Útoky DDoS podle NIS 2

Směrnice EU (závazná napříč Unií)

Členské státy zajistí, aby za účelem oznámení podle odstavce 1 dotčené subjekty předložily týmu CSIRT nebo případně příslušnému orgánu: a) bez zbytečného odkladu, nejpozději však do 24 hodin po zjištění významného incidentu, včasné varování, v němž případně uvedou, zda se domnívají, že byl významný incident způsoben nezákonným nebo svévolným zásahem nebo že by mohl mít přeshraniční dopad; b) bez zbytečného odkladu, nejpozději však do 72 hodin po zjištění významného incidentu, oznámení incidentu (…); c) na žádost týmu CSIRT nebo případně příslušného orgánu průběžnou zprávu o podstatných aktualizacích stavu; d) nejpozději do jednoho měsíce od předložení oznámení incidentu podle písmene b) závěrečnou zprávu (…); e) v případě, že v okamžiku, kdy by měla být předložena závěrečná zpráva podle písmene d), incident stále trvá, členské státy zajistí, aby dotčené subjekty v uvedené lhůtě předložily zprávu o pokroku a následně, nejpozději jeden měsíc po tom, co incident vyřešily, závěrečnou zprávu.

Čl. 23 odst. 4 NIS 2. Lhůta běží od zjištění významného incidentu, ne od začátku nebo konce zmírnění. DDoS, který v okamžiku závěrečné zprávy stále trvá, spouští variantu se zprávou o pokroku podle písmene e).

Prováděcí nařízení EU (závazný technický detail)

Čl. 7: V souvislosti s poskytovateli služeb cloud computingu se incident považuje za významný podle čl. 3 odst. 1 písm. g), pokud splňuje jedno nebo více z těchto kritérií: a) služba cloud computingu je zcela nedostupná po dobu delší než 30 minut; b) déle než jednu hodinu je omezena dostupnost služby cloud computingu poskytovatele pro více než 5 % uživatelů dané služby cloud computingu v Unii nebo pro více než 1 milion uživatelů dané služby cloud computingu v Unii, podle toho, který počet je nižší; (…)

Čl. 7 prováděcího nařízení Komise (EU) 2024/2690. CIR se přímo uplatňuje na provozovatele DNS, registry domén nejvyšší úrovně, poskytovatele služeb cloud computingu, datových center, sítí pro doručování obsahu, řízených a řízených bezpečnostních služeb, on-line tržišť, internetových vyhledávačů, platforem sociálních sítí a služeb vytvářejících důvěru. DDoS v něm jménem není; rozhoduje dopad na dostupnost, pro každý typ poskytovatele v čl. 5 až 14 (například 30 minut úplné nedostupnosti u cloudu, sítí pro doručování obsahu a řízených služeb). V Česku tito poskytovatelé podle § 18 odst. 2 zákona č. 264/2025 Sb. hlásí všechny incidenty s významným dopadem podle CIR.

Česká transpozice (zákon č. 264/2025 Sb.)

§ 16 odst. 1: Poskytovatel regulované služby bez zbytečného odkladu, nejpozději do 24 hodin po zjištění kybernetického bezpečnostního incidentu, předloží prvotní hlášení (…). § 16 odst. 3: V případě hlášení kybernetického bezpečnostního incidentu s významným dopadem (…) poskytovatel regulované služby dále předloží a) bez zbytečného odkladu, nejpozději do 72 hodin po zjištění kybernetického bezpečnostního incidentu oznámení (…), b) na výzvu Úřadu nebo Národního CERT průběžnou zprávu (…) a c) nejpozději do 30 dnů ode dne předložení oznámení podle písmene a) závěrečnou zprávu o vyřešení kybernetického bezpečnostního incidentu (…).

§§ 15 a 16 zákona č. 264/2025 Sb. Lhůty odpovídají čl. 23 odst. 4 NIS 2, závěrečná zpráva běží 30 dnů od oznámení. Hlášení jde přes Portál NÚKIB, kde je „DDoS“ samostatný typ incidentu a povinně se uvádí, jak dlouho útok trval a zda máte u poskytovatele zřízenou anti-DDoS ochranu. Ve vyšším režimu hlásíte NÚKIB, v nižším Národnímu CERT. Ostatní členské státy směrují hlášení přes vlastní CSIRT nebo příslušný orgán.

V Česku přijímá hlášení podle § 15 zákona č. 264/2025 Sb. NÚKIB (vyšší režim) nebo Národní CERT (nižší režim), v obou případech přes Portál NÚKIB. NÚKIB vydává i podpůrné materiály, například návody k hlášení incidentů; jsou to pokyny, ne další povinnosti hlášení. Ostatní členské státy mají obdobné struktury (NCSC-NL, ANSSI, NCSC-IE a další).

Poskytovatelé internetového připojení mohou provoz útoku absorbovat nebo filtrovat dříve, než dorazí k zákazníkovi. Formulář hlášení DDoS na Portálu NÚKIB se ptá, zda u poskytovatele máte anti-DDoS ochranu, kdo je váš poskytovatel připojení a zda s ním na zmírnění spolupracujete. Podstatné pro hlásící subjekt: zmírnění u poskytovatele připojení povinnost hlášení neodstraňuje, pokud už byla služba zasažena.

ENISA zveřejňuje výroční zprávu o prostředí hrozeb (Threat Landscape) a jednou za dva roky zprávu o stavu kybernetické bezpečnosti v Unii (článek 18 NIS 2). Threat Landscape 2024 potvrzuje DDoS jako jednu z nejčastěji pozorovaných kategorií hrozeb napříč sektory EU. Dokumenty ENISA jsou referenčním materiálem; kaskádu podle článku 23 nemění.