Éra, keď mohlo vedenie firmy nad kybernetickými rizikami mávnuť rukou so slovami „to rieši IT“, sa skončila. Kybernetická bezpečnosť sa presunula z technickej úrovne na úroveň strategického riadenia, dohľadu a právnej zodpovednosti.
Smernica NIS2 tento posun výrazne urýchlila, no dnes už nejde len o „prípravu na smernicu“. Keďže NIS2 nie je priamo uplatniteľné nariadenie, vyplývajú konkrétne povinnosti, dohľad aj sankcie najmä z národných transpozičných zákonov v krajinách, kde organizácia pôsobí. To je zásadný rozdiel oproti nariadeniam, akými sú GDPR alebo AI Act, ktoré sa uplatňujú priamo.
Pre riadiace orgány a vrcholové vedenie to znamená jediné: nestačí sa pýtať či má firma firewall, bezpečnostnú politiku alebo dodávateľa IT služieb. Dôležité je, či vedenie vie preukázať, že kybernetické riziká poznalo, schvaľovalo primerané opatrenia, dohliadalo na ich implementáciu a nechalo za sebou dôkaznú stopu.
Pojmy „vedenie“, „riadiace orgány“ a „vrcholové vedenie“ používame v tomto článku všeobecne; ich konkrétny rozsah závisí od národnej legislatívy, právnej formy organizácie a vnútorného rozdelenia.
NIS2 bola začiatok. Dnes rozhodujú národné zákony
NIS2 priniesla zásadný posun v tom, ako sa v Európe chápe riadenie kybernetickej bezpečnosti. Kľúčovou zmenou je dôraz na úlohu riadiacich orgánov. Vedenie organizácie má schvaľovať opatrenia na riadenie kybernetických rizík, dohliadať na ich implementáciu a rozumieť rizikám, ktorým je organizácia vystavená. Kybernetická bezpečnosť sa tak stáva témou riadenia, nie iba technickej prevádzky.
V praxi však dnes nejde len o samotný text smernice. Firma pôsobiaca na Slovensku, v Česku, Rakúsku, Nemecku alebo v inom štáte EÚ musí sledovať nielen európsky rámec, ale aj konkrétnu lokálnu legislatívu. V slovenskom prostredí je príkladom zákon o kybernetickej bezpečnosti v aktuálnom znení. Pre medzinárodne pôsobiace organizácie to znamená, že jeden univerzálny „NIS2 checklist“ nestačí.
Menej formálnosti, viac dôkazov
Nový regulačný rámec posilňuje zodpovednosť riadiacich orgánov za kybernetickú bezpečnosť. Neznamená to, že každý člen vedenia bude automaticky osobne sankcionovaný za každý incident. Znamená to však, že pasívny prístup, formálne schvaľovanie bez diskusie alebo absencia kybernetickej bezpečnosti v agende vedenia sa stávajú čoraz ťažšie obhájiteľnými.
Dôležitá preto nie je len existencia bezpečnostných opatrení, ale aj dôkaz, že sa nimi vedenie reálne zaoberalo. Zápisnice z rokovaní, rozhodnutia, otázky položené manažmentu, schválené rozpočty, risk registre, výsledky auditov a následné kontroly vytvárajú dôkaznú stopu, ktorá môže byť pri kontrole alebo incidente rozhodujúca.
Externí dodávatelia, outsourcing IT služieb alebo cloudové riešenia môžu pomôcť s technickou realizáciou, no nenahrádzajú dohľad vedenia. Techniku možno delegovať, zodpovednosť za riadenie rizík, rozhodovanie a preukázateľný dohľad nie.
Keď sa kyberbezpečnosť stretne s AI
Do tejto rovnice vstupuje aj umelá inteligencia. AI Act je na rozdiel od NIS2 priamo uplatniteľným nariadením EÚ a prináša osobitné pravidlá pre vývoj, nasadzovanie a používanie AI systémov. Kým pri NIS2 treba sledovať európsky rámec a jeho národné transpozície, pri AI Acte treba zároveň sledovať priamo uplatniteľné pravidlá EÚ, najmä pri vysokorizikových AI systémoch, transparentnosti, riadení rizík, kvalite dát, dokumentácii a ľudskom dohľade.
Ak regulovaný podnik využíva AI systém klasifikovaný ako vysokorizikový podľa AI Actu a útočník zmanipuluje vstupné dáta, incident už nemusí byť len technickým problémom IT oddelenia. Môže sa dotknúť kybernetickej regulácie, AI governance, kontinuity prevádzky, zmluvných vzťahov, reputácie aj dôkazných povinností voči dohľadovým orgánom.
