Vláda schválila novou Národní strategii kybernetické bezpečnosti na roky 2026 až 2030, jejímž ústředním tématem je odolnost. Pro firmy a instituce to znamená přesun důrazu z compliance na skutečnou schopnost incident přežít a rychle se z něj vzpamatovat.

Nová strategie, kterou vláda schválila a kolem jejíhož ústředního tématu staví NÚKIB i letošní konferenci CYBER_CON, stojí na třech pilířích: bezpečné strategické infrastruktuře, celospolečenské připravenosti a mezinárodní spolupráci. Pro bezpečnostního manažera jsou zajímavé zejména první dva, protože přímo ovlivňují, co bude stát v příštích letech od organizací vyžadovat a kde bude nabízet podporu.

První pilíř mluví o posílení odolnosti kritických systémů a schopnosti státu identifikovat hrozby v kyberprostoru. V praxi to znamená, že se zvyšuje laťka pro organizace, které spadají pod regulaci kritické infrastruktury nebo NIS2, ale i pro ty, které se do budoucích revizí teprve dostanou. Odolnost se přitom nemá chápat jako synonymum pro prevenci útoku. Jde o schopnost fungovat i uprostřed incidentu, mít připravené alternativní procesy, funkční záložní systémy a jasně otestovaný plán obnovy. Bezpečnostní ředitel by si měl položit otázku, zda dokáže doložit, že jeho organizace přežije výpadek důležitého provozního systému na čtyřiadvacet hodin, a ne pouze to, zda má nakoupené nástroje na jeho ochranu.

Druhý pilíř, celospolečenská připravenost, se týká rozvoje digitálních kompetencí a počtu bezpečnostních expertů. Stát zde signalizuje, že nedostatek odborníků považuje za strategické riziko, nikoliv pouze za personální problém jednotlivých firem. Pro manažery to je argument, který lze použít směrem k vedení při obhajobě investic do vzdělávání vlastního týmu i do udržení lidí, kteří už bezpečnostní know-how ve firmě mají. Strategie zároveň počítá s podporou rozvoje nových řešení v oboru, což může v následujících letech přinést nové programy financování nebo spolupráci se státními institucemi, na které se vyplatí být připraven včas.

Třetí pilíř, mezinárodní spolupráce v rámci EU a NATO, se na první pohled týká spíše státní úrovně než jednotlivých firem. Prakticky ale znamená, že se bude prohlubovat sdílení informací o hrozbách mezi státy a sektory, a organizace, které se do tohoto sdílení zapojí i samy, získají dřívější a přesnější informace o tom, co na ně útočí. Bezpečnostní manažer by měl zvážit, zda jeho organizace aktivně participuje na některé z existujících platforem pro sdílení hrozeb, nebo zda spoléhá pouze na vlastní detekci.

Strategie počítá s ročním vyhodnocováním prostřednictvím akčního plánu, což znamená, že požadavky na organizace se budou v čase upřesňovat a doplňovat, nikoliv zůstanou fixované na jeden dokument. Pro plánování rozpočtu je proto rozumné počítat s tím, že se v příštích letech objeví další konkrétní povinnosti odvozené od těchto obecných priorit, podobně jako se to stalo u předchozích strategických dokumentů, které postupně vyústily v konkrétní legislativu.

Zkušenost s předchozími strategickými dokumenty navíc ukazuje, že organizace, které začnou budovat odolnost až v okamžiku, kdy jim to ukládá konkrétní zákon, se dostávají do časové tísně a řeší nákladné dohánění restů pod tlakem termínu. Ty, které vzaly obecně formulovanou prioritu vážně už ve fázi strategie, mají naopak čas rozložit investice do více let a vybrat řešení, která odpovídají jejich skutečnému provozu, nikoliv první nabídce na trhu.

Prakticky to pro bezpečnostního manažera znamená tři kroky, které stojí za to zařadit do plánu na nadcházející období. Prvním je revize plánů kontinuity provozu s důrazem na reálné otestování, nikoliv jen existenci dokumentu na papíře. Druhým je zmapování, kam organizace patří v kontextu kritické infrastruktury a jaké povinnosti z toho aktuálně i výhledově plynou. Třetím je otevření tématu odolnosti směrem k vedení jako investičního, nikoliv pouze nákladového bodu, protože stát dává jasně najevo, že odolnost bude v příštích letech měřítkem, podle kterého se budou organizace posuzovat.