Výpadek poskytovatele cloudu podle NIS 2

Směrnice (EU) 2022/2555 (NIS 2)

Čl. 21 odst. 2 písm. c): řízení kontinuity provozu, jako je například správa zálohování a obnova provozu po havárii, a krizové řízení; čl. 21 odst. 2 písm. d): bezpečnost dodavatelského řetězce včetně bezpečnostních aspektů týkajících se vztahů mezi každým subjektem a jeho přímými dodavateli nebo poskytovateli služeb.

Čl. 21 odst. 2 písm. c) klade povinnost kontinuity, záloh a obnovy na subjekt. Směrnice neumožňuje delegovat tuto povinnost na poskytovatele cloudu prostřednictvím smlouvy. Čl. 21 odst. 2 písm. d) je noha rizika dodavatelů: musíte posuzovat a řídit bezpečnost svých přímých poskytovatelů, což zahrnuje smluvní doložky o oznamování výpadků a incidentů u poskytovatele. Čl. 23 pak stanoví kaskádu hlášení s včasným varováním do 24 hodin, oznámením incidentu do 72 hodin, průběžnou aktualizací na vyžádání a závěrečnou zprávou do jednoho měsíce.

Prováděcí nařízení Komise (EU) 2024/2690

Čl. 7: V souvislosti s poskytovateli služeb cloud computingu se incident považuje za významný podle čl. 3 odst. 1 písm. g), pokud splňuje jedno nebo více z těchto kritérií: a) služba cloud computingu je zcela nedostupná po dobu delší než 30 minut; b) déle než jednu hodinu je omezena dostupnost služby cloud computingu poskytovatele pro více než 5 % uživatelů dané služby cloud computingu v Unii nebo pro více než 1 milion uživatelů dané služby cloud computingu v Unii, podle toho, který počet je nižší; (…)

CIR stanoví prahy významnosti pro poskytovatele digitálních služeb, mezi nimi pro poskytovatele služeb cloud computingu (odvětví 8 přílohy I NIS 2): pro ně platí čl. 3 a čl. 7. V Česku se k nim vztahuje § 18 zákona č. 264/2025 Sb. Tyto prahy měří poskytovatele, ne vás jako zákazníka. Pro váš subjekt mimo okruh CIR platí obecný test čl. 23 odst. 3 NIS 2 a v Česku § 15 zákona: ve vyšším režimu hlásíte incident ve stanoveném rozsahu s původem v kybernetickém prostoru, u něhož nelze do 24 hodin vyloučit úmyslné zavinění, v nižším režimu jen incident, jehož dopad překročí práh stanovený podle vyhlášky č. 410/2025 Sb., § 14.

Zákon č. 264/2025 Sb., o kybernetické bezpečnosti (Česko)

§ 13 odst. 5: V případě, že poskytovatel regulované služby zavádí nebo provádí bezpečnostní opatření prostřednictvím dodavatele, je povinen vybírat svého dodavatele v souladu s požadavky vyplývajícími z bezpečnostního opatření a zahrnovat požadavky vyplývající z bezpečnostního opatření do smluv s dodavatelem. § 15 odst. 2: Poskytovatel regulované služby v režimu nižších povinností je povinen hlásit národnímu týmu koordinace a zvládání kybernetických bezpečnostních incidentů, událostí a hrozeb (dále jen „Národní CERT“) postupem podle § 16 kybernetické bezpečnostní incidenty, které se projevily ve stanoveném rozsahu, mají původ v kybernetickém prostoru, mají významný dopad na poskytování regulované služby a nelze u nich ve lhůtě podle § 16 odst. 1 vyloučit úmyslné zavinění.

Zákon č. 264/2025 Sb. je česká transpozice NIS 2. Lhůty: prvotní hlášení do 24 hodin po zjištění, oznámení do 72 hodin a závěrečná zpráva do 30 dnů od oznámení (§ 16); ve vyšším režimu oznámení a závěrečná zpráva následují jen tehdy, když NÚKIB sdělí, že incident má významný dopad na kybernetický prostor státu (§ 16 odst. 2 a 3). Ve vyšším režimu hlásíte NÚKIB každý incident ve stanoveném rozsahu s původem v kybernetickém prostoru, u něhož nelze vyloučit úmyslné zavinění (§ 15 odst. 1). U výpadku cloudu to má praktický důsledek: vyloučíte-li do 24 hodin úmyslné zavinění, například když poskytovatel doloží technickou závadu, povinnost hlásit podle § 15 nevzniká a hlásit můžete dobrovolně (§ 15 odst. 5); dokud příčina známa není, vyloučit ho nelze. Poskytovatel cloudu, který je sám poskytovatelem regulované služby, má vlastní povinnost hlášení. Ta vaši neruší.

Pokud výpadek u vás naplní podmínky § 15 zákona č. 264/2025 Sb., hlásíte přes Portál NÚKIB: ve vyšším režimu NÚKIB, v nižším Národnímu CERT. V jiných členských státech jde hlášení národnímu CSIRT nebo příslušnému orgánu. Hlášení podáváte vy, i když příčina leží u poskytovatele. Stavová stránka poskytovatele není hlášením.

Poskytovatel služeb cloud computingu, který je středním nebo velkým podnikem, je základním nebo důležitým subjektem podle odvětví 8 přílohy I NIS 2 (digitální infrastruktura). Hlásí vlastní incidenty ve vlastních lhůtách svému příslušnému orgánu nebo CSIRT, v Česku podle § 18 zákona č. 264/2025 Sb. Prahy významnosti pro něj stanoví CIR 2024/2690 (čl. 7). Hlášení poskytovatele není vaším hlášením. Poskytovatel usazený mimo EU, který v EU nabízí služby, směrnici také podléhá a musí v EU určit zástupce (čl. 26 odst. 3 NIS 2); vaším hlavním nástrojem vůči němu je ale tak jako tak řízení dodavatelů podle čl. 21 odst. 2 písm. d).

Přeshraniční výpadky velkých poskytovatelů cloudu se koordinují prostřednictvím sítě CSIRT koordinované ENISA podle čl. 15 NIS 2. ENISA zveřejňuje situační přehled napříč členskými státy. Pro jednotlivý subjekt je to spíše referenční materiál než kanál hlášení. Kanál hlášení je národní. ENISA je tam, kde čtete, co se děje na úrovni EU, když je poskytovatel mimo provoz v několika zemích.