Pre vedenie je preto kľúčové vedieť, ktoré digitálne systémy sú pre organizáciu kritické, ktoré AI systémy môžu spadať do prísnejšie regulovaných kategórií, a ako sú tieto riziká riadené. Nestačí vedieť, že organizácia „používa AI“. Vedenie potrebuje poznať účel systému, jeho rizikovosť, zodpovednosti, spôsob monitorovania a reakčný plán pri incidente.
Incident nie je len technická udalosť
Kybernetický incident už nie je len porucha, ktorú má vyriešiť IT tím. Je právnou, reputačnou a manažérskou udalosťou. Pri významnom narušení prevádzky musí organizácia vedieť posúdiť oznamovacie povinnosti podľa príslušného národného zákona o kybernetickej bezpečnosti a pri relevantných AI systémoch aj podľa AI Actu.
Kľúčové je mať vopred nastavené procesy: kto incident identifikuje, kto rozhoduje o jeho závažnosti, kto komunikuje s dohľadovým orgánom, kto informuje vedenie, kto dokumentuje prijaté opatrenia a kto vyhodnocuje dopady na zákazníkov, partnerov alebo verejné služby.
Vedenie nemusí vykonávať forenznú analýzu ani konfigurovať bezpečnostné nástroje. Musí však zabezpečiť jasné procesy, kompetencie, zdroje a pravidelný reporting. Pri kontrole alebo po incidente sa neposudzuje iba samotná reakcia, ale aj to, či organizácia pred incidentom primerane riadila riziká.
Regulátori čoraz viac sledujú nielen technické opatrenia, ale aj governance, reporting a dokumentáciu rozhodnutí. Zápisnice, reporty o rizikách a záznamy o schválených opatreniach preto nie sú administratívnou formalitou. Sú súčasťou obrany organizácie.
Sankcie sú len jedna časť rizika
Porušenie kybernetických a AI pravidiel môže viesť k významným sankciám. Pri subjektoch spadajúcich do národných úprav transponujúcich NIS2 sa ich výška odvíja od legislatívy členského štátu, kategórie subjektu a povahy porušenia. AI Act prináša vlastný sankčný režim vrátane sankcií pri vysokorizikových AI systémoch alebo zakázaných AI praktikách.
Skutočné riziko však nie je len vo výške pokuty. Ešte vážnejšie môžu byť prerušenie prevádzky, strata dôvery zákazníkov, poškodenie reputácie, zmluvné nároky partnerov, osobná zodpovednosť manažmentu alebo problémy s poistným krytím. Ani D&O poistenie nemusí byť univerzálnou ochranou, ak sa preukáže, že vedenie o závažnom riziku vedelo, ale nekonalo.
Čo má mať vedenie pod kontrolou
Vedenie by malo pravidelne pracovať s dôkazmi o tom, že kybernetické a AI riziká skutočne riadi. Môže ísť o risk reporty, zápisnice zo zasadnutí, rozhodnutia o rozpočte, prehľad incidentov a nápravných opatrení, dodávateľský register, výsledky testov kontinuity prevádzky, záznamy o školeniach, AI inventory či auditné správy. Nejde o univerzálny zákonný checklist. Ide o praktický spôsob ako preukázať, že vedenie konalo informovane, primerane a včas.
Kybernetická bezpečnosť sa nedá riadiť iba technickými metrikami. Vedenie by sa malo pravidelne pýtať, ktoré služby a dodávatelia sú kritické, aké sú najväčšie riziká pre kontinuitu podnikania, ktoré opatrenia ešte nie sú implementované, ako rýchlo vie organizácia odhaliť a nahlásiť významný incident, ktoré AI systémy používa a či má dostatočný rozpočet, kapacity a kompetencie.
Kybernetická bezpečnosť a AI governance ako súčasť strategického riadenia
Regulačný vývoj v EÚ jasne ukazuje, že kybernetická bezpečnosť a AI governance už nie sú technickou témou, ktorú možno uzavrieť na IT oddelení. Sú súčasťou strategického riadenia, právnej zodpovednosti a schopnosti organizácie preukázať, že digitálnym rizikám venovala primeranú pozornosť.
NIS2 bola impulzom, no dnes už vedenie funguje v prostredí národných zákonov, dohľadu, dôkaznej stopy a zodpovednosti podľa konkrétnej jurisdikcie. Organizácie pôsobiace vo viacerých krajinách EÚ musia rozumieť tomu, ako sa požiadavky premietli do národného práva v každom štáte, kde pôsobia, a zároveň pracovať s priamo uplatniteľnými nariadeniami, ako je AI Act. Technické úlohy možno delegovať. Zodpovednosť za dohľad, rozhodovanie a preukázateľné riadenie rizík však outsourcovať nemožno. A práve preto sa kybernetická bezpečnosť stala novou agendou vedenia.
