"Vše o kybernetické bezpečnosti"

NIS 2 a FINANCE

Kybernetické útoky, které byly schopny vyřadit nejen velké společnosti ale také vládní instituce, nutí zákonodárce po celém světě stále častěji přikročit ke stanovení jednotné standardizované úrovni kybernetické bezpečnosti. Pro bankovnictví a poskytovatele finančních služeb může implementace těchto standardů znamenat dokonce také změny ve fungování poskytování jejich služeb jako takových.

Inspirací připravované evropské legislativy jsou pravděpodobně mimo jiné zákonné akty z USA. Tamnější regulační orgán odpovědný za dohled nad pojištěním bankovních vkladů  (FDIC) a Federální obchodní komise (FTC) totiž hodlají již v průběhu roku 2022 vymáhat pravidla obsahově velmi podobná těm přicházejícím do Evropy –  zejména směrnice s názvy PSD 2, DoRA, MiCA, NIS 2.

Nově tak budou američtí poskytovatelé finančních služeb povinni splnit zákonem předepsaná kyberbezpečnostní pravidla, jako např. ustanovení osob odpovědných za řízení rizik, vypracování strategie hodnocení rizik, zavedení šifrování dat uživatelů, ustanovení systému hlášení incidentů a řadu dalších.

Změna přichází z Evropy

Série plánovaných nařízení a směrnic bezesporu promění v nejbližších letech fungování řady odvětví včetně finančního sektoru. Velkou část prováděcích opatření budou navíc upřesňovat další podzákonné právní předpisy a regulatorně-technické standardy (RTS) vypracované evropskými orgány pro finanční regulaci ve spolupráci s Agenturou Evropské unie pro kybernetickou bezpečnost (ENISA). Změny se dotknou širokého spektra tržních subjektů od největších bankovních společností, přes nebankovní poskytovatele finančních služeb až po subjekty obchodující s kryptoměnami.

Dotčené subjekty budou nově povinny zavést například systém hodnocení rizik nebo připravit funkční compliance programy v oblasti řízení incidentů souvisejících s technickým i netechnickým řešením informačních a výpočetních systémů. Dále jim také vznikne povinnost hlášení incidentů příslušnému vládnímu orgánu či zavedení vnitřních ukazatelů včasného varování kybernetických hrozeb. V případě jakéhokoliv kybernetického útoku musí poskytovatelé finančních služeb reagovat velmi rychle, neboť lhůta pro nahlášení bude stanovena zřejmě nejpozději do konce daného dne během kterého k incidentu došlo.

DORA a NIS 2 jsou tu!

Evropská unie se nyní pomocí nařízení o digitální provozní odolnosti (DORA) snaží vytvořit komplexní a jednotný digitální rámec pro finanční instituce na celém jejím území. Cílem DORA je tedy zejména sjednotit pravidla pro užívání a výběr informačních a telekomunikačních technologií ve finančním sektoru. Dalším hegemonem na poli regulace kybernetické bezpečnosti finančního sektoru je směrnice NIS 2, která v určitých bodech nařízení DORA upřesňuje a některé části přejímá. Jako velmi pravděpodobné se jeví, že i nadále bude nařízení DORA vedle NIS 2 ve vztahu lex specialis (speciální právní úprava mající k jiné obecnější právní úpravě podřízený charakter), neboť tomu tak bylo i v případě předcházející směrnice NIS.

Obecnými cíli obou uvedených zákonných předpisů je zejména zlepšení schopnosti dotčených subjektů řídit rizika spojená s ICT nebo také zavedení povinnosti hlášení incidentů a odstranění nedostatků v rámci sdílení informací se státními orgány. Hlavním účelem je pak vytvořit vhodný rámec kontinuální spolupráce mezi soukromý sektorem a státem ve věcech kybernetické bezpečnosti. Společnosti budou nově povinny např. sdílet informace o kybernetických hrozbách a důsledně zvyšovat povědomí o rizicích v oblasti ICT, přičemž stát by jim měl na oplátku poskytnout podporu při zavádění kyberbezpečnostních opatření.

Po přijetí a transpozice evropských směrnic do národních legislativních systémů v jednotlivých členských státech EU započnou příslušné evropské dohledové instituce (např. Evropský orgán pro bankovnictví – EBA, Evropský orgán pro cenné papíry a trhy – ESMA a Evropský orgán pro pojišťovnictví a zaměstnanecké penzijní pojištění EIOPA, Agentura Evropské unie pro kybernetickou bezpečnost – ENISA) přípravu přesných technických norem. Ty se následně stanou závazné pro širokou paletu subjektů z finančního sektoru – od institucí poskytující finanční služby, přes banky, pojišťovny až po správu aktiv. Příslušné vnitrostátní orgány pak převezmou úlohu dohledu nad dodržováním předpisů a budou je dle potřeby vymáhat.

Obecně lze očekávat, že nová legislativa výrazně posílí dohled nad opatřeními v oblasti zabezpečení dat a zavede určitý mechanismus hodnocení dodavatelů ICT řešení.

Poměrně silně regulovaný finanční sektor tak bude vystaven nemalé zkoušce, neboť se bude muset vypořádat jednak s technickými a také netechnickými parametry nové regulace. Včasné adaptaci na nová pravidla by se měly dotčené subjekty intenzivně věnovat i kvůli tomu, že v případě jejich nedodržení může hrozit pokuta až do výše 10.000.000 EUR nebo 2 procenta z celkového celosvětového ročního obratu podniku.

Výše zmíněných změn se dočkáme velmi brzy, neboť Česká republika dle vyjádření NÚKIB již započala s jednáním ohledně transpozice a implementace směrnice NIS 2 do tuzemského právního řádu. Na zavedení nových pravidel, která mají být oficiálně zveřejněna v průběhu roku 2022, bude čas zhruba do poloviny roku 2024.


Autor: Michael Fanta, šéfredaktor
FOTO: Freepik

[give_form id=“36″]
Košík
vše o kybernetické bezpečnosti

Máte zájem o spolupráci?

Pošlete nám kontakt, my se Vám v blízké době ozveme.