Pokud byste měl vybrat z nového zákona o kybernetické bezpečnosti tři základní informace, které by měl každý znát, o co by šlo?
1. Prvně je třeba provést základní úvahu, zda subjekt spadá pod novou regulaci dle zákona o kybernetické bezpečnosti – tzv. sebeurčení (self assessment), pokud ano, je třeba se zaregistrovat na NÚKIBu do konce roku 2025. (konkrétně do 30. 12. 2025 – pozn. red.)
2. U každého regulovaného subjektu je pak třeba vymezit příslušná aktiva, tj. fyzické nebo digitální prostředky, osoby nebo činnosti související se zpracováváním informací a dat v elektronické podobě. Ke každému takovému aktivu pak určit náležitá bezpečností opatření, ta zavést a dodržovat (do 1 roku od registrace na NUKIB).
3. Řádně ohlašovat případné bezpečnostní incidenty.
Co byznys v nové úpravě kyberbezpečnosti z vašich dosavadních zkušeností nejvíce podceňuje?
Podle mého názoru se pořád podceňuje především to základní – skutečná odolnost před kybernetickými útoky a s tím související náležitá úroveň zabezpečení. Prakticky denně čteme v médiích, jaké nové kyberútoky byly provedeny a často pak i to, jak zanedbaná byla bezpečnostní opatření v instituci, která byla terčem takového útoku.
Dále se často investují i nemalé částky do technických bezpečnostních opatření, ale podceňuje se ten nejslabší článek, kterým je vždy lidský faktor. Sebelepší technická zabezpečovací opatření jsou k ničemu, když nejsou doprovázena správným chováním uživatelů. Nová legislativa to přitom říká jasně – je nutné přijmout jak technická tak organizační opatření, která jdou vždy ruku v ruce.
Jak celkově hodnotíte současnou regulaci kyberbezpečnosti? Je odpovídající?
Regulace je nová, teprve v počátečním stadiu implementace, tedy na hodnocení je ještě brzo. Na rozdíl od řady jiných současných regulací, kde lze o jejich skutečném přínosu po zohlednění nákladů s nimi spojených oprávněně pochybovat, je však ochrana před kybernetickými útoky v dnešní informační společnosti založené na digitalizaci a všudypřítomném zpracování dat naprosto stěžejní.
Je tedy v zájmu každého jednotlivce i firmy se před těmito útoky chránit, a to bez ohledu na to, zda mu to legislativa přikazuje či nikoli. Zda tato nová legislativa přispěje ke zlepšení odolnosti před takovými útoky, ale ukáže až čas.
