Zákon o kybernetické bezpečnosti je účinný, třetina dotazovaných firem však stále netuší, jak ho splnit.
Nový zákon o kybernetické bezpečnosti dopadá na tisíce českých firem a už několik měsíců je v platnosti. Podle výzkumu společnosti ESET ale třetina dotázaných firem nemá plán, jak jeho požadavky naplnit, a skoro polovina stále neví, do jakého režimu spadá. Zavedení příslušných opatření přitom trvá měsíce.
Nový zákon o kybernetické bezpečnosti, česká implementace evropské směrnice NIS2, poprvé nutí tisíce firem řešit svou digitální odolnost prokazatelně a povinně, a výzkum ukazuje, že na to většina není připravená. Zákon je účinný od listopadu 2025. Firmy se měly do konce tohoto roku samy posoudit a ohlásit Národnímu úřadu pro kybernetickou a informační bezpečnost (NÚKIB), zda a v jaké míře spadají pod tuto regulaci. Nyní běží ta náročnější část: na zavedení povinných bezpečnostních opatření mají firmy jeden rok. Přesný termín se liší podle toho, kdy NÚKIB potvrdil správnost registrace dané společnosti.
„Na základě našeho šetření víme, že více než 20 % firem v Česku hodnotí svou připravenost jako nedostatečnou. Naopak 46 % firem se domnívá, že své povinnosti splní včas. I když je připravených většina, míra těch, kteří si nejsou jisti a kteří už nyní vědí, že jim ujíždí vlak, budí obavy,“ říká Ondřej Dědič, Solution Architect ve společnosti ESET v Praze. „Roční lhůta se zdá jako velmi velkorysá, ale zavést řádná opatření není otázka týdnů, ale spíše měsíců intenzivní práce. Kdo zná svůj termín a začne ihned, dokáže pravděpodobně ještě vše zvládnout,“ doplňuje Dědič.
Firmy si v kyberbezpečnosti věří, data však říkají něco jiného
Průzkum odhalil u českých firem trhlinu mezi sebevědomím a realitou. Tři čtvrtiny firem hodnotí své bezpečnostní schopnosti kladně. Jen třetina má ale zálohy, které odolají např. útoku ransomwarem, a jen čtvrtina si pravidelně ověřuje, že z nich data skutečně dostane zpět.
„Většina firem z našeho dotazování věří, že je na kybernetické incidenty dobře připravena. Platí to ale často do chvíle, dokud nedojde k prvnímu incidentu nebo případný audit neprokáže, že obnovu dat nikdy netestovala,“ dodává Dědič.
Odolnost je o rychlosti reakce a připravenosti
Bezpečností experti z ESETu dále upozorňují, že těžiště bezpečnosti se přesouvá. Dokonalá ochrana neexistuje a většina útoků se za poslední dva roky rapidně zrychlila. Dnešní kybernetické hrozby, a zejména pak podvody založené na sociálním inženýrství, jsou akcelerovány umělou inteligencí a odehrávají se v řádech minut. Cílem už není nebýt napaden, ale útok včas zachytit a rychle na něj zareagovat.
„Dnes již nerozhoduje, kolik nástrojů firma má. Rozhoduje, jestli si někdo včas všimne, že se něco děje. Deset bezpečnostních řešení, které nikdo nesleduje, vás v důsledku chrání hůř než jeden systém, který funguje,“ říká Dědič z ESETu.
Právě nepřetržitý dohled je přitom dle průzkumu od ESET pro menší tuzemské firmy nejtěžší. Vlastními silami ho zvládá zhruba jen pětina a dalších 24 % si pomáhá externím dohledem.
Tři kroky, které dává smysl udělat ihned
Firmám, které chtějí posílit svou odolnost a splnit povinnosti bez paniky, ESET radí začít od základů:
- Zjistit přesný termín zavedení opatření pro konkrétní organizaci. Ověřit, do jakého režimu firma spadá a dokdy musí mít opatření zavedená. Pomůže kalkulačka na portálu NÚKIB.
- Otestovat obnovu dat. Nejen, jestli zálohy existují, ale jestli z nich firma data skutečně obnoví. Firmy by si to ideálně měly vyzkoušet nanečisto dřív, než to bude nutné v ostrém provozu.
- Zajistit rychlou reakci. Kde chybí vlastní bezpečnostní tým, zvážit službu, která dohled a zásah převezme, revidovat procesy pro případ incidentu a hlavně průběžně školit zaměstnance.
Chuť investovat do IT infrastruktury přitom roste. Výdaje na kybernetickou bezpečnost plánuje v příštím roce navýšit 61 % dotazovaných firem.
KOMENTÁŘE