Blíží se nástup NIS2: Jak je Česko připraveno a jaký lze očekávat vývoj?

Ze zkušenosti z minulosti, například s přístupem k nástupu GDPR i dalších podobně rozsáhlých norem, je možné očekávat následující scénář:

1) Firmy budou odkládat přípravy na poslední chvíli nebo je vůbec nebudou brát vážně, což nakonec povede k nedostatečné připravenosti a nedodržení termínů a podmínek.
2) Už nyní je jasné, že existuje nedostatek zdrojů napříč firmami. Finančních, technických, ale také lidských. S blížícími se termíny bude situace ještě komplikovanější.
3) Řada firem nezažádá včas o dostupné dotace, čímž si dále komplikuje situaci.
4) Podcenění požadavků NIS2 povede k tomu, že mnoho firem je nebude schopno splnit, což povede k právním komplikacím a vysokým pokutám.
5) Nedostatečná připravenost a nesoulad s normou povede ke zvýšenému riziku kybernetických útoků a bezpečnostních incidentů. A s ohledem na přísnější požadavky také k potenciálně tvrdším postihům.
6) Pro řadu firem vzniknou ekonomické i reputační ztráty, dojde k poškození pověsti, protože se dostanou do pozice firmy neschopné chránit data a systémy.

Výše popsaný poněkud katastrofický scénář závisí na řadě faktorů, včetně úrovně přijetí a podpory ze strany vlády, schopností a ochoty firem investovat do kybernetické bezpečnosti, a celkového povědomí o důležitosti dodržování bezpečnostních standardů.

Jak by vypadal ideální scénář

1) Firmy začaly s přípravou ideálně nejpozději v lednu 2024, což zahrnuje intenzivní vzdělávací programy a tréninky pro zaměstnance a řadu dalších následných kroků týkajících se aplikací, softwaru, informačních systémů, procesů.
2) Dojde ke značným investicím do bezpečnostních technologií a infrastruktury, aby byly splněny požadavky normy NIS2.
3) Firmy od samého počátku spolupracují s kybernetickými bezpečnostními experty a konzultanty pro zajištění souladu.
4) Do října 2024 se většině firem podaří úspěšně implementovat potřebné změny a jsou plně v souladu s normou NIS2.

V tomto případě se celkově významně zvyšuje kybernetická bezpečnost a obranyschopnost firem, čímž se snižuje riziko útoků a poruch.

Jaká situace pravděpodobně nastane

Zkušenosti z minulosti a také znalosti trhu říkají, že ve velkém množství firem nastane situace popsaná na počátku, tedy katastrofická. Pouze část, pravděpodobně okolo dvaceti maximálně třiceti procent firem, úspěšně projde vším potřebným pro splnění požadavků NIS2 v termínu.

Nepříznivému scénáři nahrává i možný odklad NIS2 a prozatím chybějící důraz státu na to, jak je NIS2 důležitá a hlavně, jaké má praktické pozitivní dopady na kybernetickou bezpečnost. Stát by tedy zcela určitě měl zvážit aktivní podporu, vzdělávací i jinou, týkající se právě NIS2.

Autor:Irena Hýsková, výkonná ředitelka Thein Security