Musím hlásit kybernetický útok NÚKIBu a jak na to?

Koho se povinnost hlásit incidenty vůbec týká

Kybernetický incident nemusí hlásit každý, kdo se stane obětí útoku. Zákon o kybernetické bezpečnosti tuto povinnost ukládá jen subjektům, které výslovně označuje za povinné osoby - firmám a institucím z regulovaných sektorů. Patří sem energetika, doprava, bankovnictví a finanční trh, zdravotnictví, vodárenství, digitální infrastruktura, veřejná správa, poštovní a kurýrní služby, chemický a potravinářský průmysl nebo vybraná výroba. Podle velikosti a významu pro fungování státu zákon dále rozlišuje subjekty vyšší a nižší úrovně povinností.

Modelový příklad: krajská nemocnice provozující nemocniční informační systém spadá do sektoru zdravotnictví. Pokud splňuje velikostní kritéria - typicky jde o střední a velké podniky - stává se automaticky povinnou osobou. Malá účetní firma nebo e-shop s oblečením naopak do režimu zákona zpravidla nespadá, i kdyby ji zasáhl rozsáhlý ransomware útok.

Než firma může cokoli hlásit, musí se u NÚKIB nejprve zaregistrovat jako povinná osoba. Identifikace subjektu a jeho zařazení do příslušné kategorie je podmínkou pro přístup k hlásicímu systému.

Co se považuje za incident, který je nutné oznámit

Oznamovací povinnost se vztahuje na takzvaný významný incident - takový, který má nebo může mít vážný dopad na poskytovanou službu. Příkladem je dlouhodobý výpadek systému, únik citlivých dat, úspěšný ransomware útok nebo kompromitace klíčové infrastruktury. Drobné pokusy o phishing bez reálného dopadu se obvykle nehlásí, pokud nesplňují stanovená kritéria závažnosti.

Posouzení, zda incident dosahuje prahu „významnosti“, bývá v praxi nejtěžším krokem celého procesu. Firmy podle opakovaných zjištění podceňují klasifikaci incidentu a kvůli váhání zmeškají první zákonnou lhůtu. To samo o sobě může vést k sankci nezávisle na tom, jak dobře organizace incident nakonec zvládla technicky.

Jaké lhůty musí povinná osoba dodržet

Hlášení má po vzoru NIS2 vícestupňovou strukturu s narůstajícím množstvím detailů:

1. Časné varování do 24 hodin od zjištění incidentu - stručná informace, zda je podezření na protiprávní jednání nebo přeshraniční dopad.
2. Oznámení incidentu do 72 hodin - aktualizace prvotní zprávy, počáteční posouzení závažnosti a dopadu, případné indikátory kompromitace.
3. Průběžné zprávy - pokud incident trvá déle, NÚKIB očekává informace o vývoji situace.
4. Závěrečná zpráva do jednoho měsíce od oznámení - podrobný popis příčiny, dopadu a přijatých opatření.

Lhůty běží od okamžiku, kdy se povinná osoba o incidentu dozví, nikoli od okamžiku, kdy útok skutečně začal. Právě tento rozdíl mnoho týmů v prvních hodinách řešení incidentu přehlíží.

Jak hlášení prakticky podat

Hlášení se podává elektronicky přes portál NÚKIB určený pro sběr hlášení o kybernetických bezpečnostních incidentech. Přístup k portálu získá pověřená osoba subjektu po registraci firmy jako povinné osoby - obvykle jde o bezpečnostního manažera nebo pracovníka odpovědného za kybernetickou bezpečnost. V akutních případech, kdy hrozí bezprostřední ohrožení, je vhodné kontaktovat NÚKIB souběžně i telefonicky nebo e-mailem, protože samotný portál nemusí zachytit naléhavost situace stejně rychle jako přímý kontakt.

Doporučený postup pro tým, který incident řeší:

1. Ověřit, zda subjekt spadá do režimu povinných osob a zda je incident „významný“.
2. Zaznamenat přesný čas zjištění incidentu - od něj se počítají všechny lhůty.
3. Podat časné varování do 24 hodin, i s neúplnými informacemi.
4. Doplnit oznámení do 72 hodin s podrobnějším posouzením dopadu.
5. Průběžně komunikovat vývoj a připravit závěrečnou zprávu do měsíce.

Co hrozí, když se hlášení zanedbá nebo zpozdí

Nesplnění oznamovací povinnosti, případně její pozdní splnění, je správní delikt, za který NÚKIB může uložit pokutu. Výše sankce se odvíjí od závažnosti porušení a kategorie povinné osoby - přísněji jsou postihovány subjekty vyšší úrovně povinností. Kromě finančního postihu hrozí i reputační dopad, protože opakované porušování povinností může vést k dalším nápravným opatřením ze strany úřadu.

Co to znamená: Pokud firma neví jistě, zda je povinnou osobou podle zákona o kybernetické bezpečnosti, měla by si to ověřit ještě předtím, než dojde k incidentu - v okamžiku útoku už na zjišťování zákonného rámce nezbývá čas. Klíčové je mít předem jasně určenou osobu, která incident klasifikuje a rozhoduje o podání hlášení. Právě prvních 24 hodin totiž rozhoduje o tom, zda subjekt zákonnou lhůtu dodrží.