Spadá Vaše firma pod zákon o kyberbezpečnosti?

Co zákon reguluje

Regulovanou službou je služba, o které tak rozhodl Národní úřad pro kybernetickou a informační bezpečnost, dále Úřad, v rozhodnutí o registraci.

Podmínky registrace spojují poskytovanou službu a významnost poskytovatele. Konkrétní seznam služeb a podmínky najdete v příloze vyhlášky o regulovaných službách.

Zákon zapracovává evropskou směrnici NIS2, která upravuje kybernetickou bezpečnost. Pro posouzení v České republice vycházíme z českého zákona a prováděcích vyhlášek.

Pokud splníte podmínky podle § 4 odst. 1, ohlašovací povinnost je na Vás jako poskytovateli. Doporučujeme proto výsledek posouzení i použité podklady zaznamenat.

První otázka: jakou službu poskytujete

Zákon vymezuje patnáct odvětví, mezi nimi veřejnou správu, energetiku, výrobu, dopravu, zdravotnictví nebo digitální infrastrukturu a služby.

Příslušnost k odvětví je první orientace. Konkrétní službu a podmínky významnosti poskytovatele určuje vyhláška.

Doporučujeme porovnat popis služby v příloze s tím, co skutečně poskytujete. Připravte stručný popis činnosti, používané systémy a podklady, které její rozsah vysvětlují.

Pokud poskytujete více služeb, projděte každou z nich. V pracovním přehledu si u každé poznamenejte odpovídající řádek přílohy a otázky, které potřebujete dořešit.

Druhá otázka: jaká je velikost podniku

Zákon pracuje se středním nebo velkým podnikem podle doporučení Komise 2003/361/ES, případně s jinou významností poskytovatele.

Pro posouzení si připravte údaje o zaměstnancích, ročním obratu a bilanční sumě, tedy celkové hodnotě aktiv v rozvaze. Připojte údaje o vlastnictví a vazbách na další podniky.

Samotný počet lidí na seznamu zaměstnanců není úplný podklad. S Vámi ověříme způsob výpočtu, rozhodná období i pravidla pro partnerské a propojené podniky.

Částky v eurech se přepočítávají kurzem České národní banky pro poslední den předcházející posuzovanému kalendářnímu roku nebo období.

Zákon stanoví také zvláštní pravidla. Za partnerské nebo propojené nepovažuje osoby, jejichž technická aktiva jsou zcela oddělena od technických aktiv používaných posuzovanou osobou při poskytování regulované služby.

Organizační složky státu, územní samosprávné celky a Česká národní banka se pro tyto účely nepovažují za podnik.

Ve vědě, výzkumu a vzdělávání se pravidla určování velikosti použijí obdobně i na poskytovatele, který podnikem není.

Třetí otázka: splňujete podmínku významnosti

Podmínka významnosti může vycházet z velikosti nebo jiných vlastností poskytovatele. Ověřujte proto celý řádek přílohy pro příslušnou službu.

U výkonu svěřených pravomocí ve veřejné správě příloha poskytovatele vyjmenovává. Uvádí například kraje, hlavní město Prahu, obce s rozšířenou působností a vysoké školy.

Příloha zároveň rozděluje poskytovatele podle služeb do režimu nižších nebo vyšších povinností. Výsledek posouzení proto využijete i při přípravě plánu opatření.

Rozdíly rolí a povinností najdete v průvodci zákonem. Při konzultaci je vztáhneme k Vašemu provozu.

Čtvrtá otázka: platí zvláštní podmínky

Úřad může registrovat službu také podle zvláštních podmínek, například kvůli zásadnímu významu poskytovatele nebo dopadům narušení služby.

Patří sem například služba jediného poskytovatele v České republice, která je zásadní pro kritické činnosti nebo bezpečnost státu.

Zákon zahrnuje také službu odpovídající určenému prvku kritické infrastruktury u jejího poskytovatele.

Řízení podle těchto zvláštních podmínek zahajuje Úřad z moci úřední. Takto registrovaný poskytovatel je v režimu vyšších povinností.

Pro běžné posouzení s Vámi nejprve projdeme podmínky podle § 4. Zvláštní postup Úřadu nenahrazuje Vaši ohlašovací povinnost při jejich splnění.

Odkdy počítat lhůtu

Službu splňující podmínky podle § 4 odst. 1 ohlásíte nejpozději do 60 dnů od jejich splnění. Datum posouzení a datum splnění podmínek doporučujeme evidovat zvlášť.

Od doručení rozhodnutí o registraci běží 30 dnů pro hlášení kontaktních a doplňujících údajů. Na zahájení zavádění a provádění opatření máte nejvýše rok.

Změny regulované služby, které mohou vést ke změně režimu, hlásíte do 60 dnů od změny. Přehled dalších termínů najdete u lhůt podle ZoKB.

Co připravit k posouzení

• Popis všech poskytovaných služeb a odpovídající řádky přílohy.
• Podklady k zaměstnancům, obratu, bilanční sumě a rozhodným obdobím.
• Přehled vazeb na další podniky a technických souvislostí.
• Dosavadní rozhodnutí, ohlášení a záznamy o změnách.

Začít můžete orientační kalkulačkou. S Vámi pak projdeme podklady a nejasné body, aby byl závěr posouzení dohledatelný.