Nejčastější omyly o směrnici NIS2: Co musí firmy v ČR vědět

Dle posledního průzkumu společnosti Acronis (Acronis Cyber Protection Week Global Report 2024) pouze 2 % českých firem uvádí, že jsou na směrnici NIS2 plně připraveny. Méně než desetina organizací má zavedené interní procesy, které skutečně odpovídají jejím požadavkům. Současně více než polovina firem v regionu EMEA v uplynulém roce čelila kybernetickému incidentu, kterému by mohla správně nastavená opatření podle NIS2 předejít.

Směrnice NIS2, která se aktuálně promítá do českého zákona o kybernetické bezpečnosti, přináší nové povinnosti a rozšiřuje okruh firem, na které se vztahuje. Mnoho organizací však její dopad stále podceňuje nebo mu nerozumí.

A právě proto kolem nové regulace koluje celá řada mýtů a nepřesností. Níže uvádíme pět nejčastějších omylů.

Jaké chyby dělají firmy při zavádění NIS2?

1. Nás se to netýká, jsme malá firma: Pokud podnikáte v regulovaném odvětví a splňujete velikostní kritéria, směrnice se vás týká. I menší firmy mohou být dotčeny, pokud jsou dodavateli pro větší subjekty.
2. Stačí mít antivirus a firewall: NIS2 není o produktech. Jde o řízení rizik, procesní nastavení a průkaznou dokumentaci.
3. To zvládne náš ajťák: Zákon vyžaduje odpovědnou osobu s manažerskou zodpovědností. Interní IT specialista nemusí mít potřebnou kapacitu ani kompetence.
4. Kontrola nám řekne, co opravit: Zákon očekává proaktivní přístup. Pokud dojde k incidentu nebo kontrole bez předchozí přípravy, může být pozdě.
5. Máme ISO, takže máme hotovo: Certifikace jako ISO 27001 může být dobrým základem, ale sama o sobě nestačí. NIS2 má vlastní právní rámec, lhůty, zodpovědnosti i oznamovací povinnosti.

Co to znamená pro vaši firmu?

Pokud spadáte mezi tzv. povinné subjekty, ignorovat NIS2 není možnost. Ať už jste menší IT firma, poskytovatel služeb, nebo výrobní podnik.

Data jasně ukazují, že většina firem ještě nepodnikla konkrétní kroky, přestože se incidenty množí. Nestačí „jen přežít“. Je třeba aktivně budovat odolnost, dokumentaci a reakční kapacity.

Směrnice NIS2 jasně nastavuje požadavky na:

• bezpečnostní procesy,
• jmenované odpovědné osoby,
• školení zaměstnanců,
• řízení rizik,
• a hlášení incidentů v zákonné lhůtě.

Nejste si jisti, jak je na tom vaše firma? Kontaktujte nás co nejdříve.