Rubrika: Legislativa

V pátek 18. listopadu 2022 schválila Rada Evropské unie (EU) obecný přístup k návrhu nařízení o kybernetické bezpečnosti orgánů, institucí a jiných subjektů Unie.

Jedná se o společnou pozici všech členských zemí a zároveň o naplnění další z priorit Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB) v rámci předsednictví České republiky v Radě EU. Návrh nařízení si klade za cíl nastavit jednotná pravidla kybernetické bezpečnosti jednotlivých subjektů a posílit tak jejich odolnost vůči kybernetickým hrozbám. Výsledkem má být napravení dosavadního nevyhovujícího stavu, kdy existují na úrovni kybernetické bezpečnosti unijních subjektů velké rozdíly, a chybí jednotná úprava pravidel v této oblasti.

Návrh předložený Evropskou komisí v březnu 2022 byl významně rozpracován a finalizován pracovní skupinou Rady EU, které po dobu českého předsednictví předsedá NÚKIB. Schválený obecný přístup směřuje k nastavení pravidel pro unijní subjekty na obdobné úrovni, jakou předpokládá návrh směrnice Evropského parlamentu a Rady o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii, tzv. směrnice NIS2, pro povinné subjekty v členských státech. Podporuje posílení pravomocí a rozšíření činností CERT-EU, stejně jako zřízení Interinstitucionálního výboru pro kybernetickou bezpečnost, který má dohlížet na implementaci nařízení a dodržování stanovených pravidel. V neposlední řadě vyzdvihuje nutnost posílení sdílení informací o incidentech mezi unijními subjekty, CERT-EU a také členskými státy, stejně jako kolektivní koordinaci reakcí na kybernetické incidenty.

Dosažením obecného přístupu Rady EU legislativní proces k uvedenému nařízení nekončí. Tato společná pozice všech členských států bude předmětem dalšího vyjednávání, a to v rámci tzv. trialogů, tedy jednání probíhajících mezi Radou EU, Evropským parlamentem a Evropskou komisí. Bude k nim přistoupeno, jakmile Evropský parlament schválí svou pozici k danému vyjednávání, pravděpodobně v první polovině příštího roku.

O závěrech jednání Rady si můžete přečíst také zde.

Zdroj: nukib.cz; JM

Na konci tohoto roku vstoupí v platnost novela evropské směrnice o bezpečnosti sítí a informací (NIS2).

Přinese s sebou novou výzvu, na kterou není trh tak docela připraven. O co jde? To nám vysvětlil expert na kybernetickou bezpečnost Ing. Aleš Špidla.

O čem že to vlastně NIS2 je? Říká, že zajištění kybernetické a informační bezpečnosti je čím dál tím významnější součástí všech procesů v instituci. „Nicméně neustále platí,“ říká bezpečnostní expert Ing. Aleš Špidla, „že kybernetická a informační bezpečnost není otázkou zákonů, ale je otázkou pudu sebezáchovy.“

Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) zřídil specializované internetové stránky, které se problematikou NIS2 a hlavně jejími dopady zabývají. Mezi nejvýznamnější změny podle vyjádření NÚKIB na zmíněných stránkách patří:

• rozšíření počtu povinných osob (odhady hovoří o nejméně 6 000 soukromých i státních organizacích), a to jednak rozšířením regulovaných odvětví (např. odvětví odpadového hospodářství), dále rozšířením stávajících regulovaných odvětví o nové regulované služby (např. stávající odvětví digitální infrastruktury o nové regulované služby cloud computingu nebo poskytovatele služeb a sítí elektronických komunikací), a nebo změnou způsobu identifikace povinných osob (kdy primárním kritériem pro zařazení do regulace bude velikost organizace);
• povinné vzdělávání vrcholového vedení organizace a větší odpovědnost managementu za zajišťování kybernetické bezpečnosti v organizaci;
• dobrovolné hlášení relevantních incidentů, událostí, hrozeb a zranitelností;
• podrobnější požadavky na vedení registru internetových domén nejvyšší úrovně a činnost registrátorů;
• větší důraz na sdílení informací mezi povinnými organizacemi;
• prohloubení spolupráce mezi regulátorem a povinnými organizacemi;
• významné zvýšení pokut za nedodržení uložených povinností (nově se stanovuje úroveň pokut až ve výši 2 % celkového obratu společnosti nebo 10 milionů EUR).

