DISKUSIA "Dopady európskych regulácií na Slovensko"
Európska komisia za ostatné roky významne zvýšila svoju legislatívnu aktivitu. Od predstavenia prvej horizontálnej kyberbezpečnostnej legislatívy, ktorou bola smernica NIS, prešla takmer dekáda. Jej cieľom bolo dosiahnutie vysokej úrovni kybernetickej bezpečnosti v celej EÚ, čo sa podarilo. Dokonca štandard NIS úspešne EÚ exportuje aj do tretích krajín podobne ako pri GDPR. Nedávne obdobie bolo pomerne bohaté na viaceré dôležité spisy. Spomeňme napríklad finalizáciu aktualizovanej Smernice o bezpečnosti sietí a informácií (NIS2), implementáciu aktu o kybernetickej bezpečnosti (CSA) prostredníctvom práce agentúry ENISA na schémach kybernetickej certifikácie či sprevádzkovanie Európskeho kompetenčného centra (ECCC) so sídlom v Bukurešti. V neposlednom rade to je návrh aktu o kybernetickej odolnosti (CRA) orientovaný na bezpečnosť IoT systémov vrátane regulácie SW a HW produktov, o ktorom debata momentálne vrcholí v Rade EÚ. Treba spomenúť aj úplne nový aprílový balíček kybernetickej bezpečnosti, v rámci ktorého Európska komisia predstavila návrh aktu o kybernetickej solidarite zameraného na vybudovanie odolného kyberbezpečnostného štítu EÚ a poskytnutie rýchlej pomoci krajine, ktorá to bude potrebovať ako aj návrh revízie CSA na zavedenie schém pre riadené bezpečnostné služby. Okrem zmieňovaných spisov sú tu ďalšie a to najmä v sektorových oblastiach.
Panelisti budú diskutovať o tom, či je náš súčasný legislatívny rámec aj naďalej vhodný na účinnú reakciu voči kyberbezpečnostným incidentom, hrozbám a trendom? Nezaspali sme „na vavrínoch“? Hlavná debata by mala poukázať na to, kde sa vlastne nachádzame s úrovňou kybernetickej bezpečnosti a súvisiacou digitálnou legislatívou s kyberbezpečnostnými prvkami. Je EÚ schopná ochrániť prvky kritickej infraštruktúry štátu a priemyslu? Sú súčasné kompetencie európskych inštitúcií, orgánov a agentúr dostatočné, aby konali rýchlo, efektívne a transparentne? Kde sú súčasné problémy?
Smernica NIS2 neprichádza priamo, ale cez národný zákon o kybernetickej bezpečnosti – a v zdravotníctve pritvrdí pravidlá i zodpovednosť. Mení spôsob, ako sa určujú povinné subjekty, a volá po sektorových požiadavkách, ktoré nemocniciam a ambulanciám zatiaľ chýbajú. Popri legislatíve sa otvára aj téma centrálneho dohľadu a systematického vzdelávania. Hlavná zmena spočíva v tom, že subjekty sa už nebudú identifikovať podľa poskytovanej „základnej služby“, ale podľa kritérií NIS2. Kľúčovým prahom je veľkosť: 50 a viac zamestnancov a zároveň účtovná hodnota nad 10 miliónov eur. Subjekty, ktoré sú regulované dnes, zostanú regulované aj naďalej, len sa budú označovať ako kľúčové. Nejde teda o revolúciu, skôr o precizovanie a rozšírenie rámca. Existujú aj osobitné prípady podľa článku 3, napríklad jediný poskytovateľ služby na území štátu či vybrané sektory ako dôveryhodné služby. V prílohe pre zdravotníctvo sú okrem poskytovateľov zdravotnej starostlivosti uvedení aj výrobcovia farmaceutík či európske laboratóriá. Praktická otázka, či sa medzi povinných zaradia väčšie ambulancie alebo menšie polikliniky, sa bude posudzovať najmä podľa týchto kritérií. Isté však je, že doteraz regulované subjekty povinnosti nestrácajú.NIS2 a kto bude v zdravotníctve „povinný“
Peter Lukáč
