Co znamená režim vyšších povinností v každodenním provozu?

Rozdíl mezi základními a vyššími povinnostmi v praxi

Rozsah povinností se liší podle toho, zda jste klasifikováni jako základní nebo důležitý subjekt. Důležití subjekti · například velká nemocnice v Brně, regionální distributel elektřiny nebo poskytovatel cloudových služeb pro veřejnou správu · musejí splňovat režim vyšších povinností. Základní subjekti, jako menší místní léčebna nebo regionální vodárenská společnost, mají úzký rámec: registraci, základní bezpečnostní opatření a hlášení incidentů bez detailních požadavků na řízení rizik. U vyšších povinností jde o povinnost dělat a ukazovat, jak to funguje, ne jen mít napsané politiky v šuplíku.

Co konkrétně zavést do řízení kybernetických rizik

Prvním krokem je nastavit proces, který žije v týdnu, ne jen při auditu. V auditech CIAD se ukazuje, že firmy často mají risk assessment jako PDF z roku 2022. Režim vyšších povinností vyžaduje:

1. Identifikaci aktiv a závislostí · mapujte hardware, software, data i dodavatele, které ovlivňují poskytování služby.
2. Analýzu hrozeb specifickou pro váš sektor · nemocnice řeší ransomware na pacientských datech, distributel elektřiny zaměřuje na OT síť a SCADA systémy.
3. Plán zpracování rizik s termíny a odpovědnými osobami · každé riziko musí mít majitele, termín napravení a metriku ověření.
4. Pravidelnou revizi · minimálně jednou za rok nebo po každé zásadní změně infrastruktury.

Bez těchto kroků nelze prokázat dodržení povinnosti řízení rizik podle § 31 a 32 zákona o kybernetické bezpečnosti.

Hlášení incidentů: časové limity a obsah

Vyšší povinnosti přinášejí přísné časové rámečky. Významný incident musíte nahlásit národnímu CSIRTovi do 24 hodin od zjištění. Do 72 hodin následuje podrobnější zpráva s dopadem, kořenovou příčinou a opatřeními. Třetí zpráva po vyřešení incidentu shrnuje naučené poučení. Praktický příklad: E-shop s ročním obratem 500 mil. Kč zaznamená útok na databázi zákazníků. Pokud je to jen pokus o průnik bez úspěchu, není to významný incident. Pokud útočník ukrade 10 000 záznamů s platebními kartami, je to významný incident · musíte zavolat CSIRT, informovat ÚOOZ a připravit komunikaci pro zákazníky. Systém hlášení musí být otestovaný před incidentem, ne během něj.

Dodavatelský řetězec a smluvní zabezpečení

Nemůžete přenést odpovědnost na dodavatele, ale musíte je řídit. Každý klíčový dodavatel IT, cloudových služeb, údržby OT systémů či fyzické bezpečnosti musí mít v smlouvě:

• povinnost hlásit incidenty vám do 4 hodin,
• právo auditu bezpečnosti u dodavatele,
• definované SLA pro obnovení služby,
• pravidlo pro ukončení smlouvy při opakovaném porušení bezpečnosti.

Český příklad: Městská doprava si objedná nový systém jízdných řádů od externí firmy. Smlouva musí uvést, že dodavatel bude patchovat servery do 14 dnů po vydání bezpečnostní aktualizace a povolí penetration test jednou ročně. Bez těchto klauzulí porušujete povinnost zabezpečení dodavatelského řetězce.

Dozor, sankce a role vedení

Úřad pro kybernetickou a informační bezpečnost (ÚKIB) provádí kontroly u důležitých subjektů plánovaně i neplánovaně. Kontrola není jen o dokumentaci · kontrolori chtějí vidět logy z SIEMu, záznamy z testů záloh, evidence školení zaměstnanců a protokoly z řízení incidentů. Sankce dosahují až 10 % ročního obratu nebo 10 milionů eur. Vedení organizace (statutární orgán, ředitel) nese osobní odpovědnost za nedodržení povinností. V praxi to znamená, že CISO musí mít přímý přístup k rozhodování o rozpočtu na bezpečnost, ne jen poradní roli.

Co to znamená: Režim vyšších povinností není o papeřích, ale o fungujících procesech, které znáte, testujete a umíte prokázat v reálném čase při incidentu i při kontrole.