NIS2 – nová evropská směrnice kybernetické bezpečnosti

Splňuje zabezpečení vaší organizace nebo společnosti požadavky nové směrnice NIS2?

Co přináší směrnice NIS2

Cílem evropské směrnice NIS2 je zvýšit bezpečnost sítí a informačních systémů v EU. Nová regulace tak přímo navazuje na původní směrnici NIS1 a rozšiřuje povinnosti dotčených subjektů. Nejdůležitější změnu představuje rozšíření počtu subjektů, na které se směrnice NIS2 vztahuje.

Širší působení

NIS2 rozšiřuje počet zahrnutých sektorů. Nově se dotkne více než 60 služeb rozdělených do 18 odvětví.

Přísnější požadavky

V porovnání s NIS1, NIS2 výrazně zvyšuje požadavky na prosazování kybernetické bezpečnosti.

Vážnější postihy

Kromě vysokých pokut může nedodržení NIS2 vést také k právním důsledkům pro společnosti a organizace.

Digitální hrozby neznají hranice a útočníci nečekají na implementaci nových zákonů.

Spadáte pod NIS2? Jaká bezpečnostní opatření musíte implementovat?

Připravovaný zákon stanovuje nové povinnosti pro tisíce podniků v oblasti kybernetické bezpečnosti. Vyplňte náš formulář a ověřte si, jak dopadá návrh nového zákona o kybernetické bezpečnosti na vaší organizaci.

NIS2

Vyberte poskytovanou službu

1. Veřejná správa

1.1. Orgán nebo osoba je

2. Energetika – Elektřina

2.1. Držitel licence na výrobu elektřiny podle energetického zákona je

2.2. Poskytovatel je

2.3. Držitel licence na distribuci elektřiny podle energetického zákona je

2.4. Držitel licence na obchod s elektřinou podle energetického zákona je

2.5. Poskytovatel je

2.6. Účastník trhu s elektřinou, který nakupuje, prodává nebo vyrábí elektřinu, vykonává služby agregace nebo je provozovatelem odezvy strany poptávky nebo provozovatelem ukládání energie, včetně vydávání příkazů k obchodování, na jednom či více trzích s elektřinou, včetně trhů s regulační energií je

2.7. Provozovatel veřejně přístupné dobíjecí stanice podle zákona o pohonných hmotách, který je odpovědný za správu a provoz dobíjecí stanice, která poskytuje službu dobíjení koncovým uživatelům, a to jménem a na účet poskytovatele mobility je

3. Energetika – Ropa a ropné produkty

3.1. Provozovatel zařízení na těžbu ropy je

3.2. Provozovatel zařízení na zpracování ropy je

3.3. Provozovatel skladovacího zařízení pro skladování ropy nebo ropných produktů je

3.4. Provozovatel ropovodu je

3.5. Provozovatel produktovodu je

3.6. Poskytovatel je

3.7. Poskytovatel je

4. Energetika – Plynárenství

4.1. Držitel licence na výrobu plynu podle energetického zákona je

4.2. Poskytovatel je

4.3. Držitel licence na distribuci plynu podle energetického zákona je

4.4. Držitel licence pro obchod s plynem podle energetického zákona je

4.5. Držitel licence na uskladňování plynu podle energetického zákona je

5. Energetika – Teplárenství

5.1. Držitel licence na výrobu tepelné energie podle energetického zákona je

5.2. Držitel licence na rozvod tepelné energie podle energetického zákona je

6. Energetika – Vodík

6.1. Výrobce vodíku je

6.2. Subjekt zajišťující skladování vodíku je

6.3. Subjekt zajišťující přepravu vodíku je

7. Výrobní průmysl

7.1. Výrobce počítačů, elektronických a optických přístrojů a zařízení ve smyslu oddílu 26 klasifikace CZ-NACE, který je

7.2. Výrobce elektrických zařízení ve smyslu oddílu 27 klasifikace CZ-NACE, který je

7.3. Jinde nezařazený výrobce strojů a zařízení ve smyslu oddílu 28 klasifikace CZ-NACE, který je

7.4. Výrobce motorových vozidel, přívěsů a návěsů ve smyslu oddílu 29 klasifikace CZ-NACE je

7.5. Výrobce ostatních dopravních prostředků a zařízení ve smyslu oddílu 30 klasifikace CZ-NACE, který je

8. Potravinářský průmysl

8.1. Potravinářský podnik podle přímo použitelného předpisu Evropské unie, který se zabývá velkoobchodní distribucí a průmyslovou výrobou a zpracováním potravin, je

8.2. Potravinářský podnik podle přímo použitelného předpisu Evropské unie, který se zabývá velkoobchodní distribucí a průmyslovou výrobou a zpracováním potravin, je

