Digitální služby pod drobnohledem EU

Nařízení o digitálních službách: nařízení, na které se často zapomíná

V poslední době se prakticky nemluví o ničem jiném než o směrnici NIS2 a novém zákoně o kybernetické bezpečnosti. Firmy intenzivně diskutují o tom, zda se na ně bude nová regulace vztahovat, v jakém režimu a jaké povinnosti z toho pro ně vyplynou.

Méně známou skutečností je, že na vybrané poskytovatele digitálních služeb se vztahuje další, velmi specifické nařízení – nařízení o digitálních službách (nařízení Komise (EU) 2024/2690).

Toto prováděcí nařízení má pro dotčené organizace zásadní význam. Nejenže vstoupí v platnost v roce 2024, ale u vybraných subjektů rozšiřuje obecné požadavky směrnice NIS2 a v oblasti kybernetické bezpečnosti zachází do mnohem větších podrobností. Rozhodně se nevyplatí jej ignorovat.

V čem spočívá rozdíl mezi nařízením NIS2, ZKB a tímto nařízením?

Zjednodušeně řečeno:

• NIS2 stanoví jednotný rámec povinností v oblasti kybernetické bezpečnosti v EU;
• ZKB převádí tato pravidla do českého práva a přesně stanovuje, jak budou v České republice fungovat.
• U vybraných digitálních služeb stanoví prováděcí nařízení k směrnici o digitálních službách (DSA) konkrétní technické podrobnosti ohledně toho, jak by organizace měly v praxi zajistit bezpečnost.

Nejvýznamnějším rozdílem je, že nařízení je přímo použitelné ve všech zemích EU a není nutné čekat na jeho provedení na vnitrostátní úrovni.

To znamená, že pokud na vás tato směrnice platí, podléháte přímo evropským předpisům. Důvodem je především přeshraniční povaha digitálních služeb, u nichž by odlišná pravidla v jednotlivých zemích nedávala smysl.

Na koho útočí?

Prováděcí nařízení (EU) 2024/2690 přesně vymezuje vybrané kategorie poskytovatelů digitální infrastruktury a digitálních služeb. Obvykle se jedná o:

• cloudové služby (IaaS, SaaS, PaaS);
• datová centra;
• síť pro doručování obsahu (CDN);
• Služby spravovaného prostředí a služby spravované bezpečnosti (MSP a MSSP);
• Provozovatelé internetových vyhledávačů a online tržišť;
• služby zaměřené na budování důvěry.

Zajímavé scénáře z praxe

Nařízení se často týká společností, které veřejně neprodávají žádné IT služby. Typickým příkladem jsou holdingové struktury:

• Vlastní IT společnost v rámci holdingu: Pokud poskytujete IT nebo cloudové služby jiným dceřiným společnostem ve skupině, může vás právní předpisy považovat za komerčního externího poskytovatele.
• Sdílené služby: spravujete identitu, infrastrukturu nebo zabezpečení pro více společností v rámci jedné skupiny? Pak se na to zaměřte.
• Vlastní SOC nebo bezpečnostní tým: pokud váš bezpečnostní tým funguje jako specializovaná služba pro zbytek skupiny, můžete spadat do kategorie regulovaných bezpečnostních služeb (MSSP).

Jaké povinnosti s sebou přináší tato regulace?

Nařízení nezavádí zcela nové zásady, ale rozšiřuje a podrobně popisuje to, co NIS2 zmiňuje pouze v obecné rovině.

Jedná se především o:

• řízení kybernetických rizik
• bezpečnostní zásady a správa a řízení
• řízení mimořádných událostí
• zajištění nepřetržitého chodu podniku
• bezpečnost dodavatelů

A co dohoda se ZKB?

A teď přichází jeden z nejdůležitějších praktických momentů.

Pokud poskytujete digitální službu:

• Bezpečnostní opatření a hlášení incidentů se přímo řídí tímto nařízením EU;
• Podle ZKB zůstávají v platnosti další závazky.

A co kdybyste udělali obojí?

Pokud provozujete cloud (digitální službu) a zároveň poskytujete další službu, na niž se vztahují BCR (např. kritická infrastruktura), musíte tato pravidla kombinovat. Na digitální část se vztahuje evropské nařízení, na zbytek pak české právo. Pokud obě služby sdílejí stejnou infrastrukturu, platí vždy přísnější nebo konkrétnější požadavek.

Termíny a co je třeba udělat hned teď

Jelikož se jedná o evropské nařízení, vstoupilo v platnost bez ohledu na to, zda jsme již schválili nový český zákon o kybernetické bezpečnosti. Žádný český právní předpis není v současné době v procesu schvalování.

V praxi to znamená, že

Pokud máte podezření, že patříte do této skupiny, měl by váš plán na příštích několik dní vypadat takto:

• Právní analýza: zjistěte, zda se na vaše služby (včetně těch poskytovaných v rámci holdingové společnosti) vztahuje toto nařízení;
• Analýza nesouladu: porovnání stávajících opatření s konkrétními požadavky nařízení a zjištění nesouladů;
• Zavedení změn: nastavit procesy tak, aby byly v souladu jak s evropským nařízením, tak se ZKB.

Shrnutí

Prováděcí nařízení č. 2024/2690 je nenápadný, ale zásadní právní předpis. Má přímou platnost bez výjimek a nekompromisně se zaměřuje na IT a digitální služby (včetně těch poskytovaných interně).

Nejste si jisti, zda se to týká i vás?

Nevíte, zda se na vás tato regulace vztahuje?

Nejste si jisti, jak skloubit ZKB s evropským nařízením?

Chcete mít jasno v tom, co musíte udělat?

Pomůžeme vám s analýzou mezer a zavedením příslušných opatření.