Organizace se proto potřebují připravit nejen na nové povinnosti, ale především získat přehled o kybernetických rizicích, která s využívanými technologiemi a produkty souvisejí.

Kybernetická bezpečnost už není jen otázkou procesů

Evropská regulace kybernetické bezpečnosti se rozšiřuje. Zatímco směrnice NIS2 se zaměřuje především na bezpečnost organizací a řízení jejich kybernetických rizik, nařízení Cyber Resilience Act (CRA) přináší požadavky na bezpečnost samotných produktů s digitálními prvky – od softwaru až po chytrá zařízení. Firmy, které vyvíjejí, dodávají nebo využívají digitální produkty, tak budou muset vedle bezpečnosti vlastních procesů více zohledňovat i rizika spojená s konkrétními produkty a jejich využíváním.

CRA zavádí princip, že bezpečnost musí být integrální součástí digitálního produktu už od jeho návrhu. Požadavky se netýkají pouze hardwaru, ale vztahují se také na software a další produkty s digitálními prvky. Regulace zároveň dopadá nejen na výrobce, ale také na dovozce a distributory těchto produktů. CRA nevyžaduje, aby produkt nikdy neměl žádnou zranitelnost, požaduje, aby měl výrobce nastavené procesy umožňující rizika včas identifikovat a řešit, tedy např. řízení zranitelností, bezpečnostní aktualizace, evidenci komponent nebo postupy pro reakci na incidenty. 

Koho se CRA týká a proč by organizace neměly čekat

Přestože nařízení ukládá přímé regulatorní povinnosti především výrobcům, dovozcům a distributorům produktů s digitálními prvky, jeho nepřímý dopad pocítí prakticky všechny organizace, které při své činnosti digitální produkty využívají. Vedle technologických firem, vývojářů vlastních aplikací a integrátorů řešení třetích stran tak CRA ovlivní i organizace v roli koncových uživatelů, které budou muset věnovat větší pozornost bezpečnosti používaných technologií a svých dodavatelů.

První povinnosti začnou platit už letos v září

I když plná účinnost některých povinností nastane až koncem roku 2027, první ustanovení nařízení začnou platit už letos v září. Firmy a instituce by tak měly začít s přípravou už nyní. Pro uživatele technologií je prvním kritickým krokem získat přehled o tom, jaké systémy a produkty vlastně používají, od jakých dodavatelů pocházejí a kde mohou vznikat bezpečnostní rizika.

Než tedy organizace začne nastavovat konkrétní opatření, potřebuje detailně znát svůj výchozí stav. Ideálním a nezbytným odrazovým můstkem je proto provedení komplexní analýzy kybernetických rizik. Tato analýza pomůže přesně identifikovat kritická místa, vyhodnotit možné dopady na chod organizace a jasně určit oblasti, kterým je potřeba věnovat největší pozornost. Právě systematická práce s riziky je jedním ze základních principů moderní kybernetické bezpečnosti – a zároveň klíčovým podkladem pro všechny další kroky spojené s plněním regulatorních požadavků.

Nástroje pro analýzu kybernetických rizik

Na trhu dnes existují specializované nástroje, které organizacím pomáhají získat lepší přehled o jejich kybernetických rizicích a systematicky řídit bezpečnostní opatření. Jedním z nich je například certifikovaný nástroj CSA (Cyber Security Audit) od českého vývojáře informačních systémů GORDIC, který získal certifikaci v souladu se zákonem o kybernetické bezpečnosti (ZoKB) od nezávislé auditorské společnosti TAYLLORCOX.

Nová evropská pravidla posouvají kybernetickou bezpečnost od reakce na problémy k jejich předcházení. Organizace, které si včas zmapují svá rizika a nastaví odpovídající opatření, budou mít lepší pozici při naplňování nových požadavků. Prvním krokem přitom není rozsáhlá transformace, ale důkladné zmapování současného stavu a identifikace kybernetických rizik. Právě na těchto základech lze následně stavět další opatření vedoucí ke splnění požadavků CRA.