Návrh zákona o kybernetické bezpečnosti – aktuální stav

Dne 26. června 2023 skončilo mezirezortní připomínkové řízení k návrh nového zákona o kybernetické bezpečnosti, který připravil Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB). Toto řízení navazovalo na předchozí veřejnou konzultaci (leden-únor 2023). Nová verze zákona zaslaná do mezirezortního připomínkového řízení doznala pouze nepatrných změn, byť bylo zasláno přes 1000 připomínek od více než stovky subjektů napříč různými sektory v rámci veřejné konzultace.

V  mezirezortním připomínkovém řízení zaslalo přes 40 dotčených institucí a orgánů státní správy několik stovek zásadních připomínek či doporučení k návrhu zákona. To představuje 75% všech oslovených připomínkových míst. Jde zejména o připomínky Úřadu vlády ČR (sekce kompatability, digitalizace a legislativy), ministerstev (hlavně financí, obchodu a průmyslu, dopravy, vnitra), bezpečnostích a zpravodajských služeb (NBÚ, UZSI), asociace krajů, měst a obcí, sektorového regulátora ČTÚ, a rovněž zástupců podnikatelů prostřednictvím Svazu průmyslu ČR, Hospodářské komory ČR a asociací malých a středních firem či zaměstnavatelů.

Zásadní připomínky státních institucí a orgánů státní správy:

• Regulace jde nad rámec směrnice NIS2 (obsahuje navíc i tzv. mechanismus pro prověřování bezpečnosti dodavatelských řětězců).
• Navrhovaný zákon je jenom částečně slučitelný s právem EU a pouze částečně splnil náležitosti vyplývající z Legislativních pravidel vlády ČR, vč. jejich metodických pokynů.
• Regulace prostřednictvím prováděcích právních předpisů (vyhlášek) je v rozporu se základními ústavními požadavky stanovenými Ústavou ČR, jelikož práva a povinnosti subjektů musí být jasně stanoveny zákonem, a rovněž je v rozporu s Listinou základních práv a svobod.
• Kritéria pro posuzování rizik dodavatelů jsou nevhodná, protože mají spíše politický charakter a otevírají tak značný prostor pro subjektivní, arbitrární a neprůhledné, a tedy i nepředvídatelné a obtížně přezkoumatelné rozhodování.
• Regulace (tzv. mechanismus) by se měla týkat pouze kritických částí informační a komunikační infrastruktury
  (tj. pouze tzv. core network, nikoli vnější přístupové sítě, jenom 6 z 27 států EU dnes reguluje vnitřní i vnější síť).
• Předmět regulace a jeho rozsah (vč. stanovení kritérií) by měl být obsažen v zákoně, nikoli ve vyhláškách.
• Rozhodování o zákazu dodavatele by mělo být pravomocí vlády, nikoli NÚKIBu.
• ČTÚ, jako sektorový regulátor, by měl být aktivní součástí rozhodovacího procesu s odpovídající pravomocí, včetně procesu prověřování dodavatelů
• Potřeba vypracovat skutečný dopad regulace na podnikatelské prostředí a státní správu, tzv. RIA analýzu.

Úřad vlády ČR, jako předkladatel zákona do vlády, ve svých komentářích vyjádřil potřebu návrh zákona výrazně přepracovat vzhledem k množství připomínek a nejasností. Některá ministerstva a instituce navrhují důkladné projednání toho, co bude předmětem a rozsahem regulace, a kterých části strategické infrastruktury se bude mechanismus týkat. To by mělo proběhnout na úrovni jednání veřejné správy s odbornou veřejností.  Rovněž by zvláštní pozornost měla být věnována otázce, jak nákladná se pro veřejný rozpočet (a potažmo i privátní sektor) může ukázat ta či ona varianta řešení na úrovni zákona. K tomu by měla být zpracována relevantní RIA analýza s vyčíslením dopadů na podnikatelské prostředí a státní správu.

V následujících týdnech/měsících bude NÚKIB vypořádávat připomínky jednotlivých připomínkových míst a následně ji předloží Legislativní radě vlády ČR. Poté pak do vlády. Věříme, že rovněž dojde k výše zmíněnému dialogu mezi státem a odbornou veřejností. Společným zájmem privátního sektoru a státu je posílení kybernetické bezpečnosti ČR ve strategicky významné infrastruktuře, ale formou racionálního přístupu, vyváženou, systémovou, transparentní a přiměřenou regulací, tak jak je to aplikováno v drtivé většině členských států EU. Regulace by měla být postavena na analýze rizik, jejíž roli směrnice NIS2 výrazně posiluje, a kterou návrh nového zákona o kybernetické bezpečnosti ze strany NÚKIBu úplně pomíjí a nahrazuje geopolitickými kritérii.