Nový zákon o kybernetické bezpečnosti (nZKB)

Nový zákon o kybernetické bezpečnosti (nZKB) představuje zásadní milník v oblasti ochrany digitálního prostředí v České republice. Tento zákon, který transponuje evropskou směrnici NIS2 (Network and Information Security Directive 2) do české legislativy, přináší výrazné zpřísnění požadavků na kybernetickou bezpečnost a rozšiřuje okruh povinných subjektů na odhadovaných 6 000 až 12 000 organizací v ČR.

Na rozdíl od původního zákona č. 181/2014 Sb. o kybernetické bezpečnosti, který se vztahoval primárně na provozovatele kritické infrastruktury a správce významných informačních systémů, nový zákon pokrývá podstatně širší spektrum odvětví. Mezi nově regulované sektory patří mimo jiné poštovní a kurýrní služby, nakládání s odpady, výroba a distribuce chemikálií, potravinářský průmysl, výroba zdravotnických prostředků, strojírenství, motorová vozidla a řada dalších.

Kategorie subjektů podle nZKB

Zákon rozlišuje dvě hlavní kategorie regulovaných subjektů – základní subjekty a důležité subjekty. Základní subjekty podléhají přísnějšímu režimu dohledu a vyšším sankcím. Zařazení organizace do příslušné kategorie závisí na kombinaci odvětví, ve kterém působí, a velikosti organizace (počet zaměstnanců, roční obrat, bilanční suma). Kritéria pro zařazení vychází z přílohy zákona a navazujících prováděcích předpisů.

Základní subjekty zahrnují především velké organizace v kritických sektorech – energetika, doprava, bankovnictví a finanční trhy, zdravotnictví, pitná voda a odpadní vody, digitální infrastruktura, veřejná správa a vesmírný sektor. Tyto subjekty podléhají proaktivnímu dohledu ze strany NÚKIB a hrozí jim sankce až do výše 250 milionů Kč nebo 2 % celosvětového ročního obratu.

Důležité subjekty zahrnují střední a velké organizace v dalších odvětvích – poštovní služby, nakládání s odpady, chemický průmysl, potravinářství, výroba, digitální poskytovatelé a výzkum. Pro tyto subjekty platí reaktivní dohled a nižší sankční stropy.

Bezpečnostní opatření požadovaná nZKB

Zákon o kybernetické bezpečnosti vyžaduje implementaci komplexního souboru technických a organizačních opatření. Mezi klíčové oblasti patří:

• Řízení rizik – systematická identifikace, hodnocení a ošetření rizik kybernetické bezpečnosti s využitím uznávaných metodik (ISO 27005, FAIR, NIST RMF)
• Řízení aktiv – evidence a klasifikace informačních aktiv, určení vlastníků aktiv, posouzení dopadů (BIA)
• Řízení přístupu – implementace principu nejmenších oprávnění (least privilege), vícefaktorová autentizace (MFA), správa identit (IAM)
• Řízení incidentů – procesy detekce, reakce a obnovy po bezpečnostních incidentech, hlášení NÚKIB do 24 hodin
• Kontinuita činností – plány kontinuity provozu (BCP), plány obnovy po havárii (DRP), zálohovací strategie
• Bezpečnost dodavatelského řetězce – hodnocení bezpečnosti dodavatelů, smluvní požadavky, audit třetích stran
• Kryptografická ochrana – šifrování dat v klidu i při přenosu, správa klíčů, PKI infrastruktura
• Zabezpečení komunikací – segmentace sítě, monitoring síťového provozu, detekce anomálií (NDR)
• Fyzická bezpečnost – ochrana prostor, kontrola přístupu, monitoring perimetru
• Vzdělávání a povědomí – pravidelná školení zaměstnanců, phishingové testy, security awareness programy

Hlášení kybernetických bezpečnostních incidentů

Jednou z nejdůležitějších povinností dle nZKB je hlášení kybernetických bezpečnostních incidentů Národnímu úřadu pro kybernetickou a informační bezpečnost (NÚKIB). Zákon zavádí třístupňový systém hlášení: počáteční varování do 24 hodin od zjištění incidentu, oznámení incidentu do 72 hodin s podrobnějšími informacemi a závěrečnou zprávu do 1 měsíce obsahující analýzu příčin, dopadů a přijatých opatření.

Za kybernetický bezpečnostní incident se dle zákona považuje událost, která má nebo může mít významný dopad na poskytování regulované služby. Organizace musí mít zavedeny procesy pro detekci incidentů, jejich klasifikaci podle závažnosti a eskalační postupy. SynergyBit pomáhá organizacím s nastavením těchto procesů a nabízí služby SOC as a Service a Incident Response pro zajištění nepřetržitého monitoringu a reakce na incidenty.

Role NÚKIB v systému kybernetické bezpečnosti

Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) je ústředním správním orgánem pro oblast kybernetické bezpečnosti v České republice. V rámci nZKB má NÚKIB rozšířené pravomoci zahrnující registraci povinných subjektů, provádění kontrol a auditů, ukládání nápravných opatření, vydávání reaktivních opatření při akutních hrozbách a ukládání sankcí za nedodržení zákona. NÚKIB zároveň provozuje vládní CERT (GovCERT.CZ), který poskytuje technickou podporu při řešení bezpečnostních incidentů.

