Důvěra a compliance pro regulované organizace

Směrnice NIS 2, tedy směrnice (EU) 2022/2555, ukládá základním a důležitým subjektům řídit kybernetická rizika jejich sítí a informačních systémů. Bezpečnost dodavatelského řetězce patří mezi minimální opatření podle čl. 21 odst. 2 a čl. 21 odst. 3 žádá, aby subjekty zohlednily bezpečnostní postupy svých přímých dodavatelů a poskytovatelů služeb. V Česku směrnici provádí zákon č. 264/2025 Sb., o kybernetické bezpečnosti, účinný od 1. listopadu 2025, pod dozorem Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB). Zákon rozlišuje režim vyšších a režim nižších povinností, bezpečnostní opatření pro ně stanoví vyhlášky č. 409/2025 Sb. a č. 410/2025 Sb. a regulované subjekty se samy registrují přes Portál NÚKIB.

Jako váš dodavatel vám usnadníme tuto část vašich povinností doložit. Bezpečnostní ujednání, kanály pro hlášení incidentů a zacházení se zranitelnostmi dohodneme v každé smlouvě a opatření, která se na vaši zakázku vztahují, zdokumentujeme, aby je mohl posoudit váš proces řízení rizik dodavatelů. Zda a jak se na vaši organizaci zákon o kybernetické bezpečnosti vztahuje, zůstává vaším vlastním posouzením.

Nařízení o digitální provozní odolnosti finančního sektoru (DORA), nařízení (EU) 2022/2554, se uplatňuje od 17. ledna 2025. Banky, pojišťovny, investiční podniky, platební instituce a další finanční subjekty musejí řídit rizika spojená s třetími stranami poskytujícími ICT služby ve svém rámci pro řízení rizik ICT, vést registr informací o všech smluvních ujednáních o ICT službách (článek 28) a uvádět v těchto smlouvách hlavní smluvní ustanovení (článek 30). V Česku je příslušným orgánem dohledu podle DORA Česká národní banka, na základě zákona č. 31/2025 Sb., o digitalizaci finančního trhu.

Když poskytujeme ICT služby finančnímu subjektu, dohodneme ustanovení, která vyjmenovává článek 30: úplný popis služeb, místa, kde se služby poskytují a kde se zpracovávají data, pomoc při ICT incidentu, součinnost s vašimi příslušnými orgány a práva na ukončení. U služeb, které podporují zásadní nebo důležité funkce, smlouva pokrývá také strategie ukončení a naši účast na vašem testování provozní odolnosti.

Dodáme údaje, které potřebuje váš registr informací, a plány ukončení dokumentujeme od začátku, aby změna dodavatele zůstala reálnou možností.

Akt o umělé inteligenci, nařízení (EU) 2024/1689, se uplatňuje postupně. Zakázané praktiky a gramotnost v oblasti AI platí od února 2025 a povinnosti transparentnosti podle článku 50 od srpna 2026. Ve znění nařízení (EU) 2026/1744 z roku 2026 se pravidla pro vysoce rizikové systémy uvedené v příloze III uplatní od 2. prosince 2027. V Česku má být hlavním orgánem dozoru nad trhem podle připravovaného zákona Český telekomunikační úřad (ČTÚ), který od 1. září 2026 provozuje útvar pro dozor nad AI (stav na podzim 2026).

U vysoce rizikových systémů akt požaduje technickou dokumentaci (článek 11), automatické zaznamenávání událostí (článek 12) a návrh, nad kterým mohou lidé účinně dohlížet (článek 14), a zavádějící subjekty musejí tento dohled svěřit lidem s potřebnou odborností a pravomocí jednat (článek 26). Na to stavíme od prvního vydání: kroky schválení a možnost zásahu jsou tam, kde rozhodnutí ovlivňují lidi, a dokumentace vzniká souběžně s kódem.

Zda vaše organizace vystupuje jako poskytovatel, nebo jako zavádějící subjekt, závisí na tom, jak systém uvede do provozu. Tato otázka je součástí právního posouzení, které zůstává na vašich právnících; my dodáme technická fakta, která k němu potřebují.

Týmy pro nákup, bezpečnost a právo potřebují doklady dřív, než se podepíše smlouva. Vyžádejte si od nás certifikát ISO/IEC 27001 a jeho rozsah, odpovědi na váš bezpečnostní dotazník pro dodavatele a podmínky zpracování osobních údajů, které by platily pro vaši zakázku.

Žádost pošlete přes kontaktní stránku a uveďte rámec, podle kterého dodavatele posuzujete, například zákon o kybernetické bezpečnosti, DORA nebo vlastní bezpečnostní požadavky. Ozvou se vám ti správní lidé.