NIS2 je pro české firmy neznámou: 80 % zaměstnanců v IT netuší, o co jde

„Výsledky průzkumu nás vůbec nepřekvapují. Informovanost českých firem o NIS2 je tristní. Vzhledem k tomu, že nesplnění podmínek této směrnice může v případě úspěšného kybernetického útoku představovat vážný problém a napadená organizace musí počítat s vysokou pokutou, mají české firmy nejvyšší čas se touto záležitostí zabývat,“ uvedl Adam Paclt, generální ředitel společnosti APPSEC, jež se zabývá penetračními testy firemních systémů a dodává bezpečnostní řešení třetích stran, jako je například SentinelOne. Evropská směrnice míří na organizace a firmy, které poskytují služby důležité pro fungování společnosti a zároveň mají nejméně 50 zaměstnanců nebo dosahují ročního obratu alespoň 10 milionů euro (přibližně 240 milionů korun).

Přísnější bezpečnostní norma začne platit už v červnu 2024

Evropská směrnice ale klade vyšší nároky na zabezpečení interních systémů také na celý dodavatelský řetězec organizací, jichž se NIS2 týká, takže dopad bude mít i na řadu menších firem. Toho si ale jejich představitelé často nejsou vědomi. V průzkumu agentury Ipsos pro společnost APPSEC připustilo pouze šest procent respondentů, že se NIS2 přímo dotkne jejich společnosti. Dalších pět procent tvrdí, že se jich dotkla již předchozí bezpečnostní směrnice a tak mají z hlediska kybernetického zabezpečení splněno. Téměř devět procent zaměstnanců IT oddělení českých firem si je jisto, že se jich NIS2 nedotkne, ovšem více než třetina (36 %) přiznává, že neví, a takřka čtvrtina (23 %) si není jistá.

Více než pětina respondentů průzkumu (21 %) dokonce přiznala, že vůbec neví, co to NIS2 je. Nová bezpečnostní norma přitom vstoupí v platnost za necelý rok a zavádí například povinnost hlášení kybernetických incidentů do 24 hodin od jejich odhalení. Na dodržování směrnice bude dohlížet Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) a nesplnění bezpečnostních opatření může vést k vysokým pokutám, které mohou být u některých subjektů až likvidační.

Penetrační testy odhalí bezpečnostní slabiny firem

Z hlediska jednotlivých regionů České republiky nejčastěji netuší, zda se jich NIS2 bude týkat, zaměstnanci IT oddělení firem v Královéhradeckém (46 %), Moravskoslezském (43 %) a Ústeckém kraji (41 %). Největší neznalost, co to je NIS2, pak vykázali respondenti z Prahy (27 %) a Pardubického kraje (26 %). Informovanost o důsledcích evropské směrnice NIS2 na firmu, v níž daný IT expert pracuje, rostla se vzděláním. Nejnižší byla u respondentů se základním vzděláním (52 % nevědělo, zda se NIS 2 dotkne jejich firmy), nejvyšší naopak u vysokoškoláků (nevědělo 30 % respondentů).

„Pro organizace a firmy je důležité, aby prověřily odolnost svých systémů proti kybernetickým útokům a na základě těchto testů zvolily odpovídající bezpečností řešení. Ideální prověrkou jsou penetrační testy za plného provozu, které odhalí všechny potenciální bezpečnostní slabiny. Zjednodušeně řečeno jde o hackerský útok, který je řízený a simuluje chování skutečného útočníka,“ popsal Adam Paclt. Společnost APPSEC poskytuje unikátní penetrační testy pomocí algoritmů, které dokáží zmapovat veškeré bezpečnostní díry. „Testovaná organizace pak při investici do informační bezpečnosti tak může zacílit na to nejdůležitější.“

Metodologie

Průzkum pro českou bezpečnostní společnost APPSEC provedla agentura Ipsos v období od  27. do 31. července 2023. Zúčastnilo se 1 050 respondentů ve věku 18 až 65 let.