Co hlásit ÚOOÚ a co NÚKIB, když je incident jeden?

Rozdílný předmět ochrany a právní základ

ÚOOÚ a NÚKIB řeší dva odlišné právní režimy, i když je spouští stejná technická událost. Úřad pro ochranu osobních údajů (ÚOOÚ) sleduje rizika pro práva a svobody fyzických osob podle GDPR, konkrétně článek 33 a 34. Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) dohlíží na bezpečnost sítí a informačních systémů podle zákona o kybernetické bezpečnosti (ZKB). Pokud ransomware zašifruje databázi pacientů v nemocnici, ÚOOÚ zajímá, zda unikly nebo zničily osobní údaje pacientů. NÚKIB zajímá, zda byl narušen provoz esenciální služby zdravotnictví a jaké technické opatření útoku předcházela. Organizace musí proto posoudit incident dvěma různými měřítky: dopad na datové subjekty a dopad na kontinuitu služby.

Lhůty, formy a adresáti oznamování

Lhůta pro ÚOOÚ je pevně daná: 72 hodin od okamžiku, kdy organizace o úniku uznala, že se stal. Oznamuje se elektronicky přes formulář na portálu úřadu, musí obsahovat popis povahy úniku, kategorie údajů, přibližný počet dotčených osob a navrhovaná opatření. Pro NÚKIB platí formulace „bez zbytečného odkladu“ po zjištění incidentu, což v praxi znamená hodiny, ne dny. Oznamuje se přes informační systém NÚKIB (ISVS) nebo e-mailem podle kategorie subjektu. Rozdíl je i v tom, kdo hlásí: u ÚOOÚ je to vždy správce údajů, u NÚKIB povinnost nese subjekt esenciální nebo důležité služby, dodavatel digitálních služeb nebo správce kritické infrastruktury. Nemocnice z příkladu je tedy povinná hlásit oběma úřadům, ale jako různé právnické subjekty s různými formuláři.

Kdy se povinnosti překrývají a kdy ne

Překrytí nastává, když incident ovlivňuje osobní údaje u subjektu, který spadaje pod ZKB. Typické příklady: útok na bankovní systém, výpadek cloudového úložiště lékařských záznamů, únik dat z informačního systému energetického rozvodče. Pokud ale dojde k úniku osobních údajů u malého e-shopu, který není subjektem podle ZKB, hlásí se pouze ÚOOÚ. Naopak, DDoS útok na webovou stránku obce, kde nejsou zpracovávány osobní údaje, vyžaduje oznamování NÚKIB (pokud je obec subjektem esenciální služby), ale ne ÚOOÚ. V auditech CIAD se ukazuje, že organizace často podceňují, že i pokus o útok bez úspěchu může být incidentem pro NÚKIB, zatímco pro ÚOOÚ je relevantní pouze skutečný únik.

Praktický postup při paralelním řešení

1. Triáž v prvních hodinách: Bezpečnostní tým technicky klasifikuje událost (typ útoku, dotčené systémy, exfiltrace dat). Právník paralelně ověří, zda jde o osobní údaje a zda organizace spadá pod ZKB.
2. Příprava dvou nezávislých zpráv: Šablona pro ÚOOÚ zaměřená na dopad na fyzické osoby, šablona pro NÚKIB zaměřená na technický průběh, indikátory kompromitace (IoC) a opatření obnovení.
3. Interní komunikační protokol: Stanovit, kdo schvaluje odeslání kterému úřadu. Často se hodí „zelená/zlatá/červená“ semaforika: červená = okamžité odeslání oběma, zlatá = čekání na doplňující forenzní data pro ÚOOÚ, ale okamžité hlášení NÚKIB.
4. Dokladování postupu: Vedení kronologie kroků, screenshots komunikace s úřady, evidence rozhodnutí „nehlásit“ s odůvodněním pro případnou pozdější kontrolu.
5. Poincidentní harmonizace: Po uzávěře incidentu sjednotit závěrečné zprávy, aby se neproticházely v popisu rozsahu úniku nebo časové osy.

Modelový příklad z českého prostředí

V lednu 2024 zaútočil ransomware na regionální nemocnici, která je zároveň správcem osobních údajů pacientů a subjektem esenciální služby podle ZKB. Útok zašifroval server s elektronickými zdravotními záznamy a exfiltroval archiv starších nemocničních informačních systémů. Nemocnice v 4. hodině zjištění incidentu odeslala předběžné hlášení NÚKIB s popisem technických IoC a ovlivněných služeb. Ve 12. hodině poslala ÚOOÚ upřesněné hlášení s kategoriemi údajů (zdravotní data, rodné čísla) a počtem 15 000 dotčených pacientů. NÚKIB vyžadoval do 24 hodin doplňkovou zprávu o opatřeních k obnovení provozu. ÚOOÚ po týdni žádal posudek rizik pro dotčené a důkaz informování pacientů. Nemocnice díky předpřipraveným šablonám a přiřazenému incidentnímu manažerovi splnila obě lhůty bez prodlení, i když forenzní analýza trvala dalších 14 dní.

Co to znamená: Jedna technická událost spouští dva nezávislé legislativní procesy s odlišnými cíli, lhůtami a formálními nároky. Organizace, která čeká na kompletní forenzní zprávu před jakýmkoli oznamováním, riskuje pokutu od obou úřadů. Klíčem je rozlišit triáž (co se stalo technicky) od kvalifikace (co to znamená pro GDPR a ZKB) a připravit se na paralelní komunikaci dřív, než incident nastane.