CRA, NIS2, DORA: tři předpisy, jeden rámec kybernetické odolnosti

Evropa budovala svou kybernetickou odolnost po třech kusech. NIS2 cílí na klíčové a důležité subjekty v osmnácti kritických sektorech: jde o směrnici, tedy o vnitrostátní transpozici, jejíž francouzská verze na sebe nechává čekat natolik, že Komise 9. července předala Francii Soudnímu dvoru. DORA cílí na finanční subjekty, banky, pojišťovny, investiční společnosti: jde o nařízení, přímo použitelné od 17. ledna 2025, ve Francii pod dohledem ACPR. CRA cílí na produkty: na veškerý hardware či software s digitálními prvky uváděný na evropský trh, s první závaznou lhůtou 11. září 2026, hlášením aktivně zneužívaných zranitelností, a Komise právě zveřejnila první prováděcí pokyny.

Z pohledu Bruselu jde o tři oddělené oblasti působnosti. Z pohledu uvnitř skupiny jde o stejné lidi: CISO, compliance tým, útvar řízení rizik, často i stejné dodavatele. Banka, která vyvíjí vlastní aplikace, spadá pod DORA se svým rámcem, pod CRA se svými produkty, a její skupina může zahrnovat dceřiné společnosti spadající pod NIS2. Předpis ostatně počítá s jejich provázáním: pro finanční subjekty má DORA přednost před NIS2 jako konkrétní sektorová úprava. Je ale třeba přesně vědět, která část skupiny spadá pod co.

Zbaveny vlastní terminologie, žádají všechny tři předpisy totéž jádro. Jmenovitě stanovené řízení: vedení organizace odpovídá, u NIS2 a DORA osobně, za schválení a dohled nad celým systémem. Zdokumentované řízení rizik ICT: identifikace aktiv, hodnocení hrozeb, řešení zjištěných mezer. Proces zvládání incidentů: detekce, klasifikace, hlášení, poučení se z incidentu. A kontrolu třetích stran: dodavatelský řetězec u NIS2, registr poskytovatelů ICT služeb u DORA, předkládaný dohledovým orgánům od dubna 2025, řetězec komponent u CRA.

Skutečné rozdíly spočívají ve lhůtách a v hlásicích kanálech. Závažný incident se hlásí ANSSI podle NIS2 (včasné varování do 24 hodin, hlášení do 72 hodin), finančnímu dohledovému orgánu podle DORA podle jeho vlastních harmonizovaných šablon, agentuře ENISA podle CRA v případě aktivně zneužívané zranitelnosti produktu, do 24 hodin. Tři formuláře, tři hodiny, jeden skutečný incident.

Právě v tomto bodě přináší oddělené řešení nejkonkrétnější škody. Tři samostatné projekty souladu vytvoří tři rozcházející se inventáře aktiv, tři mapy rizik v nesourodých měřítkách, tři postupy hlášení, u nichž ve dvě hodiny ráno nikdo neví, který se použije, zatímco incident je skutečný a všechny tři hodiny běží současně.

Jde o test, který neodpouští: závažný incident u finančního subjektu, který je zároveň vývojářem softwaru, může zároveň spustit hlášení podle DORA dohledovému orgánu i hlášení podle CRA agentuře ENISA, zatímco dceřiné společnosti skupiny řeší své povinnosti podle NIS2. Organizace, které si tento scénář nacvičily na jednotném rámci, jej zvládnou. Ostatní jej poznají až na vlastní kůži.

Metodická odpověď je stejná, jakou jsme popsali u regulačního hromadění obecně: oddělit jádro, které se měří jednou, od regulačních pohledů, které se odvozují podle jednotlivých předpisů. Diagnostika vyspělosti v oblasti kybernetické odolnosti hodnotí společné schopnosti, řízení, rizika, incidenty, třetí strany, testování, na jednotné škále; každé kritérium je přiřazeno k předpisům, kterým slouží, a soulad se všemi třemi texty se pak čte jako tři projekce téhož výchozího stavu.

Toto propojení zviditelní užitečné průniky: jednotný proces zvládání incidentů s vlastními kritérii klasifikace a adresářem hlásicích kanálů posouvá vpřed všechny tři předpisy najednou. Dobře vybudovaný registr třetích stran slouží dnes pro DORA a zítra pro dodavatelský řetězec podle NIS2. A společný jazyk rizik, například podle ISO 27005, brání tomu, aby si každý předpis vymýšlel vlastní škálu závažnosti.

Lhůta CRA k 11. září je vhodným spouštěcím bodem, protože je blízká, závazná a operativní. Tři kroky v tomto pořadí: ujasnit si, která část skupiny spadá pod který předpis, subjekt po subjektu a produkt po produktu. Sjednotit proces hlášení, jeden interní postup, tři výstupní hlásicí kanály, jmenované a dostupné odpovědné osoby. A nakonec změřit vyspělost jádra a převést zjištěné mezery do akčního plánu s termíny, přičemž přednost dostane to, co slouží všem třem předpisům najednou.

Harmonogram tím ale nekončí: hlavní povinnosti CRA nabíhají v prosinci 2027, francouzský zákon o odolnosti bude dříve či později schválen, DORA dál zpřísňuje požadavky na testování. Organizace, které toto trio řídí z jediné diagnostiky, zvládnou každý další krok. Ostatní budou při každé lhůtě začínat znovu od začátku.