NIS2 v praxi: Co IT týmy podniků skutečně musí udělat

NIS2 výrazně rozšířila působnost původní směrnice NIS. Pokrývá více odvětví — energetiku, dopravu, zdravotnictví, digitální infrastrukturu, výrobu a další — a stanovené povinnosti jsou konkrétnější. Lhůta, do níž měly členské státy EU směrnici transponovat do národního práva, uplynula v říjnu 2024.

Klíčové požadavky spadají do dvou kategorií: opatření k řízení rizik a hlášení incidentů. Řízení rizik zahrnuje řízení přístupu, zabezpečení dodavatelského řetězce, kryptografii, řešení zranitelností a kontinuitu provozu. Hlášení incidentů vyžaduje ohlásit významný incident příslušným úřadům do 24 hodin a předložit úplnou zprávu do 72 hodin.

Sankce jsou citelné. Vrcholový management může nést osobní odpovědnost. Maximální pokuty pro klíčové subjekty dosahují 10 mil. € nebo 2 % celosvětového obratu.

Když hodnotíme připravenost organizace na NIS2, nejčastější slabinou není dokumentace — je provozní. Organizace mají směrnice. Často ale nemají technické kontrolní mechanismy, které by je vynucovaly, ani monitoring, který by odhalil jejich porušení.

Dobrým příkladem je bezpečnostní skenování v CI/CD pipeline. Většina organizací ho nemá. Provádějí občasné manuální bezpečnostní revize nebo se spoléhají na roční penetrační testy. NIS2 přitom očekává průběžné řízení zranitelností — tedy automatizované skenování jako standardní součást toho, jak software dodáváte.

Dalším slabým místem je reakce na incidenty. Mít plán reakce na incidenty není totéž jako mít ho vyzkoušený v praxi. Požadavek NIS2 na ohlášení do 24 hodin znamená, že potřebujete proces, který skutečně obstojí pod tlakem, ne dokument popisující, co byste v ideálním případě udělali.

Organizace, které NIS2 zvládají dobře, k němu přistupují jako k inženýrskému problému, ne jako ke cvičení v souladu s předpisy. Otázka nezní „jak doložíme, že tyto požadavky splňujeme?“ — zní „jak postavíme systémy, které je skutečně splňují?“

Začněte inventarizací aktiv a posouzením rizik. Nemůžete chránit to, co nedokážete vyjmenovat. Poté upřednostněte ty technické kontrolní mechanismy, které řeší vaše nejrizikovější slabiny — řízení přístupu, skenování zranitelností, logování a monitoring — ještě dříve, než budete investovat do dokumentace.

Zvláštní pozornost si zaslouží zabezpečení dodavatelského řetězce. NIS2 vyžaduje, aby organizace posuzovaly bezpečnostní praktiky svých dodavatelů. U softwaru to znamená rozumět tomu, co máte ve stromu závislostí a jak se dozvíte o zranitelnostech v komponentách třetích stran.

Udržitelný přístup k souladu s NIS2 spočívá v tom, že se požadované kontrolní mechanismy stanou součástí toho, jak software běžně stavíte a provozujete — nikoli paralelní agendou vedle samotné dodávky.

V praxi to znamená automatizované bezpečnostní skenování v CI/CD, infrastrukturu jako kód s bezpečnostními politikami vynucovanými na úrovni pipeline, strukturované logování napojené na SIEM a runbooky pro reakci na incidenty, které se pravidelně testují.

U nás je to zabudované do standardního procesu dodávky, protože to naši státní klienti vyžadují. Výsledkem je, že soulad s NIS2 je z velké části vedlejším produktem toho, jak pracujeme, a ne další zátěží. Organizace, které stavějí stejným způsobem, zjistí, že průběžné náklady na soulad jsou mnohem nižší než u těch, které k němu přistupují jako k oddělenému cvičení.