Co to bude znamenat v praxi, až vstoupí NIS2 na konci letošního roku v platnost? „V první řadě během následujících 21 měsíců bude muset být harmonizována národní legislativa, která kybernetickou a informační bezpečnost reguluje, zejména tedy zákon 181/2014 Sb. o kybernetické bezpečnosti a navazující předpisy. Asi největší problém způsobí rozšíření počtu povinných osob, tedy těch institucí (firem, státních organizací) které tzv. spadnou pod zákon o kybernetické bezpečnosti,“ vysvětluje bezpečnostní expert Aleš Špidla a k tomu dodává, že tato opatření zvednou i personální otázky: „Nárůst z cca 360 na 6000 způsobí obrovské zvýšení poptávky po odbornících na kybernetickou bezpečnost. Tím nejsou myšleni jen ti, kteří kybernetickou a informační bezpečnost řeší na technologické úrovni. Větší problém je v hledání těch, kteří umí kybernetickou a informační bezpečnost zavést, provozovat, řídit a neustále rozvíjet.“

Tyto odborníky však vychovává jen jedna škola v České republice, a tou je CEVRO Institut sídlící v Praze a Českém Krumlově.

Kybernetická a informační bezpečnost není jen záležitost nasazení technických opatření, ale je i o změně procesů od těch řídících až po provozní. Proto je velmi důležitý i výše uvedený bod, viz NÚKIB, který hovoří o povinném vzdělávání vrcholového vedení organizace.

„Je však velmi těžké přesvědčit vedení o tom, že něco neví a také o tom, že je tato oblast v jeho přímé a plné zodpovědnosti,“ stýská si Aleš Špidla. „Zaznamenal jsem velmi časté úporné snahy přesunout zodpovědnost na nešťastníky z oddělení IT, což je naprosto zcestný postup. Problém je možná v tom, že i přesto, že škody způsobené zanedbáním kybernetické a informační bezpečnosti jdou do stovek milionů Kč, nikdo z vedení postižených organizací za to nebyl potrestán. A ne že bychom na to neměli použitelnou legislativu. Tak snad zvýšení pokut za zanedbání povinností bude to motivací pro vedení organizací. Pokud tedy bude pokuta někdy někomu udělena.

Další problém, který není v dopadech NIS2 na stránkách NÚKIB zmíněn,“ pokračuje expert, „je odklon od bezhlavého nakupování škatulí (SIEMy, Firewaly apod) ke zdůvodnění navrhovaných a aplikovaných opatření pečlivou analýzou rizik. A tady opět máme personální problém. Analýza rizik je nikdy nekončící proces, který se musí provádět pravidelně, nebo při každé významné změně. Například přesunu vašich informačních systémů do cloudu musí předcházet velmi pečlivá analýza rizik. Ta by měla předcházet jakékoliv změně, která má vliv na procesy v organizaci. V některých případech stačí dokumentované mentální cvičení. Dobré ovšem je i při tomto mentálním cvičení držet se zásad řízení informačních rizik. Kdo to ale umí? Většinou jsem se v praxi setkal s riskaři, kteří dokázali zpracovat analýzu rizik v případě povodní, požárů, zemětřesení apod. Informační rizika jim ovšem nic neříkají.“

Z toho lze vyvodit, že lze opět očekávat velkou převahu poptávky nad nabídkou odborníků na řízení informačních rizik. „Což znamená dovzdělat ty klasické odborníky na řízení rizik, ale hlavně začít vychovávat nové, orientované na informační rizika,“ vysvětluje Špidla. „Dá se totiž předpokládat, že každá střední až velká organizace je bude potřebovat na plný úvazek. Vzdělávací instituce tedy mají prostor k zamyšlení a také málo času k hledání pedagogů, kteří zvládnou vyučování problematiky řízení rizik. Ono to není jen o tom, nastudovat si literaturu. Je to i o praxi.“

Ing. Aleš Špidla je čestným předsedou Českého institutu manažerů informační bezpečnosti, garantem a pedagogem MBA programu „Management a kybernetická bezpečnost“ a spolugarantem a pedagogem LL.M. studijního programu „Ochrana informací“.

