Rok 2025 přinese do Česka NIS-2: Vyšší požadavky a odpovědnost statutárů

NIS-2 dopadá především na střední a velké podniky působící v některém z 18 definovaných odvětví, což odhadem činí více než 6 000 společností. Značná pozornost se v souvislosti s NIS-2 zcela pochopitelně věnuje technickým řešením a nastavením kontrolních mechanismů v kyberprostoru. Opomíjet by se však neměla ani změna role managementu dotčených společností. Nově jsou totiž za nesplnění bezpečnostních požadavků vyplývajících ze směrnice přímo odpovědní členové statutárních orgánů.

Mohlo by vás zajímat: Studie PwC: Tři čtvrtiny českých firem zvýší výdaje na IT bezpečnost

Co požadavky směrnice NIS-2 mimo jiné zahrnují?

• Ohlášení regulovaných služeb na NÚKIB.
• Provedení detailní rizikové analýzy, posouzení kybernetických rizik a vypracování plánů na jejich řízení a zmírnění dopadů. 
• Zavedení funkčních systémů pro detekci, hlášení a řešení kybernetických incidentů.
• Informování zákazníků o incidentech a hrozbách.
• Aktivní spolupráci s národními orgány pro kybernetickou bezpečnost (v Českém případě NÚKIB).
• Zajištění školení zaměstnanců v oblasti kybernetické bezpečnosti.
• Plnění povinností vyplývajících z mechanismu bezpečnosti dodavatelského řetězce u vybraných strategicky významných služeb.

V případě nedodržení požadavků definovaných směrnicí mohou organizacím hrozit pokuty až do výše 10 milionů eur. Významnou roli v řízení rizik společností tak bude hrát i správně zvolené pojištění odpovědnosti manažerů (D&O). V jakých oblastech může být pojištění odpovědnosti managementu oporou v souvislosti se směrnicí NIS-2?

• Pokrývá náklady na soudní spory a nároky vůči vedení společnosti, které vzniknou v důsledku selhání kybernetické bezpečnosti.
• Chrání osobní majetek vedoucích pracovníků, kteří by mohli být vystaveni finanční odpovědnosti za nedodržení požadavků NIS-2.

V situaci, kdy dojde k narušení kybernetické bezpečnosti a členové statutárních orgánů budou obviněni z nedostatečného řízení rizik, může pojištění D&O pokrýt například náklady na právní zastoupení. Nelze jej však uplatnit v případech, kdy došlo k protiprávnímu jednání pojištěného. Pojištění D&O má synergický vztah k pojištěním kybernetických rizik. Spolu tvoří silný obranný mechanismus proti možným finančním důsledkům kybernetických incidentů.

Mohlo by vás zajímat: ČAP ke 3Q 2024: Pojišťovnám dramaticky rostou náklady na pojistné plnění

NIS-2 vyžaduje implementaci bezpečnostních opatření, která jsou zároveň podmínkou pro uzavření kvalitního pojištění kybernetických rizik. Cyber pojištění poskytuje odbornou a finanční pomoc v případě, že i přes preventivní opatření dojde k útoku na společnost. Pojištění D&O  pak kryje osobní odpovědnost členů statutárních orgánů vyplývající z výkonu jejich funkce. Společně tyto pojistné produkty pomáhají minimalizovat dopady útoků a přispívají k dlouhodobé stabilitě organizace v čase zvyšující se digitalizace a kybernetických rizik.