základnej služby. Napríklad v súčasnosti prevádzkovatelia základnej služby nedisponujú kontaktnými údajmi iných prevádzkovateľov základnej služby v oblasti kybernetickej bezpečnosti, teda rýchla reakcia je oslabená, rovnako ani nie je deklarovaný rozsah a možnosti pomoci zo strany centier kybernetickej bezpečnosti štátu v prípade zistenia možnej udalosti/incidentu. Tiež je dôležité aby podobná sieť vzájomnej komunikácie a požiadaviek bola nastavená vo vzťahu k subdodávateľom, teda zvýšený dôraz na odolnosť/riadenie dodávateľského reťazca – vhodná inšpirácia Digital Operations Resilience Act, NIST Updates Cybersecurity Guidance for Supply Chain Risk Management a pod. Radi sa zúčastníme na procese prípravy novelizácie/zmien zákona o kybernetickej bezpečnosti a poskytneme ďalšie informácie a skúsenosti z doterajšej implementácie kybernetickej bezpečnosti, aj vzhľadom na to, že podniky poskytujúce elektronické komunikačné služby často slúžia aj na notifikáciu možných narušení v sieťach/zariadeniach svojich účastníkov a poskytujú základnú osvetu svojim zákazníkom,
▪je nevyhnutné zadefinovať a jednoznačne rozdeliť požiadavky na IT a priemyselné systémy je potrebné, keďže nie všetky sú aplikovateľné v oblasti OT,
▪základným stavebným prvkom pri plnení bezpečnostných opatrení podľa zákona č. 69/2018 Z. z. je analýza rizík. Bolo by vhodné vykonávacím predpisom upraviť podrobnosti, najmä jednotnú a záväznú metodiku analýzy rizík. Hoci NBÚ má na svojom portáli zverejnenú odporúčanú metodiku pre analýzu rizík, tá však nie je právne záväzná pre všetkých prevádzkovateľov základných služieb,
▪v nadväznosti na nadchádzajúcu transpozíciu smernice NIS 2 do slovenského právneho poriadku zároveň budeme veľmi pozitívne vnímať, ak nedôjde k transpozícii nad rámec povinností v nej stanovených (tzv. goldplating). Vzhľadom na predmet úpravy smernice NIS 2 by povinnosti zavedené nad rámec smernice mali za následok významný finančný dopad pre prevádzkovateľov základných služieb pri implementácii nevyhnutných technických a organizačných nástrojov za účelom splnenia takýchto prípadne stanovených extenzívnych povinností,
▪väčší dôraz klásť na realizáciu analýzy rizík a následná väčšia autonómia pri stanovení bezpečnostných opatrení, ktoré budú aplikované. Aktuálne sú bezpečnostné opatrenia taxatívne vymenované a ich splnenie nemusí vždy znamenať optimálnu (miera rizika / účinnosť opatrenia/ náklady) ochranu. Príkladom takéhoto zákonom vyžadovaného technického riešenia je napr. vulnerability scanner,
▪kybernetické hrozby sú na svete rovnaké, avšak subjekty a možné dopady v prípade útokov nie sú dostatočné diverzifikované. Klasifikácia a kategorizácia samotných informačných systémov a zároveň samotná definícia dôvernosti, dostupnosti a integrity dát by mohla mať hlbší charakter a sprievodné vysvetlenie pre samotnú identifikáciu,
▪návrhy týkajúce sa dokumentov nadväzujúcich na legislatívu,
▪bližšia identifikácia, zároveň definícia manažéra kybernetickej bezpečnosti,
▪chýbajúce metodické usmernenia, bezplatné školenia a webináre – celkovo pre kybernetickú bezpečnosť a zároveň rolu manažéra kybernetickej bezpečnosti,
▪uznávanie certifikácii aj iných krajín, nie len certifikát zo Slovenskej republiky,
▪platforma/fórum na výmenu „best practise“, poznatkov, prístupov – mimo spoplatnené semináre, s možnosťou otvorene komunikovať obdobné problémy a prístupy, nové technológie, riešenia. Skrz finančnú náročnosť by sa tak podporila a hlavne zefektívnila samotná kybernetická bezpečnosť (vyšší záujem a reálny prístup k zákonu). Obdobne ako etickí hackeri, aj v kybernetickej bezpečnosti máme excelentných ľudí, ktorých skúsenosti nie sú vždy predávané ako spoplatnená služba na báze predplatného,
▪vzhľadom na rýchly vývoj technológií a kybernetických hrozieb je dôležité pravidelne aktualizovať definície v zákone tak, aby zodpovedali súčasným trendom a technologickým výzvam (napr. AI – umelá inteligencia). Zabezpečenie, aby zákon bol navrhnutý tak, aby
