Nařízení k ZKB může rozšířit audity na menší subdodavatele

Vláda připravuje nařízení, které má podle zákona o kybernetické bezpečnosti (ZKB) vymezit nepominutelné funkce. VNICTP varuje, že návrh rozšíří přísné auditní požadavky také na menší subdodavatele regulovaných firem.

Nepominutelné funkce jsou činnosti, pro které má nařízení stanovit zvláštní režim podle ZKB. Podle VNICTP má návrh rozšířit povinnosti také na aktiva zařazená do vysoké kategorie. Okruh kontrolovaných dodavatelů by se tím mohl rozšířit i mimo firmy, na které regulace dopadá přímo.

Podle zveřejněných informací mají podobné výhrady podnikatelské svazy, právníci i zástupci regulovaných odvětví. Tvrdí, že připravované nařízení jde nad rámec zákona. Upozorňují také na možné omezení svobody podnikání a miliardové vícenáklady. Není však uvedeno, jak kritici k tomuto odhadu dospěli ani mezi kolik firem by se náklady rozdělily.

Zveřejněné informace neobsahují přesnou podobu povinností, hranici pro zařazení aktiva do vysoké kategorie ani seznam dotčených oborů. Chybí také předpokládaný termín účinnosti, lhůta na přípravu a odhad nákladů pro malého subdodavatele. Bez těchto údajů nelze posoudit, zda povinnosti skončí u jednotlivých auditů, nebo si vyžádají širší administrativní a technické změny.

Malé firmy se změna může týkat, pokud dodává služby nebo technologie podniku v regulovaném odvětví. Povinnosti by na ni mohly dopadnout prostřednictvím auditu nebo požadavků odběratele. Zveřejněné informace zatím firmám nedávají podklad pro změny systémů ani pro nákup nových služeb. Rozsah dopadu určí konečné znění nařízení, konkrétní limity a datum účinnosti.