Kybernetický zákon – koho a čeho se bude dotýkat?
Ministerstvo vnitra ČR připravilo další prováděcí předpis k novému zákonu o kybernetické bezpečnosti. Jsou v něm popsána kritéria, podle kterých budou vybírány systémy pro zařazení do tzv. kritické informační infrastruktury.
Jiří Peterka se na něj ve svém článku na serveru Lupa.cz podíval blíže. Co zjistil?
Zákon o kybernetické bezpečnosti byl schválen a zapsán ve sbírce zákonů už jako zákon č. 181/2014 Sb. s účinností od 1. 1. 2015.
Aby mohl pořádně fungovat, musí k němu být vydány i prováděcí předpisy. NBÚ ještě v červnu hovořila o třech prováděcích předpisech:
- Vyhlášce o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních a o stanovení náležitostí podání v oblasti kybernetické bezpečnosti (vyhláška o kybernetické bezpečnosti)
- Vyhlášce, kterou se stanoví významné informační systémy a jejich určující kritéria
- Novele nařízení vlády č. 432/2010 Sb., o kritériích pro určení prvku kritické infrastruktury
Vyhlášku o kybernetické bezpečnosti má na starosti právě NBÚ a nyní usilovně zapracovává poslední připomínky, aby mohl být zaslán do Legislativní rady vlády. Očekávaný termín je v polovině října.
Významné informační systémy a kritická informační infrastruktura
Tato vyhláška řeší, co přesně povinné subjekty budou muset dělat, byť sama neřeší, které povinné subjekty to vlastně budou. Toho se z výše uvedeného výčtu budou týkat poslední dva prováděcí předpisy.
V nich se jasně určí, kdo bude muset dodržovat přísnější pravidla kybernetické bezpečnosti. Prozatím zákon říká pouze toto.
- správcům tzv. významných informačních systémů
- správcům informačních systémů kritické informační infrastruktury
- správcům komunikačních systémů kritické informační infrastruktury
Které konkrétní informační systémy budou oněmi „významnými informačními systémy“, určí druhý prováděcí předpis: ona „Vyhláška o významných informačních systémech a jejich určujících kritériích“.
Na ní pracuje společně Ministerstvo vnitra a NBÚ, a je prý v „závěrečné fázi tvorby“. Do mezirezortního připomínkového řízení má být rozeslána počátkem října tohoto roku.
Už dnes je ale jasné, že půjde jen o systémy z veřejné správy – protože takto to definuje zákon (jejich správcem musí být orgán veřejné moci). I když „informační systémy kritické informační infrastruktury“ a „komunikační systémy kritické informační infrastruktury“ již mohou být v soukromém sektoru.
Přesně to určí nařízení vlády č. 432/2010 Sb., které ale potřebuje novelu, aby mohlo být aplikováno i na kybernetickou bezpečnost. Návrh této novely je k dispozici např. zde (v Knihovně připravované legislativy).
O čem toto nařízení je?
Nevyjmenovává konkrétní systémy, objekty, zařízení atd. Místo toho nařízení specifikuje pouze kritéria, podle kterých se takovéto konkrétní objekty teprve určují.
Samotné určení konkrétních prvků kritické infrastruktury provádí (podle své působnosti) subjekty jako Ministerstvo průmyslu a obchodu, Ministerstvo zdravotnictví, či NBÚ, formou opatření obecné povahy. Pouze u prvků, jejichž provozovatelem je organizační složka státu, rozhoduje až vláda.
Stanovená kritéria ve vládním nařízení mají většinou podobu určité „laťky“, např. u elektráren je požadován výkon alespoň 500 MW, u zdravotnických zařízení alespoň 2 500 lůžek.
Co je „oblast kybernetické bezpečnosti“?
„V prvním přiblížení bychom mohli konstatovat, že u informačních systémů se jako ona „laťka“ navrhuje uchovávání osobních údajů o více jak 300 000 uživatelích. A u komunikačních systémů má být onou laťkou rychlost 1 Gbit/s“, píše Jiří Peterka.
A dále dodává: „Jenže ve skutečnosti je to trochu komplikovanější. Konkrétně v tom, že celá kritická infrastruktura je nejprve členěna na různá odvětví. Takže třeba energetika je jedním takovým odvětvím, zdravotnictví či doprava jsou dalšími odvětvími atd. No a tato odvětví se pak dále dělí na „pododvětví“. Tak třeba doprava se dělí na silniční, železniční, leteckou a (vnitrozemskou) vodní dopravu. A každé z těchto dílčích odvětví (pododvětví) má svá vlastní „odvětvová“ kritéria pro určování toho, co má být součástí kritické infrastruktury.“
Ke kritériím, která již všichni ze zákona známe, se v podstatě přidala ještě další skupina kritérií a zdá se, že především právě podle nich se budou určovat konkrétní subjekty a objekty, na které se nové povinnosti budou vztahovat.
Jaká jsou tedy nová kritéria?
Nově přidaná kritéria lze rozdělit do tří skupin:
- Kritéria z první skupiny (body a, b) se týkají toho, co již je vybráno jako součást kritické infrastruktury (například konkrétní elektrárna, konkrétní nemocnice, konkrétní letiště apod.), a jako svou přímou či nepřímou součást to „má“ i nějaký informační či komunikační systém (např. systém řízení letového provozu, řídící systém elektrárny).
- Kritéria druhé skupiny v zásadě říkají, že příslušný systém „spadne“ pod nový zákon, pokud je jeho ochrana „nezbytná pro zajištění kybernetické bezpečnosti“.
-
Konečně třetí skupina nových kritérií se týká takových systémů, které dosud nejsou zařazeny do kritické infrastruktury, ani v odvětví „VI: Informační a komunikační systémy“, ani v jiném. Právě zde se jedná o ona již výše avizovaná kritéria na bázi počtu osob a přenosové rychlosti:
- informační systém spravovaný orgánem veřejné moci obsahující osobní údaje o více než 300 000 osobách,
- komunikační systém, zajišťující připojení nebo propojení prvku kritické infrastruktury, s kapacitou garantovaného datového přenosu nejméně 1 Gbit
Právě u této třetí skupiny je podmínka, že správcem je právě orgán veřejné moci, což vylučuje osoby v soukromém sektoru.
„To by mělo vyloučit například informační systémy pro správu zákazníků u nejrůznějších poskytovatelů služeb z privátního sektoru, jako jsou třeba telekomunikační operátoři. Nikoli ale informační systémy, nutné pro chod a řízení sítí těchto operátorů, protože ty „spadnou“ pod nový zákon o kybernetické bezpečnosti podle první skupiny kritérií.“
Systémy, které budou spadat do těch významných, ale prozatím určeny nejsou, byť se na ně budou vztahovat stejné povinnosti. Co prozatím ale prozradil NBÚ?
„Národní bezpečností úřad prosazuje názor, že informační systémy, jejichž správcem je obec, nebudou zahrnuty ani do kritické informační infrastruktury – tedy kritické infrastruktury v oblasti kybernetické bezpečnosti, ani mezi významné informační systémy. Standardizace podle prováděcích předpisů k ZKB by se tedy na obce povinně vztahovat neměla.“
Uvidíme tedy, s čím přijde v polovině října právě jimi připravovaný prováděcí předpis a jak to celé nakonec dopadne.
Zdroj:
Odpovědět na příspěvek