Kybernetická bezpečnosť podľa smernice NIS2

NIS2 je smernica Európskej únie (EÚ 2022/2555), ktorej cieľom je zvýšiť úroveň kybernetickej bezpečnosti a odolnosti organizácií v členských štátoch EÚ. Nadväzuje na pôvodnú smernicu NIS1 a rozširuje okruh organizácií, na ktoré sa vzťahujú povinnosti v oblasti ochrany sietí a informačných systémov.

Smernica sa zameriava najmä na organizácie pôsobiace v kritických a ďalších dôležitých odvetviach, ako sú energetika, doprava, zdravotníctvo, bankovníctvo, digitálna infraštruktúra, výroba či verejná správa. Dotknutým organizáciám ukladá povinnosť systematicky riadiť kybernetické riziká, zavádzať primerané bezpečnostné opatrenia a zabezpečiť pripravenosť na riešenie a hlásenie kybernetických bezpečnostných incidentov.

Na Slovensku sa požiadavky smernice premietli do zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti v znení neskorších predpisov. Pre dotknuté organizácie to znamená potrebu preveriť aktuálny stav zabezpečenia, identifikovať bezpečnostné riziká a prijať opatrenia na splnenie príslušných legislatívnych požiadaviek.

Smernica NIS2 rozširuje okruh organizácií, ktoré musia dodržiavať požiadavky na kybernetickú bezpečnosť. Týka sa najmä stredných a veľkých organizácií pôsobiacich vo vybraných kritických a ďalších dôležitých odvetviach.

Medzi dotknuté oblasti patria napríklad:

• Energetika a doprava – dodávatelia energií, prevádzkovatelia dopravnej infraštruktúry.

• Zdravotníctvo – nemocnice, poskytovatelia zdravotnej starostlivosti a vybraní výrobcovia zdravotníckych produktov.

• Finančný sektor – banky a ďalšie subjekty finančnej infraštruktúry.

• Digitálna infraštruktúra a IT – poskytovatelia cloudových služieb, dátových centier a riadených IT služieb.

• Výroba a priemysel – vybraní výrobcovia elektroniky, strojov, automobilov a ďalších produktov.

• Verejná správa – príslušné orgány verejnej správy.

Pôsobnosť smernice sa neurčuje iba podľa odvetvia. Dôležitá je aj veľkosť organizácie, charakter poskytovaných služieb a ďalšie zákonné kritériá. Povinnosti sa za určitých podmienok môžu vzťahovať aj na menšie organizácie.

Preto je dôležité overiť, či vaša organizácia patrí medzi základné alebo dôležité subjekty podľa platnej slovenskej legislatívy.

Hlavným cieľom smernice NIS2 je zvýšiť odolnosť organizácií voči kybernetickým hrozbám a zabezpečiť vyššiu spoločnú úroveň kybernetickej bezpečnosti v celej Európskej únii.

Smernica preto kladie dôraz na:

• Riadenie kybernetických rizík – identifikáciu, hodnotenie a minimalizáciu bezpečnostných rizík.

• Bezpečnostné opatrenia – ochranu informačných systémov, sietí a firemných dát.

• Riešenie bezpečnostných incidentov – schopnosť včas odhaliť, riešiť a hlásiť kybernetické incidenty.

• Bezpečnosť dodávateľského reťazca – posudzovanie rizík spojených s dodávateľmi a externými partnermi.

• Zodpovednosť vedenia – zapojenie manažmentu do riadenia kybernetickej bezpečnosti.

• Kontinuitu prevádzky – zabezpečenie dostupnosti a obnovy dôležitých systémov a služieb.

Cieľom nie je iba splnenie legislatívnych povinností, ale predovšetkým zvýšenie schopnosti organizácie predchádzať kybernetickým útokom a zvládať ich následky.

Smernica NIS2 stanovuje spoločný rámec kybernetickej bezpečnosti pre členské štáty Európskej únie. Aby sa jej požiadavky uplatňovali aj na Slovensku, boli premietnuté do vnútroštátnej legislatívy prostredníctvom zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti v znení neskorších predpisov.

Slovenský zákon upravuje najmä povinnosti regulovaných subjektov, riadenie kybernetických rizík, prijímanie bezpečnostných opatrení, hlásenie a riešenie kybernetických bezpečnostných incidentov či výkon auditu kybernetickej bezpečnosti.

Pre organizácie, na ktoré sa zákon vzťahuje, je preto dôležité poznať svoje povinnosti, preveriť úroveň kybernetickej bezpečnosti a zabezpečiť potrebné technické, organizačné a procesné opatrenia.