidelnú výmenu informácií medzi členskými štátmi a inštitúciami EÚ.

• Vyžaduje od správcov mien domény najvyššej úrovne a subjektov poskytujúcich služby registrácie doménových mien pre doménu najvyššej úrovne, aby zbierali a uchovávali presné a úplné údaje o registrácii doménových mien. Ďalej od takýchto subjektov vyžaduje, aby oprávneným žiadateľom o prístup poskytli účinný prístup k registračným údajom domény.

• Určuje, že niektoré vybrané subjekty (napr. poskytovatelia služieb DNS, správcovia mien domény najvyššej úrovne, poskytovatelia služieb cloud computingu, poskytovatelia služieb dátového centra, poskytovatelia sietí na sprístupňovanie obsahu a poskytovatelia digitálnych služieb) patria do jurisdikcie toho členského štátu, v ktorom majú hlavné miesto podnikateľskej činnosti v Únii. Snahou je vytvoriť také podmienky, aby tieto subjekty nemuseli plniť viaceré rozdielne požiadavky právnych predpisov jednotlivých členských štátov, keďže nimi poskytované služby sú v prevažnej miere realizované prierezovo vo viacerých členských štátoch. Súčasne vyžaduje od agentúry ENISA, aby vytvorila a spravovala register takýchto subjektov.

Vzhľadom na uvedené skutočnosti je zrejmé, že bude potrebné prehodnotenie a novelizácia aj našich národných pravidiel v oblasti kybernetickej bezpečnosti. Ako sa s touto výzvou popasujú naše autority a do akej miery to ovplyvní chod spoločností nám ukáže nasledujúce obdobie.