8.3. Potravinářský podnik podle přímo použitelného předpisu Evropské unie, který se zabývá velkoobchodní distribucí a průmyslovou výrobou a zpracováním potravin, je

9. Chemický průmysl

9.1. Výrobce nebezpečných chemických látek, směsí nebo přípravků nebo látky podle přímo použitelného předpisu Evropské unie je

9.2. Zpracovatel nebezpečných chemických látek, směsí nebo přípravků nebo látky podle přímo použitelného předpisu Evropské unie je

9.3. Distributor nebo osoba skladující nebezpečné chemické látky, směsi nebo přípravky nebo látky podle přímo použitelného předpisu Evropské unie je

9.4. Výrobce předmětů podle přímo použitelného předpisu Evropské unie z látek nebo směsí je

10. Vodní hospodářství

10.1. Provozovatel vodovodu podle zákona o vodovodech a kanalizacích je

10.2. Provozovatel kanalizace podle zákona o vodovodech a kanalizacích je

11. Odpadové hospodářství

11.1. Provozovatel zařízení určeného pro nakládání s odpady podle zákona o odpadech, je

11.2. Obchodník s odpady podle zákona o odpadech, je

11.3. Zprostředkovatel nakládání s odpady podle zákona o odpadech, je

11.4. Dopravce odpadu podle zákona o odpadech, je

12. Letecká doprava

12.1. Letecký dopravce podle zákona o civilním letectví je

12.2. Provozovatel mezinárodního letiště podle zákona o civilním letectví s dočasným či trvalým vyhrazeným bezpečnostním prostorem podle přímo použitelného předpisu Evropské unie je

12.3. Provozovatel pomocných zařízení v rámci mezinárodního letiště podle zákona o civilním letectví s dočasným či trvalým vyhrazeným bezpečnostním prostorem podle přímo použitelného předpisu Evropské unie je

12.4. Poskytovatel je

12.5. Schválený agent podle přímo použitelného předpisu Evropské unie, je

12.6. Známý odesílatel podle přímo použitelného předpisu Evropské unie, je

12.7. Schválený dodavatel palubních zásob podle přímo použitelného předpisu Evropské unie, je

12.8. Poskytovatel služby při odbavovacím procesu na letišti podle zákona o civilním letectví, je

12.9. Poskytovatel letových navigačních služeb podle přímo použitelného předpisu Evropské unie , který není regulován pro službu řízení letového provozu ve vzdušném prostoru České republiky, je

13. Drážní doprava

13.1. Poskytovatel je

13.2. Provozovatel celostátní dráhy podle zákona o dráhách je

13.3. Provozovatel regionální dráhy podle zákona o dráhách je

13.4. Provozovatel veřejně přístupné vlečky podle zákona o dráhách je

13.5. Provozovatel drážní dopravy na celostátní dráze podle zákona o dráhách je

13.6. Provozovatel drážní dopravy na regionální dráze podle zákona o dráhách je

13.7. Provozovatel drážní dopravy na veřejně přístupné vlečce podle zákona o dráhách je

13.8. Provozovatel zařízení služeb podle zákona o dráhách je

14. Vodní doprava

14.1. Subjekt vykonávající činnost námořní vodní dopravy podle přímo použitelného předpisu Evropské unie, je

14.2. Řídící orgán přístavu podle příslušného předpisu Evropské unie nebo subjekt provozující dílo nebo zařízení v rámci přístavů je

14.3. Provozovatel služby lodní dopravě (VTS) podle příslušného předpisu Evropské unie je

15. Silniční doprava

15.1. Subjekt vykonávající správu pozemní komunikace podle zákona o pozemních komunikacích je

15.2. Poskytovatel služby inteligentního dopravního systému podle zákona o pozemních komunikacích je

16. Digitální infrastruktura a služby

16.1. Podnikatel poskytující veřejně dostupnou službu elektronických komunikací podle zákona o elektronických komunikacích je

16.2. Podnikatel poskytující veřejně dostupnou službu elektronických komunikací podle zákona o elektronických komunikacích je

16.3. Poskytovatel je

16.4. Poskytovatel služeb DNS, s výjimkou operátorů kořenových jmenných serverů, je

16.5. Poskytovatel je

16.6. Poskytovatel služby cloud computingu je

16.7. Poskytovatel je

16.8. Poskytovatel je

16.9. Poskytovatel je

16.10. Poskytovatel je

16.11. Poskytovatel řízené služby, který v rámci podnikatelských vztahů poskytuje vzdáleně nebo přímo u zákazníka řízenou službu související s instalací, správou, provozem nebo údržbou technických nebo programových prostředků, je

