Připravte svou firmu na předpisy o kybernetické bezpečnosti a ochraně osobních údajů

Výzkum společnosti Canon ukázal, že vedoucí pracovníci v oblasti IT neustále vyhodnocují bezpečnost informací jako jednu ze svých tří nejobtížnějších a časově nejnáročnějších povinností posledních pěti let.

Ve skutečnosti byla bezpečnost informací (ve 33 %) hodnocena jako výzva číslo jedna, po níž těsně následovalo zajišťování souladu se zákony a předpisy (ve 25 %). Bezpečnost informací je proto stále naléhavou záležitostí, protože regulační povinnosti a technologická složitost stále rostou.

Regulace se neustále rozšiřuje, přičemž Evropská unie i národní vlády posilují směrnice v oblasti kybernetické bezpečnosti a rozšiřují okruh odvětví, na která se tyto předpisy vztahují. To znamená, že od více organizací se nyní očekává, že prokážou schopnost efektivně řídit rizika, reagovat na incidenty, dohlížet na dodavatelský řetězec a plánovat odolnost.

V roce 2026 se tyto změny v předpisech dostávají z fáze příprav do fáze zavádění. Od ledna 2025 platí nařízení DORA, které vyžaduje, aby finanční instituce posílily řízení rizik v oblasti informačních a komunikačních technologií, testování odolnosti, hlášení incidentů a dohled nad klíčovými dodavateli třetích stran. Zákon o kybernetické odolnosti vstupuje do klíčové fáze své realizace: od září 2026 budou výrobci produktů s digitálními prvky povinni hlásit aktivně zneužívané zranitelnosti a závažné bezpečnostní incidenty, a to ještě před tím, než zákon vstoupí v platnost v širším rozsahu od prosince 2027. Tyto milníky znamenají, že dodržování předpisů zůstane pro správní rady i v dalších letech prioritou.

Směrnice NIS2 je také klíčovou součástí této změny. Je navržena tak, aby posílila kybernetickou odolnost v celé EU, a rozšiřuje oblast působnosti předchozí směrnice zavedením přísnějších povinností v oblasti řízení rizik a hlášení incidentů, posíleného regulačního dohledu a větší odpovědnosti vyššího vedení. Vzhledem k tomu, že členské státy nadále zavádějí a prosazují národní legislativu, budou muset organizace působící v mezinárodním měřítku pečlivě sledovat místní požadavky.

Aby bylo možné splnit současné povinnosti a přizpůsobit se budoucímu prostředí zabezpečení informací, které se neustále vyvíjí, je klíčová spolupráce s partnerem disponujícím odbornými znalostmi a řešeními, které provozy pomohou připravit na budoucnost. Firmy se mohou připravit na nové a připravované regulace, vyhnout se potenciálně nákladným změnám těsně před termínem jejich zavedení a zaujmout proaktivnější přístup k zabezpečení informací, pokud zohlední následující oblasti.

Firmy musí mít jasnou představu o právních předpisech, které se vztahují k jejich organizaci, odvětví a oblastem působení. Je nezbytné konzultovat situaci s odborníky na právo, předpisy a bezpečnost a pochopit nejen přímé povinnosti, ale také širší dopady na produkty, služby, dodavatele a interní procesy.

Klíčové je také zavedení postupu průběžného sledování nově vznikajících právních předpisů a termínů jejich zavádění na národní úrovni včetně zajištění poradenství. To lze zařídit prostřednictvím vyhrazeného interního týmu nebo externího odborného dodavatele, což organizacím umožní předvídat budoucí požadavky a aktivně se přizpůsobit dříve, než termíny začnou být urgentní.

Aby zabezpečovací týmy dokázaly reagovat na měnící se regulační prostředí, mohou potřebovat rozšířit své znalosti – buď najmutím specialistů, nebo školením stávajících pracovníků v oblasti dodržování bezpečnostních předpisů, interpretace legislativy a zavádění kontrolních prvků zabezpečení. Takový krok může mít vliv na zdroje, personální obsazení a rozpočty v závislosti na požadované úrovni přizpůsobení.

IT týmy musí nastavit jasné postupy pro správu zranitelností, aktualizaci softwaru, reakci na incidenty, testování odolnosti a hlášení úniků dat. Tyto procesy by měly být dokumentovány, otestovány a pravidelně kontrolovány, aby bylo zajištěno dodržování povinností vyplývajících z předpisů jako NIS2, DORA a zákona o kybernetické odolnosti. V případě potřeby mohou organizace také postupně investovat do dalšího softwaru, monitorovacích funkcí a řízených služeb, které tyto postupy podporují.

I když se jedná o externí dodavatele, jejich bezpečnostní opatření, procesy hlášení a připravenost na dodržování předpisů mohou mít přímý vliv na vaši míru rizika. Je důležité s dodavateli aktivně spolupracovat, seznámit se s jejich postupy zabezpečení a provádět revize smluv a audity, které pomohou zajistit soulad dodavatelů s vašimi vlastními standardy dodržování předpisů.

Zatímco některé incidenty zabezpečení mohou mít významný dopad na vaše podnikání, je důležité, aby zaměstnanci neprodleně sdělovali rizika a byla podporována kultura otevřeného nahlašování. Jasně definované postupy pro řešení eskalací, informovanost zaměstnanců a transparentní nahlašování problémů pomáhají organizacím poučit se z incidentů, dodržet lhůty pro oznámení a posílit kontrolní mechanismy, aniž by vytvářely kulturu obviňování.

Nové a nově vznikající regulace jsou pozitivní silou pro spotřebitele a odvětví zabezpečení jako celek. V konečném důsledku povedou k bezpečnějšímu a transparentnějšímu digitálnímu prostředí pro firmy. I když mohou vzniknout krátkodobé náklady a je nutné vynaložit jisté úsilí na jejich zavádění, dlouhodobé výhody včasného přizpůsobení a přijetí aktivního přístupu k regulaci daleko převažují nad výzvami, které přinášejí.