Reakce na ransomware podle NIS 2

Směrnice (EU) 2022/2555 (NIS 2)

Čl. 21 odst. 2 písm. c): řízení kontinuity provozu, jako je například správa zálohování a obnova provozu po havárii, a krizové řízení; čl. 21 odst. 2 písm. h): politiky a postupy týkající se používání kryptografie a případně šifrování.

Čl. 21 odst. 2 písm. c) nese povinnost zálohování a obnovy. Testem není, zda záloha existuje, ale zda z ní obnovíte za podmínek útoku. Písm. h) pokrývá šifrování, které rozhoduje, zda útočník přečte vše, čeho se dotkne. Čl. 23 pak stanoví čtyřstupňovou oznamovací kaskádu: včasné varování do 24 hodin, oznámení incidentu do 72 hodin, průběžnou zprávu na žádost a závěrečnou zprávu do jednoho měsíce od oznámení.

Prováděcí nařízení Komise (EU) 2024/2690

Čl. 3 odst. 1: Incident se považuje za významný pro účely čl. 23 odst. 3 směrnice (EU) 2022/2555, pokud jde o příslušné subjekty, je-li splněno jedno nebo více z těchto kritérií: a) incident způsobil nebo může způsobit příslušnému subjektu přímou finanční ztrátu, která přesahuje 500 000 EUR nebo 5 % celkového ročního obratu příslušného subjektu za předchozí účetní období, podle toho, která částka je nižší; (…) e) došlo k úspěšnému podezřelému zlovolnému a neoprávněnému přístupu do sítě a informačních systémů, který může způsobit vážné narušení provozu;

CIR platí přímo, bez transpozice, ale jen pro poskytovatele digitálních služeb vyjmenované v čl. 1: provozovatele DNS, registry domén nejvyšší úrovně, poskytovatele cloud computingu, datových center, sítí pro doručování obsahu, řízených a řízených bezpečnostních služeb, on-line tržišť, internetových vyhledávačů, platforem sociálních sítí a služeb vytvářejících důvěru. Ransomware v něm jménem není; úspěšný průnik útočníka obvykle splní písm. e). V Česku se na tyto poskytovatele vztahuje § 18 zákona č. 264/2025 Sb. Ostatní poskytovatelé regulovaných služeb postupují podle § 15 zákona: ve vyšším režimu hlásí každý incident ve stanoveném rozsahu, který má původ v kybernetickém prostoru a u něhož nelze do 24 hodin vyloučit úmyslné zavinění; v nižším režimu incident s významným dopadem podle prahu, který si sami stanovili (vyhláška č. 410/2025 Sb., § 14). Ransomware je úmyslný útok a výpadek výroby takový práh obvykle překročí.

Zákon č. 264/2025 Sb., o kybernetické bezpečnosti (Česko)

§ 16 odst. 1: Poskytovatel regulované služby bez zbytečného odkladu, nejpozději do 24 hodin po zjištění kybernetického bezpečnostního incidentu, předloží prvotní hlášení, v němž uvede své identifikační údaje, základní údaje o kybernetickém bezpečnostním incidentu, a zda se domnívá, že byl kybernetický bezpečnostní incident způsoben nezákonným zásahem nebo že by mohl mít přeshraniční dopad.

Zákon č. 264/2025 Sb. je česká transpozice NIS 2. Hlásíte přes Portál NÚKIB (§ 16 odst. 4): ve vyšším režimu NÚKIB, v nižším Národnímu CERT; nelze-li portál použít, e-mailem nebo do datové schránky téhož příjemce. Následuje oznámení nejpozději do 72 hodin po zjištění a závěrečná zpráva do 30 dnů od oznámení (§ 16 odst. 3), ve vyšším režimu jen tehdy, když NÚKIB do 24 hodin sdělí, že incident má významný dopad na kybernetický prostor státu (§ 16 odst. 2). Samostatně běží ohlášení Úřadu pro ochranu osobních údajů (ÚOOÚ) podle čl. 33 GDPR, jsou-li zasaženy osobní údaje, a samostatně trestní oznámení Policii ČR.

NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) přijímá v Česku hlášení podle zákona č. 264/2025 Sb. Ve vyšším režimu hlásíte NÚKIB, v nižším Národnímu CERT, v obou případech přes Portál NÚKIB (portal.nukib.gov.cz), kde jako typ incidentu vyberete „Ransomware“. Do 24 hodin od prvotního hlášení vám NÚKIB nebo Národní CERT pošle své vyjádření a na žádost poskytne metodickou a technickou podporu (§ 17 odst. 1 a 2). Na úrovni EU je síť CSIRT koordinovaná agenturou ENISA kanálem mezi vnitrostátními týmy CSIRT.

Ransomware může naplnit trestné činy podle trestního zákoníku č. 40/2009 Sb., zejména neoprávněný přístup k počítačovému systému a neoprávněný zásah do počítačového systému nebo nosiče informací (§ 230) a vydírání (§ 175). Trestní řízení běží odděleně od hlášení podle zákona o kybernetické bezpečnosti. Trestní oznámení musí přijmout policejní orgán i státní zástupce (§ 158 odst. 2 trestního řádu). Formulář prvotního hlášení na Portálu NÚKIB se jen ptá, zda jste incident nahlásili Policii ČR; hlášení NÚKIB tedy trestní oznámení nenahrazuje. Podání trestního oznámení je samostatné rozhodnutí, které musí udělat vedení.

Souběžně mohou být otevřeny tři další kanály. Jsou-li zasaženy osobní údaje, běží ohlášení podle čl. 33 GDPR Úřadu pro ochranu osobních údajů (ÚOOÚ) s vlastní 72hodinovou lhůtou. Některá odvětví (energetika, finance, zdravotnictví) mají navíc odvětvové hlášení podle vlastních předpisů, které NIS 2 výslovně zachovává. A podle čl. 21 odst. 2 písm. d) NIS 2 může ransomware u dodavatele spustit vaše smluvní oznamovací povinnosti vůči zákazníkům, i když sami přímo zasaženi nejste.