16.12. Poskytovatel řízené bezpečnostní služby, který je poskytovatelem řízené služby a v rámci podnikatelských vztahů poskytuje službu související s řízením rizik nebo zajištěním bezpečnosti informací, je

16.13. Poskytovatel služby on-line tržiště, který je

16.14. Poskytovatel služby internetového vyhledávače, který je

16.15. Poskytovatel platformy sociální sítě, který je

17. Finanční trh

17.1. Úvěrová instituce podle přímo použitelného předpisu Evropské unie, která je

17.2. Provozovatel obchodního systému podle zákona o podnikání na kapitálovém trhu, který je

17.3. Ústřední protistrana podle přímo použitelného předpisu Evropské unie, která je

17.4. Platební instituce podle zákona o platebním styku je poskytovatel

17.5. Instituce elektronických peněz podle zákona o platebním styku je poskytovatel

18. Zdravotnictví

18.1. Poskytovatel zdravotní péče podle zákona o zdravotních službách je

18.2. Zdravotnická záchranná služba podle zákona o zdravotních službách je

18.3. Referenční laboratoř Evropské unie podle přímo použitelného předpisu Evropské unie zahrnutá do sítě referenčních laboratoří pro oblast veřejného zdraví je

18.4. Zadavatel klinických hodnocení podle přímo použitelného předpisu Evropské unie je

18.5. Výrobce léčivých přípravků podle zákona o léčivech je

18.6. Výrobce léčivých látek podle zákona o léčivech je

18.7. Výrobce zdravotnických prostředků podle přímo použitelného předpisu Evropské unie je

18.8. Výrobce diagnostických zdravotnických prostředků in vitro podle přímo použitelného předpisu Evropské unie je

18.9. Výrobce zdravotnických prostředků uvedených na seznamu kriticky důležitých zdravotnických prostředků při mimořádné situaci v oblasti veřejného zdraví podle přímo použitelného předpisu Evropské unie je

19. Věda, výzkum a vzdělávání

19.1. Výzkumná organizace, jejímž hlavním cílem je provádět aplikovaný výzkum nebo experimentální vývoj za účelem využití tohoto výzkumu pro komerční účely, vysoká škola nebo jiná výzkumná organizace je

19.2. Poskytovatel je

20. Poštovní a kurýrní služby

20.1. Provozovatel poštovní služby podle zákona o poštovních službách a poskytovatel kurýrní služby podle přímo použitelného předpisu Evropské unie, který

21. Vojenský průmysl

21.1. Výrobce vojenského materiálu uvedeného v seznamu vojenského materiálu podle zákona o zahraničním obchodu s vojenským materiálem je

21.2. Právnická nebo fyzická osoba, které bylo vydáno povolení obchodu s vojenským materiálem podle zákona o zahraničním obchodu s vojenským materiálem je

21.3. Výrobce zboží dvojího užití podle přímo použitelného předpisu Evropské unie je

21.4. Držitel povolení k vývozu zboží a technologií dvojího užití podle přímo použitelného předpisu Evropské unie je

21.5. Držitel povolení pro poskytování zprostředkovatelských služeb u zboží a technologií dvojího užití podle přímo použitelného předpisu Evropské unie je

21.6. Držitel povolení pro poskytování technické pomoci související se zbožím a technologií dvojího užití podle přímo použitelného předpisu Evropské unie je

21.7. Držitel povolení k tranzitu nebo přepravě zboží a technologií dvojího užití podle přímo použitelného předpisu Evropské unie je

22. Vesmírný průmysl

22.1. Provozovatel pozemní infrastruktury, který je

Vaše organizace je zařazena do režimu NIŽŠÍCH povinností, kde spadají následující bezpečnostní opatření.
Před zaváděním bezpečnostních opatření je nutné stanovit v organizaci tzv. Rozsah řízení kybernetické bezpečnosti.

Zajišťování minimální úrovně kybernetické bezpečnosti
Povinnosti vrcholného vedení
Řízení rizik
Bezpečnost lidských zdrojů
Řízení kontinuity činností
Řízení přístupu
Řízení identit a jejich oprávnění
Detekce a zaznamenávání kybernetických bezpečnostních událostí
Řešení kybernetických bezpečnostních incidentů
Bezpečnost komunikačních sítí
Aplikační bezpečnost
Kryptografické algoritmy

Tip pro vás: Zajistěte si business kontinuitu jako službu. Při poskytování business kontinuity jako služby máte přístup k odborníkům, kteří vám pomohou identifikovat kritické aspekty vašeho podnikání a navrhnou vhodná opatření pro zajištění neustálé dostupnosti. Součástí služby může být také monitorování rizik a pravidelné testování plánů, což umožní odhalit potenciální slabiny a přijmout preventivní opatření před vypuknutím krizové situace.

