Blíží se zpřísnění pravidel pro kyberbezpečnost

Právní problematika kyberbezpečnosti či samotná nutnost ji zajistit nejsou ničím novým. Již v současné době existují na evropské a národní úrovni předpisy, které na kybernetické hrozby reagují. Nový zákon o kybernetické bezpečnosti, který nabude účinnosti 1. listopadu, však přináší několik změn. Oproti současné úpravě podstatně rozšíří okruh regulovaných odvětví a služeb. V důsledku toho se bude zákon vztahovat na mnohem více osob než současná úprava. Regulovaná odvětví budou zahrnovat činnosti v oblastech, jako je energetika, doprava, zdravotnictví, výrobní, potravinářský, chemický a obranný průmysl nebo finanční trh a digitální služby.

Zásadní je rozdělení povinných subjektů do dvou režimů, a to do režimu nižších a vyšších povinností. Typ režimu stanovuje rozsah povinností, které budou dané osoby plnit. Vedle administrativních povinností, jako je registrace u českého úřadu, se bude jednat o povinnost zavést bezpečnostní opatření a hlásit kybernetické incidenty. Rozšiřuje se rovněž odpovědnost vedení povinných subjektů.

Zákon klade důraz na včasné hlášení kybernetických incidentů a plnění protiopatření vydaných českým úřadem. Ten nově získá širší pravomoci, včetně možnosti uložit vysoké sankce až do výše 250 milionů korun nebo dvou procent z ročního obratu dané osoby. V některých případech může dokonce zakázat výkon funkce členům statutárních orgánů. Cílem právní úpravy však není trestat, ale posílit odolnost povinných osob vůči stále sofistikovanějším kybernetickým hrozbám a přimět je, aby kyberbezpečnost začaly vnímat jako nedílnou součást strategického řízení.