Kybernetické hrozby už dávno nie sú len témou pre bezpečnostných špecialistov. Dnes ide o strategickú otázku, ktorá sa dotýka každého odvetvia a každej firmy, ktorá je akokoľvek prepojená s digitálnym svetom. Európska únia si túto realitu uvedomuje a preto predstavila dve zásadné regulácie – NIS 2 a DORA. Každá z nich má iné zameranie, no obe smerujú k rovnakému cieľu: budovať odolnosť digitálnej infraštruktúry.
NIS 2: Kyberbezpečnosť ako súčasť každodennej agendy
Smernica NIS 2 (Network and Information Security) nadväzuje na svoju predchodkyňu z roku 2016, no jej ambície sú omnoho vyššie. Prvýkrát výrazne rozširuje okruh povinných subjektov – okrem kritických infraštruktúr sa zameriava aj na širokú skupinu takzvaných „dôležitých entít“. To znamená, že sa týka nielen energetických firiem, telekomunikácií či nemocníc, ale aj menších IT služieb, výrobných podnikov či logistických spoločností.
DORA: Stabilita finančného sektora v digitálnom veku
Digitálna prevádzková odolnosť nie je len o tom, či sa firma vie brániť útokom. Je o tom, ako rýchlo sa vie zotaviť, keď zlyhá technológia. A práve túto schopnosť adresuje nariadenie DORA – Digital Operational Resilience Act. Je šité na mieru finančnému sektoru, od bánk a poisťovní, cez fintech spoločnosti až po poskytovateľov platobných služieb.
Na rozdiel od NIS 2, ktorá sa implementuje do národných legislatív, DORA je priamo uplatniteľná vo všetkých členských štátoch EÚ. V praxi to znamená, že už od januára 2025 musia byť všetky zasiahnuté organizácie v súlade s jej požiadavkami.
DORA prináša systematický rámec na riadenie IKT rizík, vrátane testovania odolnosti (napr. red teaming), detailného manažmentu incidentov, pravidiel pre zmluvy s tretími stranami a nového typu dohľadu nad veľkými technologickými dodávateľmi. V praxi to znamená, že aj spoločnosti, ktoré iba poskytujú technológiu bankám či fondom, sa stanú predmetom regulácie.
Dve regulácie, jeden cieľ
Aj keď NIS 2 a DORA smerujú rôznymi cestami, majú spoločný menovateľ – budovať odolné, bezpečné a dôveryhodné digitálne prostredie v celej EÚ. Obidve regulácie kladú dôraz na proaktívne riadenie rizík, zodpovednosť vedenia a pripravenosť na krízové situácie. A čo je možno najdôležitejšie – od firiem sa už nežiada len dodržiavať zákon, ale reálne investovať do bezpečnosti ako súčasti svojej kultúry a stratégie.
Ako na to?
Pre firmy to znamená jediné – začať konať čo najskôr. Nejde len o právne minimum, ale o príležitosť zvýšiť dôveru zákazníkov, partnerov a investorov. Implementácia systému riadenia bezpečnosti, pravidelné hodnotenie rizík, školenie zamestnancov a zmluvné zabezpečenie dodávateľov už nie sú len „best practices“ – stávajú sa povinnosťou.
A čo je pozitívne – čím skôr firmy začnú, tým viac si vedia celý proces nastaviť udržateľne a zmysluplne.
Ak ste ešte nezačali pripravovať svoju organizáciu na NIS 2 alebo DORA, teraz je ten správny čas. Neistota a zdržanie môžu byť drahšie než samotná príprava. Ak potrebujete partnera, ktorý vás týmto procesom prevedie, som tu pre vás.