Vaše organizace je zařazena do režimu VYŠŠÍCH povinností, kde spadají následující bezpečnostní opatření.
Před zaváděním bezpečnostních opatření je nutné stanovit v organizaci tzv. Rozsah řízení kybernetické bezpečnosti.

Organizační opatření	Technické opatření
Systém řízení bezpečnosti informací Povinnosti vrcholného vedení Bezpečnostní role Řízení bezpečnostní politiky a bezpečnostní dokumentace Řízení aktiv Řízení rizik Řízení dodavatelů Bezpečnost lidských zdrojů Řízení změn Akvizice, vývoj a údržba Řízení přístupu Zvládání kybernetických bezpečnostních událostí a kybernetických bezpečnostních incidentů Řízení kontinuity činností Audit kybernetické bezpečnosti	Fyzická bezpečnost Bezpečnost komunikačních sítí Správa a ověřování identit Řízení přístupových oprávnění Detekce kybernetických bezpečnostních událostí Zaznamenávání bezpečnostních a relevantních provozních událostí Vyhodnocování kybernetických bezpečnostních událostí Aplikační bezpečnost Kryptografické algoritmy Zajišťování dostupnosti regulované služby a Zabezpečení průmyslových, řídicích a obdobných specifických technických aktiv

Organizační opatření

Technické opatření

Systém řízení bezpečnosti informací
Povinnosti vrcholného vedení
Bezpečnostní role
Řízení bezpečnostní politiky a bezpečnostní dokumentace
Řízení aktiv
Řízení rizik
Řízení dodavatelů
Bezpečnost lidských zdrojů
Řízení změn
Akvizice, vývoj a údržba
Řízení přístupu
Zvládání kybernetických bezpečnostních událostí a kybernetických bezpečnostních incidentů
Řízení kontinuity činností
Audit kybernetické bezpečnosti

Fyzická bezpečnost
Bezpečnost komunikačních sítí
Správa a ověřování identit
Řízení přístupových oprávnění
Detekce kybernetických bezpečnostních událostí
Zaznamenávání bezpečnostních a relevantních provozních událostí
Vyhodnocování kybernetických bezpečnostních událostí
Aplikační bezpečnost
Kryptografické algoritmy
Zajišťování dostupnosti regulované služby a
Zabezpečení průmyslových, řídicích a obdobných specifických technických aktiv

Na vaší organizaci se NIS2 nejspíše bezprostředně nevztahuje, ale to neznamená že se vás kybernetická bezpečnost netýká.
V dnešním propojeném světě může každá organizace čelit potenciálním kybernetickým hrozbám, a proto je nezbytné přijmout základní bezpečnostní doporučení, která mohou hrát klíčovou roli při ochraně citlivých dat a celkové bezpečnosti firemních operací. Je také důležité si uvědomit, že i jako součást dodavatelského řetězce by měly podniky věnovat zvýšenou pozornost bezpečnostním opatřením a mohou na ně být kladeny požadavky ze strany vašeho zákazníka.

Zaměřte se především na základní opatření a neustále se snažte svou bezpečnost zvyšovat.

Stanovení rozsahu řízení kybernetické bezpečnosti
Zajištění business kontinuity
Prověřte úroveň zabezpečení vaší firmy

Poznámky a vysvětlivky:

Mikropodnik – zaměstnávají méně než 10 osob a jejichž roční obrat a/nebo bilanční suma roční rozvahy nepřesahuje 2 miliony EUR.
Malý podnik – zaměstnávají méně než 50 osob a jejichž roční obrat a/nebo bilanční suma roční rozvahy nepřesahuje 10 milionů EUR.
Střední podnik – zaměstnávají více než 50 a méně než 250 osob, jejichž roční obrat nepřesahuje 50 milionů EUR a/nebo jejichž bilanční suma roční rozvahy nepřesahuje 43 milionů EUR
Pokud nevíte do jakého oddílu klasifikace CZ-NACE patříte, můžete využít Registr ekonomických subjektů, kde oddíl určuje první dvojčíslí.
Formulář je sestaven na základě návrhu zákona o kybernetické bezpečnosti ze dne 19.6.2023

Kontaktujte nás

Vzhledem k tomu, že směrnice NIS2 má být transponována do vnitrostátního práva do 17. října 2024, musí příslušné organizace podniknout kroky k přípravě na její dodržování.

Doporučujeme začít zejména stanovením rozsahu kybernetické bezpečnosti a analýzou stavu vaší společnosti. Odborných kapacit je v oboru nedostatek a vyplatí se být připraven včas!

Ing. Radek Fujak

Lead auditor

Odpovíme do 24 hodin