Smernica NIS II – Čo čaká kybernetickú bezpečnosť na Slovensku?

Po vyše štyroch rokoch života so Smernicou NIS v podobe slovenského zákona o kybernetickej bezpečnosti Európska komisia dňa 16.12.2020 prijala návrh "novej smernice NIS" (tzv. Smernica NIS II), ktorá má prvú Smernicu NIS nahradiť. Prílohou návrhu Smernice NIS II je aj pracovný dokument Európskej komisie Zhrnutie reportu o posúdení vplyvu k NIS II, v ktorom sa uvádza, že hodnotením smernice NIS boli identifikované nasledovné problémy:

• nízka úroveň kybernetickej odolnosti podnikov pôsobiacich v EÚ;
• nekonzistentná odolnosť medzi členskými štátmi;
• nízka úroveň spoločného situačného povedomia; a
• chýbajúca spoločná schopnosť reakcie na krízové situácie.

Pracovný dokument uvádza ako príklad situáciu, že v jednom členskom štáte najväčšie nemocnice nespadajú pod pôsobnosť smernice NIS, zatiaľ čo v iných členských štátoch sa požiadavky smernice NIS vzťahujú na všetky nemocnice.

A čo má vlastne Smernica NIS II priniesť? Po novom sa má vzťahovať na širší okruh odvetví (sektorov), a to v závislosti od ich významu pre ekonomiku a spoločnosť. Vzťahovať sa má aj na všetky stredné a veľké podniky vo vybraných odvetviach a zároveň členským štátom umožniť identifikovať aj ďalšie (menšie) podniky, ktoré majú vysokú úroveň bezpečnostného rizika.

Smernica NIS II má upustiť od dištinkcie na prevádzkovateľov základnej služby a poskytovateľov digitálnej služby. Subjekty majú byť po novom klasifikované v závislosti od ich významnosti a majú podliehať rôznym režimom dohľadu.

Smernica NIS II ustanovuje nový orgán European Cyber Crises Liaison Organisation Network EU-CYCLONe, ktorého úlohou má byť koordinovaný manažment veľkých kybernetických bezpečnostných incidentov v rámci EÚ. Smernica NIS II má zároveň posilniť zdieľanie informácií a kooperáciu medzi členskými štátmi EÚ.

Smernica NIS II sa má napokon dotknúť aj bezpečnostných požiadaviek, a to napr. zavedením zoznamu opatrení obsahujúceho reakcie na incidenty, krízové riadenie, riešenie a zisťovanie zraniteľností, testovanie kybernetickej bezpečnosti a efektívne používanie šifrovania. Posilniť sa má kybernetická bezpečnosť dodávateľských reťazcov pre kľúčové informačné a komunikačné technológie. Upraviť sa má zodpovednosť vedenia spoločností za dodržiavanie opatrení a riadenie rizík v oblasti kybernetickej bezpečnosti. Zjednodušiť sa má povinnosť hlásenia incidentov sprecizovaním ustanovení o procese hlásenia, o jeho obsahu a časových súvislostí.

Článok prevzatý so súhlasom od Advokátska kancelária Bukovinský & Chlipala,

https://www.bch.sk/post/smernica-nis-2-slovensko