NIS2 je zkratka pro Směrnici Evropské unie o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii. Ta nahrazuje původní směrnici NIS (NIS1). Jedná se o klíčový legislativní rámec, jehož cílem je posílit kybernetickou odolnost a bezpečnost v členských státech EU.

V podstatě jde o soubor pravidel a povinností, které mají zajistit, aby kritické sektory a digitální služby byly lépe chráněny před kybernetickými hrozbami.

Kybernetické útoky jsou stále sofistikovanější a jejich dopad na ekonomiku a společnost roste. NIS2 reaguje na tuto dynamickou hrozbu rozšířením působnosti, zpřísněním požadavků a zavedením efektivnějších mechanismů pro dohled a vynucování. Cílem je vytvořit jednotnější a robustnější kybernetickou obranu napříč celou EU.

Oproti předchozí směrnici NIS1, která se zaměřovala především na provozovatele základních služeb (OZS) a poskytovatele digitálních služeb (PDS), NIS2 výrazně rozšiřuje okruh subjektů, na které se vztahuje. Nově se dělí na dvě hlavní kategorie:

1. Základní subjekty (Essential Entities): Sem spadají sektory s vysokou mírou kritičností, jako je energetika, doprava, bankovnictví, zdravotnictví, digitální infrastruktura, veřejná správa a vesmír.
2. Důležité subjekty (Important Entities): Tato kategorie zahrnuje další významné sektory, například poštovní a kurýrní služby, nakládání s odpady, výroba potravin, digitální poskytovatelé (sociální sítě, datová centra), výzkum a další.

Směrnice se vztahuje na subjekty, které splňují určitá kritéria velikosti (střední a velké podniky) a působí v těchto sektorech. Zjistěte, jestli se směrnice NIS2 týká i vás.

Subjekty spadající pod NIS2 budou muset implementovat řadu opatření pro řízení kybernetických rizik, která zahrnují mimo jiné:

• Analýzu rizik a bezpečnostní politiky: Pravidelné hodnocení rizik a zavedení odpovídajících bezpečnostních politik.
• Řízení incidentů: Procesy pro detekci, analýzu a reakci na kybernetické incidenty.
• Kontinuitu provozu a krizové řízení: Plány pro obnovu po incidentech a zvládání krizových situací.
• Zabezpečení dodavatelského řetězce: Posouzení a řízení rizik spojených s dodavateli a poskytovateli služeb.
• Zabezpečení sítí a informačních systémů: Technická a organizační opatření pro ochranu infrastruktury.
• Školení v oblasti kybernetické bezpečnosti: Pravidelné vzdělávání zaměstnanců.
• Reporting incidentů: Povinnost hlásit závažné kybernetické incidenty příslušným orgánům v definovaných časových rámcích.