Nový zákon o kybernetické bezpečnosti implementující směrnici NIS2 je již účinný a většina dotčených organizací provedla základní kroky – zejména posouzení dopadu regulace a ohlášení regulovaných služeb. Tím však regulatorní povinnosti teprve začínají.
Navazující webinář se zaměřuje na praktické otázky implementace kybernetické bezpečnosti v organizacích, které již vědí, že do regulace spadají. Účastníkům ukážeme, jak správně stanovit rozsah řízení kybernetické bezpečnosti, jak identifikovat a evidovat aktiva, provést analýzu rizik a nastavit základní bezpečnostní procesy a dokumentaci.
Podrobně se zaměříme na povinnosti vyplývající z nového zákona, zejména v oblasti řízení rizik, bezpečnostních opatření, řízení incidentů a prověřování dodavatelského řetězce. Nová právní úprava klade důraz na systematický přístup k řízení kybernetické bezpečnosti, včetně odpovědnosti vedení organizace a pravidelného vyhodnocování přijatých opatření.
Součástí webináře budou také první praktické zkušenosti z implementace nové regulace, typické chyby organizací a doporučení, jak efektivně postupovat v prvním roce po registraci, kdy běží lhůty pro zavedení požadovaných opatření.
Dílčím způsobem zasadíme novou právní úpravu také do širšího kontextu evropské regulace (DORA, CER, CRA) a upozorníme na jejich praktické průniky.
Cíle webináře
Po absolvování webináře bude účastník:
- rozumět dalším krokům po ohlášení regulované služby a registraci u NÚKIB
- vědět, jak stanovit rozsah řízení kybernetické bezpečnosti v organizaci
- chápat, jak prakticky provést identifikaci aktiv a analýzu rizik
- orientovat se v požadavcích na bezpečnostní opatření, řízení incidentů a dodavatelský řetězec
- znát základní implementační roadmapu (co dělat v prvních 12 měsících)
- připraven identifikovat nejčastější rizika a chyby při implementaci
Osnova
- Aktuální stav regulace
- stručné shrnutí nové právní úpravy a prováděcích předpisů
- lhůty a regulatorní očekávání po registraci
- Co následuje po ohlášení regulované služby
- vznik postavení regulovaného subjektu
- režimy povinností (nižší vs. vyšší; speciální režim pro digitální služby)
- časová osa implementace (typicky 12 měsíců)
- Stanovení rozsahu řízení kybernetické bezpečnosti
- co vše musí být zahrnuto
- vazba na služby, systémy a procesy
- praktické vymezení scope
- Identifikace aktiv a základní dokumentace
- katalog aktiv (IT, data, služby)
- vazba na regulované služby
- typické chyby v praxi
- Analýza rizik
- identifikace hrozeb a zranitelností
- vyhodnocení dopadů
- praktický přístup vs. „papírové cvičení“
- role onboarding gap analýzy
- Bezpečnostní opatření
- organizační a technická opatření
- řízení přístupů, zálohování, monitoring
- bezpečnostní role a odpovědnost vedení
- vazba na standardy (např. ISO 27001)
- Řízení bezpečnostních incidentů
- procesy a reporting (lhůty, obsah hlášení)
- interní vs. externí komunikace
- spolupráce s NÚKIB / CERT
- Dodavatelský řetězec
- prověřování dodavatelů
- smluvní zajištění kybernetické bezpečnosti
- praktické dopady na outsourcing a cloud
- Praktické zkušenosti a doporučení
- typické chyby organizací
- jak nastavit implementaci efektivně
- „quick wins“ vs. strategická opatření
- Přesahy do dalších regulací
- DORA, CER, CRA – kde se pravidla překrývají
- jak zamezit duplicitám
