Nový zákon o kybernetické bezpečnosti (ZoKB) přináší řadu povinností, které se netýkají jen samotných poskytovatelů regulovaných služeb, ale výrazně dopadají i na jejich dodavatele. Vyhláška (konkrétně § 9 pro vyšší režim povinností) říká jasně: pokud je dodavatel podstatný pro bezpečnost regulované služby, musí se na něj vztahovat přísnější pravidla. V praxi ovšem nastává pro mnoho organizací problém, kdo vlastně pro ně je takovým významným dodavatelem.
Kdo je vlastně „významný“ dodavatel?
Zákon, resp. vyhláška definují významného dodavatele jako subjekt, který „ povinné osobě poskytuje plnění, které je významné z hlediska zajištění kybernetické bezpečnosti regulované služby“. Stručně řečeno, významný dodavatel je každý, jehož služba může ovlivnit kontinuitu nebo kvalitu poskytované služby. Bez ohledu na jeho velikost.
Prakticky sem mohou spadat dodavatelé IT a softwaru (dispečerské systémy, provozní systémy, bezpečnostní nástroje), provozovatelé infrastruktury, poskytovatelé telekomunikačních služeb, dodavatelé zpracovávající data zákazníka apod. Budou sem ale patřit i dodavatelé elektřiny, vody nebo tepla a další, bez kterých se regulovaná služba neobejde.
Co se děje, když je dodavatel označen jako významný
Identifikace významných dodavatelů obvykle probíhá při analýze rizik v rámci zavádění systému řízení informací (viz můj dřívější článek na toto téma), kde jsou navázáni na klíčová aktiva. Zákon ale neurčuje jediný správný postup. Důležité je, že výsledek dává smysl.
Jakmile je dodavatel takto identifikován, musí o tom být prokazatelně informován. Zároveň se na něj začnou vztahovat specifické smluvní požadavky, které zákon poměrně detailně popisuje v příloze č. 5 vyhlášky (ne všechny, jen ty relevantní).
Při popisování smluvních požadavků, zejména s poskytovateli cloudových řešení, je dobré definovat tzv. model sdílené odpovědnosti. Poskytovatel regulované služby totiž nemůže alibisticky veškerou odpovědnost za kyberbezpečnost přehodit na dodavatele. Ve smlouvě musí být jasně vytyčena hranice, co přesně zabezpečuje dodavatel a co zákazník. Například dodavatel se stará o fyzickou bezpečnost datacentra či dostupnost poskytované služby/platformy. Na druhou stranu zákazník ručí za správu uživatelských přístupů nebo šifrování vlastních dat v cloudu.
Právě nepochopení těchto hranic a nejasná očekávání o zajišťování kybernetické bezpečnosti v rámci smluvního vztahu jsou místem, kde mohou začít vznikat třecí plochy:
- Menší dodavatelé mají problém se striktními pravidly, nedisponují potřebnými procesy a nástroji.
- Zákazník (provozovatel regulované služby) má možnost auditovat dodržování pravidel své bezpečnostní politiky u dodavatele.
- Dodavatel musí hlásit incidenty, způsob práce s daty nebo řízení rizik.
- Poskytovatel regulované služby má seznamovat dodavatele se svojí bezpečnostní politikou, aby ji ten mohl dodržovat.
Na druhou stranu, většina těchto požadavků není nijak revoluční. NDA, práce s daty zákazníka nebo základní bezpečnostní opatření už dnes smluvně řeší skoro každý. Vše je obvykle o rozumné vzájemné domluvě. Nejcitlivějším bodem tak v praxi zůstává právě audit.
Audit ano, ale s rozumem
Jak už jsem uvedl, zákon dává zákazníkovi právo kontrolovat dodavatele, zda dodržuje stanovenou bezpečnostní politiku. Slovy zákona: „provádí pravidelné hodnocení rizik a pravidelnou kontrolu zavedených bezpečnostních opatření.“ V případě zjištěných nedostatků pak zákazník musí zajistit odpovídající reakci na ně.
Zákon neříká přesně, jak často nebo jakým způsobem má audit u dodavatele probíhat. To znamená, že:
- forma kontroly je věcí dohody,
- může ji provádět třetí strana,
- u větších firem lze plnohodnotný audit nahradit například zprávou z interního auditu.
V případě bezpečnostního incidentu je ale naprosto legitimní, aby zákazník audit nebo forenzní analýzu požadoval, například kvůli ověření, že nedošlo k úniku dat.
Výsledkem musí být vyšší bezpečnost na obou stranách
Poskytovatel regulované služby by měl dodavatele seznámit se svou bezpečnostní politikou. V praxi se osvědčuje nepředávat celou interní dokumentaci, ale připravit stručnější přehled konkrétních bezpečnostních pravidel a ten přiložit ke smlouvě. Velké firmy to často už dnes splňují automaticky. Menší dodavatelé ale mohou mít pravidla nastavená jinak.
O to důležitější je si na vše nechat dostatek času a vyjasnit sporné body. Pečlivě zvažte, na koho přísná pravidla skutečně uplatníte. Vyberte si jen několik opravdu klíčových dodavatelů a těm věnujte pozornost. Mějte na paměti, že v krajním případě může zákazník od smlouvy odstoupit.
Vyjednávání se mohou táhnout. Často se bude jednat o úplně nový smluvní vztah mezi zákazníkem a dodavatelem. Řízení dodavatelů by ale nemělo skončit „utažením šroubů všem a co nejvíc“ nebo snahou převést veškerou odpovědnost za řízení rizik na druhou stranu.
Mělo by být o jasně rozdělené odpovědnosti, realistických požadavcích, dlouhodobé spolupráci, která dává smysl a která vede k vyšší kybernetické odolnosti na obou stranách.
