Evropská komise představila začátkem roku 2026 návrh revize aktu o kybernetické bezpečnosti, označovaný jako CSA2. Návrh reaguje na rostoucí závislost evropských států na digitálních technologiích z třetích zemí a na zhoršující se bezpečnostní situaci ve světě.
Návrh přináší tři hlavní prvky:
- Rámec pro zabezpečení dodavatelských řetězců pro informační a komunikační technologie (IKT). Návrh zavádí systém rizikových zemí a vysoce rizikových dodavatelů.
- Zjednodušený evropský systém rámce EU pro certifikaci kybernetické bezpečnosti, který umožní zrychlení procesů.
- Posílení Agentury EU pro kybernetickou bezpečnost. Agentura získává nové pravomoci, jako jsou systémy včasného varování, podpora při ransomwareových útocích a zlepšení služeb řízení zranitelnosti.
Stále větší část evropské energetiky, telekomunikací, dopravy, zdravotnictví nebo veřejné správy závisí na technologiích dodávaných společnostmi působícími mimo Evropskou unii a často ze zemí, u kterých hrozí zneužití těchto technologií ke špionáži, sabotáži nebo jinému ohrožení bezpečnosti. Současná úprava nabízí jen omezené možnosti pro koordinovanou reakci a zajištění bezpečností evropské kritické IKT.
Proč Evropská komise návrh předkládá
Návrh vychází z předpokladu, že kybernetická bezpečnost již není pouze otázkou technologií. Vedle zranitelnosti softwaru nebo lidského faktoru je třeba brát v potaz také širší bezpečnostní souvislosti, včetně geopolitických rizik.
Některé státy disponují právními nástroji umožňujícími jejich vládám získávat přístup k datům, ovlivňovat soukromé společnosti nebo využívat technologickou infrastrukturu k prosazování svých strategických zájmů. V prostředí kritické infrastruktury mohou mít taková rizika závažné dopady na bezpečnost celé Evropské unie. Je zapotřebí také zvolit koordinovaný přístup, jelikož prolomení bezpečnosti v jednom státě EU znamená, vzhledem k vzájemnému propojení, ohrožení bezpečnosti ve všech členských státech.
Návrh proto vytváří rámec pro posuzování bezpečnosti dodavatelských řetězců informačních a komunikačních technologií (ICT) a umožňuje přijímat opatření tam, kde by používání určitých technologií mohlo představovat nepřijatelné bezpečnostní riziko.
Ochrana kritické infrastruktury napříč Evropou
Jednou z nejvýznamnějších novinek je možnost identifikovat tzv. vysoce rizikové dodavatele.
Při hodnocení by nebyly posuzovány pouze technické parametry konkrétních produktů, ale také faktory související s prostředím, ve kterém dodavatel působí. Komise by mohla zohledňovat například:
- míru vlivu zahraničních vlád na danou společnost;
- právní rámec země původu dodavatele;
- úroveň soudní ochrany a nezávislého dohledu;
- informace o aktivitách ohrožujících bezpečnost členských států;
- riziko neoprávněného přístupu k datům nebo infrastruktuře.
Cílem je zajistit, aby kritická infrastruktura Evropské unie nebyla ohrožena technologiemi, které mohou být pod vlivem států představujících bezpečnostní riziko.
Pokud by bylo riziko vyhodnoceno jako významné, mohla by Evropská komise po konzultaci s členskými státy přijmout opatření omezující využívání technologií takového dodavatele v kritických sektorech.
Pokud bude některý dodavatel vyhodnocen jako vysoce rizikový, může Komise přijmout opatření k ochraně kritické infrastruktury, včetně omezení nebo zákazu využívání jeho technologií. Cílem je snížit závislost Evropské unie na technologiích, které by mohly představovat bezpečnostní riziko, a zajistit jednotný přístup k ochraně klíčových systémů napříč členskými státy.
Jak bude ochrana dodavatelských řetězců fungovat
- Určí třetí země, které představují kyberbezpečnostní riziko. Usazení v takové zemi je jeden z hlavních prvků při označení dodavatele za vysoce rizikového.
- Vyhodnocení bezpečnostních rizik: Evropská komise nebo skupina alespoň tří států vyzve skupinu pro spolupráci (dle NIS), aby provedla koordinované zhodnocení těchto rizik.
- Evropská komise identifikuje kritická ICT aktiva, jejichž narušení by mohlo ohrozit fungování klíčových sektorů, jako jsou energetika, telekomunikace nebo doprava.
