Nový zákon o kybernetické bezpečnosti může dopadnout i na firmy s méně než 10 zaměstnanci

Nový zákon o kybernetické bezpečnosti, jehož podobu aktuálně projednává sněmovna, se dle odhadů dotkne více než šesti tisíc firem a organizací. Experti na kybernetickou bezpečnost z Exclusive Networks upozorňují, že přestože se většina regulovaných služeb vztahuje především na střední a velké podniky, povinnosti mohou dopadnout i na ty nejmenší. Příkladem jsou malé podniky nebo dokonce tzn. mikropodniky z oblasti digitální infrastruktury a služeb. V některých případech budou dle nového zákona považovány za poskytovatele regulované služby, kteří musí dodržovat určité povinnosti, i firmy s jedním zaměstnancem.
„Nový zákon se primárně zaměřuje na střední a velké podniky. Malé podniky a mikropodniky jsou zahrnuty pouze ve specifických případech. Tyto případy jsou výjimečné a týkají se především služeb, které mohou mít významný dopad na kybernetickou bezpečnost i přes malou velikost podniku. Konkrétní podmínky pro zařazení malého podniku nebo dokonce mikropodniku mezi poskytovatele regulovaných služeb se liší podle typu poskytované služby a dalších faktorů,“ říká Hynek Vácha ze společnosti Exclusive Networks, která se specializuje na digitální infrastrukturu a kybernetickou bezpečnost, kde spolupracuje se společností Fortinet.
Jedním z nejmenších typů podniků, na které se bude nový kyberbezpečnostní zákon vztahovat, je poskytovatel veřejně dostupné služby elektronických komunikací – na takový typ firmy se nové povinnosti budou vztahovat vždy. Kromě tohoto extrémního příkladu bude nový zákon dopadat i na některé malé firmy – tedy podniky s méně než padesáti zaměstnanci. Příkladem mohou být poskytovatelé služeb cloud computingu, datových center nebo sítí pro doručování obsahu.
Mikropodnikem je dle klasifikace Evropské unie firma s méně než deseti zaměstnanci a ročním obratem nebo bilanční sumou pod dva miliony EUR. Malý podnik pak má maximálně padesát zaměstnanců a roční obrat nebo bilanční sumu pod deset milionů EUR.
Nový zákon o kybernetické bezpečnosti, který implementuje evropskou směrnici NIS2, přinese zásadní změny pro české firmy a organizace. Tento zákon výrazně rozšíří okruh regulovaných subjektů z přibližně 400 na více než 6000 společností napříč různými sektory. Bude se týkat podniků působících v kritických odvětvích jako energetika, zdravotnictví, doprava či potravinářství. Zákon zavádí přísnější pravidla pro kybernetickou bezpečnost, včetně povinnosti implementovat technická a organizační bezpečnostní opatření nebo pravidelně reportovat a hlásit kybernetické incidenty. Za nedodržení těchto povinností hrozí firmám vysoké pokuty až do výše 250 milionů Kč nebo 2 % celosvětového ročního obratu. Finální podoba zákona se v současné době projednává v Poslanecké sněmovně a předpokládá se, že účinný bude od poloviny roku 2025.