Vztah nZKB k dalším regulacím

Zákon o kybernetické bezpečnosti existuje v kontextu dalších regulačních rámců. Organizace mohou být současně povinny dodržovat GDPR (ochrana osobních údajů), DORA (digitální odolnost finančního sektoru), CRA (Cyber Resilience Act pro výrobce produktů s digitálními prvky), ISO 27001 (systém řízení informační bezpečnosti) nebo PCI DSS (bezpečnost platebních karet). SynergyBit nabízí integrovaný přístup ke compliance, který umožňuje efektivně řešit požadavky více regulací současně a minimalizovat duplicitní práci.

Odpovědnost managementu za kybernetickou bezpečnost

Nový zákon o kybernetické bezpečnosti zavádí osobní odpovědnost členů vedení organizace za oblast kybernetické bezpečnosti. Statutární orgány jsou povinny schválit bezpečnostní politiku, zajistit dostatečné zdroje pro implementaci bezpečnostních opatření a absolvovat pravidelné školení v oblasti kybernetické bezpečnosti. V případě závažného porušení může NÚKIB uložit zákaz výkonu řídící funkce. Toto ustanovení zásadně mění přístup k bezpečnosti – kybernetická bezpečnost se stává odpovědností boardu, nikoli pouze IT oddělení.

Softwarové nástroje pro compliance s nZKB

Pro efektivní řízení souladu se zákonem o kybernetické bezpečnosti je nezbytné využívat vhodné softwarové nástroje. SynergyBit vyvíjí a dodává vlastní řešení pro řízení kybernetické bezpečnosti:

• ISMS Software – komplexní nástroj pro řízení systému managementu informační bezpečnosti dle ISO 27001 s mappingem na požadavky nZKB
• GRC nástroj (CSA) – platforma pro governance, řízení rizik a compliance pokrývající NIS2, DORA, ISO 27001 a další rámce
• nZKB Gap Analýza Software v2 – specializovaný nástroj pro gap analýzu vůči 147 požadavkům nZKB s generováním audit-ready dokumentace
• Risk Management Software – nástroj pro řízení rizik dle ISO 27005, FAIR a dalších metodik s automatizovaným risk scoringem
• Document Management System – systém pro řízení bezpečnostní dokumentace s verzováním, schvalováním a auditní stopou

Jak se připravit na nZKB – praktický postup

Příprava na zákon o kybernetické bezpečnosti vyžaduje systematický přístup. Doporučujeme následující postup:

1. Sebeidentifikace – Určete, zda vaše organizace spadá pod působnost zákona. Využijte náš nástroj pro sebeidentifikaci nebo se poraďte s našimi odborníky.
2. Gap analýza – Proveďte posouzení aktuálního stavu kybernetické bezpečnosti vůči požadavkům zákona. Identifikujte mezery a stanovte priority.
3. Akční plán – Na základě gap analýzy připravte prioritizovaný plán implementace bezpečnostních opatření s časovým harmonogramem a rozpočtem.
4. Implementace opatření – Postupně zavádějte technická a organizační opatření. Začněte s nejvyššími riziky a nejkritičtějšími systémy.
5. Registrace u NÚKIB – Ohlaste regulovanou službu NÚKIB do 60 dnů od splnění podmínek (§ 6).
6. Dokumentace – Vytvořte požadovanou bezpečnostní dokumentaci – politiky, směrnice, postupy, záznamy.
7. Školení – Proškolte zaměstnance i management v oblasti kybernetické bezpečnosti a jejich povinností dle zákona.
8. Průběžné zlepšování – Kybernetická bezpečnost je kontinuální proces. Nastavte pravidelné přezkumy, audity a aktualizace bezpečnostních opatření.

Náklady na compliance s nZKB

Náklady na dosažení souladu se zákonem o kybernetické bezpečnosti se výrazně liší v závislosti na velikosti organizace, aktuálním stavu bezpečnosti a kategorii subjektu. Pro menší organizace mohou náklady začínat na stovkách tisíc korun, zatímco velké organizace v kritických sektorech mohou investovat miliony až desítky milionů korun. Je důležité chápat tyto investice v kontextu potenciálních sankcí (až 250 mil. Kč) a škod způsobených kybernetickými útoky, které mohou být řádově vyšší.

SynergyBit nabízí flexibilní modely spolupráce – od jednorázové gap analýzy přes kompletní implementaci až po průběžný outsourcing řízení kybernetické bezpečnosti. Díky regionálnímu zázemí (sídlo v Ostravě, pobočky na Moravě) a efektivnímu využívání moderních technologií můžeme nabídnout konkurenceschopné ceny při zachování nejvyšší kvality služeb. Poskytujeme služby po celé České republice – od Prahy, Brna a Ostravy až po menší města a obce.