Kybernetická bezpečnost jako úkol vedení: co zákon ukládá statutárům

Směrnice NIS2 přesunula kybernetickou bezpečnost z technické agendy mezi rozhodnutí vedení. Slovenský zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti to nedělá jednou větou o osobní odpovědnosti statutára. Ukládá provozovateli základní služby sérii povinností, které se bez vedení splnit nedají: schvalování opatření, pravidelné informování, přidělení zdrojů a určení odpovědných osob. Tento článek je pro jednatele a členy představenstva firem, které jsou zapsány v registru Národního bezpečnostního úřadu nebo se do něj chystají.

Co zákon ukládá přímo vedení

První povinností je, aby se vedení o kybernetických rizicích vůbec dozvídalo. Provozovatel musí vytvořit a zavést účinný mechanismus včasného informování statutárního orgánu a odpovědných vedoucích zaměstnanců o hrozbách, zranitelnostech, incidentech, událostech odvrácených na poslední chvíli, výsledcích analýzy rizik a stavu jejich ošetření (§ 19 odst. 6 písm. h)). Nestačí tedy, že IT oddělení o problému ví. Zákon chce, aby informace prokazatelně došla k těm, kteří rozhodují.

Druhou povinností je určit, kdo za co odpovídá. Mezi minimální bezpečnostní opatření patří určení konkrétní osoby nebo osob odpovědných za schvalování bezpečnostních opatření, dohled, kontrolu a audit, zajištění přiměřených zdrojů na řízení kybernetické bezpečnosti a za vzdělávání (§ 20 odst. 4 písm. h)). Vyhláška NBÚ č. 227/2025 Z. z. na tuto osobu navazuje: výsledky analýzy rizik a návrhy bezpečnostních opatření musí prokazatelným způsobem schválit právě ona (§ 5 odst. 7 vyhlášky). Bezpečnostní dokumentace musí obsahovat schválenou strategii kybernetické bezpečnosti a schválené bezpečnostní politiky (§ 4 odst. 1 písm. a) a b) vyhlášky).

Třetí povinnost se týká lidí. Provozovatel musí přidělit úkoly, role a odpovědnosti a zajistit přiměřené vzdělávání a přeškolování pro všechny zavedené role (§ 20 odst. 4 písm. g) a i)). Samostatnou povinnost školení statutára slovenský zákon výslovně neformuluje a podrobnosti o vzdělávání ponechává na prováděcím předpisu úřadu (§ 32 odst. 1 písm. h)). Pokud je však vedení tím, kdo opatření schvaluje, je v jeho zájmu rozumět tomu, co podepisuje. Úřadu je nakonec třeba oznamovat i jmenování nebo změnu statutárního orgánu, nejde-li o referenční údaj (§ 19 odst. 6 písm. i)).

Manažer kybernetické bezpečnosti vedení nenahrazuje

Zákon vyžaduje manažera kybernetické bezpečnosti, který je při návrhu, přijímání a prosazování opatření nezávislý na struktuře řízení provozu a vývoje IT a splňuje znalostní standardy (§ 20 odst. 4 písm. a)). Je to důležitá role, ale je to jiná role než schvalování a přidělení zdrojů. Manažer navrhuje a prosazuje, schvaluje a financuje však ten, koho firma určí podle § 20 odst. 4 písm. h). Pokud tato hranice není v interních předpisech jasně nakreslena, při kontrole se těžko prokazuje, kdo rozhodl o akceptování rizika.

Když se povinnosti neplní

Hlavním adresátem sankcí je firma. Za porušení většiny povinností podle § 19 odst. 6 včetně mechanismu informování vedení může úřad uložit provozovateli pokutu až do 7 000 000 eur nebo 1,4 % celosvětového ročního obratu, u kritické základní služby až do 10 000 000 eur nebo 2 % obratu (§ 31 odst. 2 a 3). Fyzická osoba, která nepostupovala v souladu s přijatými technickými, organizačními nebo personálními opatřeními, se dopouští přestupku s pokutou od 100 do 5 000 eur (§ 30 odst. 1 písm. d) a odst. 2).

U provozovatele kritické základní služby jde zákon dál a sahá přímo na osoby ve vedení:

Nesplní-li provozovatel základní služby, který provozuje kritickou základní službu, povinnost podle odstavce 1 písm. a) nebo písm. b) ani v dodatečné lhůtě určené ve výzvě úřadu, může úřad podle závažnosti, rozsahu, délky trvání, následků a povahy zjištěných nedostatků zakázat statutárnímu orgánu provozovatele základní služby nebo členovi statutárního orgánu provozovatele základní služby, jeho vedoucímu zaměstnanci na nejvyšší úrovni řízení odpovědnému za příslušnou činnost nebo výkonem této činnosti pověřenému zmocněnci vykonávat jejich funkci, zaměstnání nebo činnost u provozovatele základní služby, a to až do doby splnění těchto povinností.

— Český překlad § 29j odst. 4 zákona č. 69/2018 Z. z.

Odkazované povinnosti jsou audit kybernetické bezpečnosti a opatření k nápravě, která úřad uložil. Zákaz tedy nepřichází bez varování, ale po nesplnění výzvy úřadu i v dodatečné lhůtě.

Odpovědnost vůči vlastní společnosti

Vedle veřejnoprávních sankcí platí i obchodní právo. Jednatel s.r.o. je povinen vykonávat působnost s odbornou péčí, obstarat si a při rozhodování zohlednit všechny dostupné informace a společnosti nahradit škodu, kterou porušením povinností způsobil (§ 135a odst. 1 a 2 obchodního zákoníku). Pokud společnosti vznikne škoda, například z výpadku provozu po incidentu, odpovědnosti se jednatel zbaví jen tehdy, prokáže-li, že postupoval s odbornou péčí a v dobré víře, že jedná v zájmu společnosti (§ 135a odst. 3). Dohody, které odpovědnost jednatele vylučují nebo omezují, jsou zakázány (§ 135a odst. 4). Při obraně proto rozhoduje záznam o tom, že vedení dostávalo informace, rizika posoudilo a o opatřeních rozhodlo.

Jak to nastavit v praxi

Doporučujeme zejména čtyři kroky. Zaprvé, v interních předpisech pojmenovat osobu podle § 20 odst. 4 písm. h) a oddělit její pravomoci od role manažera kybernetické bezpečnosti. Zadruhé, zavést pravidelné písemné informování vedení a při mimořádných událostech okamžité. Zatřetí, schválení analýzy rizik, strategie a politik dokumentovat usnesením nebo zápisem. Začtvrté, promítnout rozdělení úkolů do smlouvy o výkonu funkce, aby bylo zřejmé, kdo z vedení za oblast odpovídá.

Právní část včetně rozdělení odpovědnosti a interních předpisů připravíme v rámci služby NIS2 a kybernetická bezpečnost, úpravu povinností jednatelů v rámci služby smlouva o výkonu funkce. Související povinnosti rozebíráme v otázkách audit kybernetické bezpečnosti a sebehodnocení a komu a dokdy hlásit kybernetický útok, smluvní stranu v článku NIS2 v dodavatelských smlouvách.