Vláda schválila nový zákon o kritické infrastruktuře.

 Tento právní rámec nahrazuje dosavadní roztříštěné předpisy a poprvé nastavuje jednotná pravidla pro státní i soukromé subjekty, které provozují strategická zařízení – ať už jde o elektrárny, nemocnice, železnice, rozvody vody, nebo třeba datová centra. Zákon reaguje na měnící se bezpečnostní situaci v Evropě i na výzvy, které přináší digitalizace, kybernetické útoky nebo klimatické hrozby. Klíčovou ambicí je lépe definovat, co přesně tvoří kritickou infrastrukturu, kdo za ni nese odpovědnost, a jak má být chráněna. Změny se dotknou celé řady sektorů: od energetiky, přes dopravu, zdravotnictví, potravinovou bezpečnost, až po bankovnictví a ICT služby. Nový zákon přichází ve chvíli, kdy roste tlak na státy, aby dokázaly čelit výpadkům systémů, krizím v dodávkách i kybernetickým incidentům. Kritická infrastruktura se totiž ukazuje jako jeden z hlavních terčů v době geopolitického napětí i klimatických výkyvů.

Jednotná pravidla a nový digitální portál

Jednou z hlavních inovací nového zákona je sjednocení dosavadního systému identifikace provozovatelů kritické infrastruktury. Zatímco dosud se s různými typy subjektů zacházelo rozdílně – jinak se přistupovalo ke státním institucím, jinak k firmám nebo obcím – nově platí pro všechny stejná pravidla. Zásadní roli bude hrát Portál kritické infrastruktury, nový elektronický systém, který umožní sdílení informací mezi provozovateli a státem. Bude sloužit například ke vkládání hlášení o bezpečnostních incidentech, výměně provozních dat, sledování plnění povinností nebo aktualizaci kontaktů. V praxi má jít o nástroj, který umožní rychlejší reakci v krizových situacích i efektivnější prevenci. Důležité je, že zákon počítá s tím, že ne všechny informace budou veřejně dostupné – část z nich bude mít důvěrný režim, který odpovídá bezpečnostnímu charakteru daného prvku. Portál tak bude zároveň zárukou bezpečného a řízeného přístupu k datům.

Přísné sankce až 50 milionů korun

Nový zákon stanovuje i konkrétní odpovědnost provozovatelů. Pokud například nedodrží povinnosti spojené s bezpečností provozu, zatajili by závažný incident, neposkytli požadované informace, nebo by neumožnili kontrolu, vystavují se riziku citelných pokut. Sankce jsou odstupňovány podle závažnosti a typu přestupku. V krajním případě může jít až o 50 milionů korun, případně 1,5 % ročního obratu společnosti, pokud by šlo o větší firmu. To zajišťuje, že i velké podniky budou brát zákon vážně a aktivně se zapojí do zajištění bezpečnosti. Podle předkladatelů zákona má být hlavním cílem prevence, nikoliv represivní postihy. Sankce jsou ale nastaveny tak, aby měly dostatečnou váhu a skutečný dopad, pokud někdo pravidla vědomě porušuje.

V návaznosti na evropské právo

Přijetím tohoto zákona Česká republika plní také povinnost vyplývající z evropské směrnice NIS2 (o síťové a informační bezpečnosti), která má za cíl sjednotit standardy ochrany kritické infrastruktury napříč Evropskou unií. Zákon tak zapadá do širšího rámce modernizace bezpečnostní politiky. Aktuálně je v ČR definováno devět klíčových odvětví, které spadají pod režim kritické infrastruktury – včetně energetiky, zdravotnictví, dopravy, vodního hospodářství, financí či potravinové bezpečnosti. Zákon v některých případech tyto oblasti upravuje, u jiných dochází ke zúžení regulace. Nejde však o dramatické přehodnocení celého systému, spíše o zpřesnění a zefektivnění. Původní návrh zákona obsahoval i ustanovení o povinném sledování dodavatelských řetězců, které však nakonec z finální verze vypadlo. Podle ministra zemědělství Marka Výborného by to znamenalo nepřiměřenou administrativní zátěž, zejména pro menší firmy. Vláda se tak rozhodla držet evropské směrnice bez dodatečného zpřísnění.

Autor: Martina Střasáková Zdroj: Ministerstvo vnitra