- Posoudí bezpečnostní rizika v dodavatelském řetězci, a to nejen technická, ale i geopolitická.
- Určí vysoce rizikové dodavatele, pokud jejich produkty nebo služby představují nepřijatelné riziko pro bezpečnost kritické infrastruktury.
- Navrhne ochranná opatření, například omezení nebo zákaz využívání technologií těchto dodavatelů v kritických systémech.
- Členské státy a provozovatelé kritické infrastruktury opatření provedou, čímž se sníží závislost na technologiích pocházejících z vysoce rizikového prostředí.
Jednotná pravidla pro certifikaci
CSA2 zároveň posiluje evropský systém certifikace kybernetické bezpečnosti. Cílem je zajistit, aby produkty, služby a ICT systémy používané v Evropské unii splňovaly jednotné bezpečnostní standardy a aby výsledky certifikace byly uznávány napříč členskými státy.
Návrh rozšiřuje využití evropských certifikačních schémat a usnadňuje jejich používání v oblasti kybernetické bezpečnosti. Díky tomu by organizace neměly čelit duplicitním požadavkům a bezpečnostní certifikace by měla být přehlednější a efektivnější.
Certifikace tak představuje druhý pilíř CSA2 vedle ochrany dodavatelských řetězců – zatímco nové mechanismy řeší otázku důvěryhodnosti dodavatelů, certifikace se zaměřuje na bezpečnost samotných produktů a služeb.
Silnější role agentury ENISA
Návrh CSA2 rovněž posiluje postavení evropské agentury pro kybernetickou bezpečnost ENISA. Agentura bude hrát významnější roli při přípravě certifikačních schémat, hodnocení rizik v dodavatelských řetězcích a koordinaci mezi členskými státy. Cílem je posílit odborné zázemí evropské kybernetické politiky a zajistit jednotnější přístup k řešení bezpečnostních hrozeb napříč Evropskou unií.
Poučení z debaty o 5G sítích
Přestože návrh výslovně neuvádí konkrétní společnosti, veřejná debata se soustředí zejména na zkušenosti s budováním sítí páté generace (5G).
V minulých letech řada evropských států řešila otázku, zda a za jakých podmínek mohou být do kritických částí telekomunikační infrastruktury zapojeni dodavatelé ze zemí, jejichž právní prostředí vyvolává bezpečnostní obavy. Výsledkem byly rozdílné přístupy jednotlivých států a často i dlouhé politické spory.
CSA2 se snaží vytvořit jednotnější evropský rámec, který by podobné otázky řešil předvídatelněji a na základě společných kritérií.
Kritika, strach ze zahlcení a regulace
Česká republika k návrhu vznesla výhrady. Obě komory parlamentu ve svých usneseních upozorňují na to, že dochází k přesunu kompetencí z členských států na EU. Upozorňují především na skutečnost, že posuzování rizikových dodavatelů úzce souvisí s oblastí národní bezpečnosti, kde by si členské státy měly zachovat významnou roli.
Zároveň však Česká republika dlouhodobě patří mezi země, které na bezpečnostní rizika spojená s některými zahraničními dodavateli upozorňovaly již v minulosti. NÚKIB například vydal varování před používáním technologií společností Huawei a ZTE již v roce 2018.
Debata se proto nevede o tom, zda taková rizika existují, ale spíše o tom, kdo by měl mít pravomoc o nich rozhodovat a jak má být nastaven vztah mezi členskými státy a evropskými institucemi.
Proč je návrh důležitý
Kybernetické útoky, špionážní operace a snahy o získávání strategických informací jsou dnes běžnou součástí geopolitické soutěže. Jen za poslední rok zasáhlo Evropu 4 875 kybernetických incidentů a z toho více než polovina zasáhla klíčové a důležité instituce. Závislost na technologiích dodávaných subjekty, které mohou být pod vlivem autoritářských režimů tak proto představuje nejen obchodní, ale i bezpečnostní riziko.
Návrh Akt o kybernetické bezpečnosti se snaží vytvořit mechanismus, který umožní reagovat na tato rizika dříve, než povedou k bezpečnostním incidentům. Namísto řešení následků by Evropská unie získala nástroj pro preventivní ochranu kritické infrastruktury. V době rostoucího geopolitického napětí jde o krok, který má posílit schopnost Evropy chránit své sítě i klíčové instituce před potenciálními bezpečnostními hrozbami.
