Nový zákon o kritické infrastruktuře, který nabývá účinnosti od srpna, výrazně rozšíří okruh firem, jež stát považuje za klíčové pro chod společnosti. Nově se dotkne například dopravních podniků, železniční dopravy, nemocnic, potravinářů nebo finančního sektoru. Dotčené firmy čeká jednorázová investice v řádu milionů korun a následně minimálně statisíce korun ročně na údržbu a provoz. Celkově tak podniky proinvestují miliardy korun, odhaduje poradenská firma Moore Czech Republic. Zvýšené náklady se mohou promítnout do koncových cen pro spotřebitele.
Nová legislativa je transpozicí evropské směrnice. Některé dotčené organizace se o chystaných povinnostech dozvěděly již dříve v průběhu legislativního procesu, teprve nyní však vláda schválila finální znění zákona.
„Mezi dotčené tak mohou patřit i subjekty, u nichž by to široká veřejnost na první pohled nečekala. Například zemědělci s velkochovem nad 45 tisíc kusů prasat či větší výrobci mléka,“ říká senior manager Moore Radek Dvořáček.
Kybernetická bezpečnost je přitom jen jednou částí požadavků. Zákon míří i na fyzickou bezpečnost, jako jsou kamerové systémy a zabezpečení objektů. Dále se to týká vnitropodnikových procesů včetně personálního zajištění nepřetržitého provozu.
„Firmy musí zavést krizové řízení, jmenovat krizového manažera, průběžně vyhodnocovat rizika a mít připravené postupy reakce na incidenty i plány kontinuity služby pro případ blackoutu nebo jiné krize. Opatření přitom nejsou plošná ani univerzální. Liší se podle sektoru i podnik od podniku, podle toho, jak má daná firma zavedené procesy i jak má rozmístěné své provozy,“ dodává Dvořáček.
Splnění nových povinností nebude levné. U většího subjektu, jako je dopravní podnik, se za zavedení opatření očekávají investice v řádu vyšších jednotek milionů korun. A následně minimálně statisíce korun ročně na provoz a údržbu. Protože do nových povinností bude muset investovat stovky firem, jde v součtu o řádově miliardy korun, které poputují do zabezpečení. „Vzhledem k objemu investic se část nákladů může promítnout do koncových cen pro spotřebitele, ať už jde o jízdné, potraviny nebo další služby,“ doplnil Dvořáček.
Některé z největších dotčených organizací přitom už s předstihem obdržely od ministerstva vnitra oznámení o svém zařazení, ostatní mají povinnost se samoidentifikovat. Za ignorování povinnosti hrozí pokuta až 25 milionů korun.
Jedním ze způsobů ověření připravenosti je například vykonání cvičení dle krizového scénáře, jehož zadání určí ministerstvo. Nestačí mít krizové postupy jen na papíře. Organizace je budou muset názorně předvést za provozu, a to za účasti úředníků ministerstva, kteří se na průběh přijdou podívat. Cvičení proběhne maximálně jednou za rok a firma na ně dostane upozornění tři měsíce dopředu.