Aké zmeny čakajú kybernetickú bezpečnosť s novou Smernicou o bezpečnosti sietí a informačných systémov, tzv. NIS II?

Nedostatočná a nejednotná implementácia v rámci členských štátov, neúplné pokrytie všetkých sektorov, digitálna transformácia, pandémia COVID-19, 5G siete a s nimi súvisiace kybernetické riziká boli pre Európsku Komisiu hlavnými príčinami nahradenia smernice NIS a návrhu tzv. smernice NIS II.

Aké najvýznamnejšie zmeny prináša?

  1. Nový návrh odstraňuje rozdiel medzi „základnými službami“ a „digitálnymi službami“, namiesto toho klasifikuje entity ako „základné“ alebo „dôležité“;
  2. Pokrytie nových sektorov (napr. hospodárenie s odpadovými vodami, potravinárstvo, vesmír atď.) na základe ich kritickosti pre hospodárstvo a spoločnosť, vrátane všetkých stredných a veľkých spoločností v týchto sektoroch;
  3. Mikropodniky a malé podniky sú v zásade vylúčené z rozsahu pôsobnosti. Avšak čl. 2  návrhu NIS II poskytuje v určitých prípadoch protivýnimku pre takéto podniky;
  4. Zriadenie Európskej siete kontaktných organizácií pre kybernetické krízy (EU-CyCLONe) s cieľom podporiť koordinované riadenie kybernetickej bezpečnosti pri rozsiahlych incidentoch a krízach na úrovni EÚ;
  5. Stanovuje sa zoznam administratívnych sankcií ( vo výške najmenej 10 miliónov eur / 2 % celosvetového ročného obratu); vrátane pokút za porušenie povinností nahlasovania a riadenia kybernetických rizík;
  6. Katalóg opatrení,  ktorý okrem iného stanovuje analýzy rizík a bezpečnostné koncepcie, prevenciu bezpečnostných incidentov a krízový manažment, ktoré, ako minimum, musia firmy implementovať. Zároveň  zavádza presnejšie ustanovenia o procese hlásenia incidentov, obsahu hlásení a načasovania (do 24 hodín od zistenia incidentu);
  7. Prísnejšie opatrenia dohľadu pre vnútroštátne orgány, prísnejšie požiadavky na presadzovanie a jeho cieľom je harmonizovať režimy sankcií v členských štátoch;
  8. Členské štáty budú musieť v spolupráci s Komisiou a ENISA vykonávať koordinované hodnotenia rizík kritických dodávateľských reťazcov, pričom budú vychádzať z efektívneho prístupu prijatého v kontexte odporúčania Komisie o kybernetickej bezpečnosti sietí 5G;

Členské štáty by mali mať od nadobudnutia účinnosti smernice dva roky na to, aby jej ustanovenia začlenili do svojho vnútroštátneho práva.

Menu