Zdroj: NÚKIB, epravo.cz, AN

Být příslušníkem Policie České republiky je sice záslužná práce, bohužel se to ale dostatečně neprojevuje na výplatních páskách.

V důsledku toho se policie potýká s nedostatkem personálu. Ministerstvo vnitra tedy přišlo s rozhodnutím platy od nového roku zvýšit…

Data hovoří jasnou řečí: Od začátku roku 2022 odešlo od policie 1500 příslušníků, přispěli tak k dlouhodobému podstavu. Policii nyní chybí 5809 lidí. Aby tedy ministerstvo vnitra ve sboru udrželo co nejvíce policistů, zvedne od ledna všem příslušníkům ve sboru platy o deset procent. Bude se to týkat všech platových tarifů.

„Od ledna budeme zvyšovat platy o deset procent na tarifech. Je to velmi dobrý krok k tomu, aby policisté na podzim neodcházeli. Při jednoduchém vložení si čísel do valorizační rovnice jim vyjde, že odejít letos na podzim se nevyplatí, pokud budou mít od ledna přidáno,“ řekl ministr vnitra Vít Rakušan.

Dodal, že chtějí dosáhnout toho, aby se nástupní plat policisty dostal alespoň přes 30 tisíc korun. Nyní nově příchozí příslušník bez praxe pobírá od 26 tisíc hrubého. Předseda Nezávislého odborového svazu Policie ČR (NOS PČR) Tomáš Machovič si ale není jistý, jestli takové zvýšení nové zájemce naláká: „Je otázka, zda to bude pro zájemce třeba se dvěma dětmi, bydlícího v Praze dostatečně motivující vzhledem k inflaci,“ komentoval Machovič.

Podle něj dlouhodobě odchází lidé, kteří mají odslouženo kolem 25 až 35 let. To potvrzují i data policejního prezidia.

Z celkových 1485 policistů, kteří odešli tento rok, mělo odslouženo mezi 25 a 29 lety 354 příslušníků. Po třiceti až pětatřiceti letech služby pak sbor opustilo 284 policistů. Podle Machoviče je důvodem právě valorizace důchodů.

„Pokud příslušníci po 25 a více letech služby uvažovali o tom, že odejdou, spočítali si, že se jim to vyplatí do konce roku kvůli valorizaci. Druhým důvodem je to, že kvůli inflaci si našli práci, kde mají větší příjmy,“ konstatoval Machovič.

Dodal, že se NOS PČR v tuto chvíli snaží s ministrem vnitra a ministrem spravedlnosti Pavlem Blažkem domluvit pro příslušníky bezpečnostních sborů, tedy nejen policii, ale i vězeňskou službu či celníky, jednorázovou kázeňskou odměnu.

„Byla by třeba ve výši třeba 12 až 15 tisíc za měsíce od září do prosince. Částečně by to pokrylo inflaci do konce roku. Aby je to motivovalo vydržet do konce roku a neodcházeli,“ dodal Machovič.

Podle něj je reálné, že by do čtyř až pěti let mohlo odejít kolem čtyř tisíc příslušníků. Především proto, že policejní sbor stárne a nejvíce příslušníků má odslouženo přes dvacet let. I proto by se podle Machoviče měla policie soustředit na shánění lidí, kteří stávající policisty nahradí. Podle Rakušana se ale na úspěšnost náborové činnosti a udržení současných stavů ministerstvo vnitra i policie zaměřuje.

„Celoročně probíhají náborové kampaně. V rámci jedné z nich nazvané „Práce 158× jinak“ se účastníme třeba veletrhů práce či vzdělávání, jako jsou Profesia days nebo Gaudeamus. Krajská ředitelství také navštěvují zájmové školy, dělají různé akce, při kterých si mohou zájemci vyzkoušet práci policisty,“ podotkl mluvčí policejního prezidia Ondřej Moravčík.

Dodal, že prezidium nemá odhad, kolik příslušníků by mělo skončit do konce roku: „Policisté, kteří budou končit na vlastní žádost ve dvouměsíční lhůtě, k poslednímu listopadu či prosinci, mají čas ji podat do konce září, respektive října. A samozřejmě skončit můžou i v kratší době po dohodě,“ uvedl Moravčík.

A co na to říkají samotní muži zákona? Zeptali jsme se jednoho z nich. Vzhledem k okolnostem nechtěl být jmenován, říkejme mu tedy třeba Viktor. Slouží u policie 12 let a zažil v uniformě už skutečně hodně. Svou práci miluje, ale platové ohodnocení ho mrzí: „Nemluvím jen za sebe. Kluci každodenně nasazují životy. Kolik lidí denně vstává s rizikem, že může v práci přijít o život? Myslím, že by to mělo být zohledněno i ve finančním ohodnocení.“ Potvrzuje, že špatné finanční podmínky vedly k odchodu už několika jeho kolegů: „Jo, odešlo za tu dobu, co jsem u policie, určitě tak šest nebo sedm lidí kvůli finančním důvodům. Naposledy na jaře takový šikovný kluk. Bylo vidět, že má práci rád, ale prostě musel živit rodinu a z policejního platu to tady v Praze neutáhl. Policie ale potřebuje mladou krev. Ti starší jsou sice třeba zkušenější, ale nemají už takovou kondici, a to je projevuje i na výkonech. Navíc, když musejí vykrývat služby za chybějící kolegy, tak to má vliv na únavu a dělají se chyby. A policista si nemůže dovolit dělat chyby! Je to smutné. Tak doufám, že tohle zvýšení finančně aspoň trochu pomůže, i když nevěřím, že je to dlouhodobé řešení,“ uzavírá nepříliš optimisticky náš policejní respondent.

Zdroj: ČTK, Policejní prezidium, osobní rozhovor. AN

Vláda schválila návrh zákona proti šíření teroristického obsahu online, který do českého práva převádí nařízení EU.

Poskytovatelé hostingových služeb dle něj musejí na základě příkazu policie odstranit konkrétní veřejně přístupný teroristický obsah. Platformy i jejich uživatelé se budou moci bránit u soudu.

Podle práva EU musí poskytovatel hostingových služeb na výzvu obvykle do jedné hodiny stáhnout veřejně přístupný teroristický obsah. Jde o hostingové služby, které online zpřístupňují veřejnosti obsah od uživatelů. Většina z nich umožňuje ukládání a sdílení souborů, nařízení EU se však týká i sociálních sítí a diskusních fór. Český zákon se drží toho, co požaduje právo EU, a nestanoví žádné povinnosti ani sankce navíc.

„Chápeme, že i když u nás k šíření teroristického obsahu online dochází jen výjimečně, v některých státech EU je situace jiná. Proto v souladu s nařízením EU nastavujeme taková opatření, aby se u nás nemohly online šířit například přenosy teroristických útoků, které jiné státy EU ze svých platforem odstranily,“ uvedl ministr vnitra Vít Rakušan.

Nařízení cílí pouze na teroristický obsah, typicky např. na šíření záznamu teroristických útoků nebo třeba džihádistických poprav. Jde tedy o veřejný, nikoli soukromý obsah, který podporuje teroristy a jehož šíření může být už dnes trestné. „Respektujeme svobodu projevu, stažení se nemůže týkat například klasického zpravodajství nebo vědeckých studií,“ dodal ministr vnitra.

Návrh stanovuje, že stažení obsahu nařizuje policie, dohled nad opatřeními na straně platforem a případné udělování sankcí bude mít na starosti Český telekomunikační úřad. Vzhledem k tomu, že nařízení platí v celé EU, bude rolí Ministerstva vnitra přezkoumávat příkazy k odstranění adresované našim hostingovým službám z jiných členských států.

Hostingové služby nebudou mít obecnou povinnost teroristický obsah aktivně vyhledávat. Pokud tomu však nebudou bránit přesně stanovené objektivní důvody, musí konkrétní obsah odstranit zpravidla do jedné hodiny. Prvnímu příkazu k odstranění však musí předcházet informace poskytovateli o pravidlech a lhůtách, a to 12 hodin před vydáním příkazu. Služby i uživatelé budou mít navíc možnost se proti odstranění bránit u soudu. Český telekomunikační úřad však bude moci za porušení nařízení EU ukládat napomenutí či pokuty až do výše 200 tisíc Kč.

Zdroj: TZ mvcr.cz; JM