Směrnice NIS je první dokument na úrovní Evropské unie, který se snaží zasáhnout do řízení kybernetické bezpečnosti na celoevropské i na národní úrovni. Finální znění této směrnice bylo po dlouhých diskusích mezi jednotlivými členskými státy schváleno 6. července Evropským parlamentem. Rozdíly mezi jednotlivými členskými státy na legislativní úrovni jsou v současnosti poměrně zásadní a proto je jedním z hlavních cílů této směrnice právě harmonizace standardů napříč všemi členskými státy.

Základní části této směrnice zůstaly od začátku téměř beze změny. Jde například o povinnost mít na úrovni států fungující CSIRT tým a to v režimu 24/7, přijmout strategii kybernetické bezpečnosti či spolupracovat s ostatními státy při řešení incidentů. Co se však při schvalování finálního textu měnilo nejvíce byl seznam subjektů, na které se povinnosti ze směrnice budou vztahovat. Postupně se k seznamu základních služeb jako je třeba energetika či zdravotnictví přidali také takzvaní „digital service providers“. Těch se týkala velká diskuze o tom, nakolik jsou subjekty mezi něž patří i doménové registry a registrátoři kritické a jaký dopad bude mít jejich regulace na volný trh a případné zlepšení zabezpečení jejich infrastruktury. Zdůvodnění, proč se vyskytly hlasy bojující za to, aby dané subjekty nebyly součástí směrnice, najdete například ve vyjádření Board of directors organizace CENTR. Výsledkem dlouhých diskusí je rozdělení subjektů spadajících pod směrnici na dvě skupiny. Provozovatele základních služeb, mezi které patří také internet exchange pointy (IXP), doménové registry či provozovatelé DNS služeb a provozovatelé digitálních služeb, kam budou patřit online tržiště, služby cloud computingu a vyhledávače.

Definice všech těchto skupin jsou však dost vágní a tak se zatím přesně neví, na koho se povinnosti ze směrnice budou vztahovat. Pro provozovatele digitálních služeb bude situace o to těžší nebo lehčí (?), že se budou muset v zákoně sami identifikovat. Nové zákony, které na základě směrnice v jednotlivých členských státech EU vzniknou, budou také muset určit sankce pro tyto subjekty, například za nenahlášení incidentů. Jakým způsobem bude pak probíhat kontrola, však není jasné. Od vstupu směrnice v platnost, tedy od srpna 2016, budou mít členské státy 21 měsíců na implementaci směrnice do národních legislativ. Pro Českou republiku však změny, které tato směrnice přinese, nebudou vzhledem k již implementovanému Zákonu o kybernetické bezpečnosti zásadní.

Přijatá směrnice by měla také vytvořit dvě skupiny podporující spolupráci mezi státy a to jak po technické, tak po strategické stránce. „Cooperation group“ a „CSIRT Network“ se budou skládat ze zástupců jednotlivých států a věnovaly by se primárně otázkám vládních a národních týmů. K již dlouholetému fungovaní skupiny TF-CSIRT, která seskupuje bezpečnostní týmy od akademických až po komerční, se tak vytvoří nové seskupení, kterému se budou muset národní a vládní týmy věnovat a to především z pohledu uvolnění lidských zdrojů.

Nakolik bude směrnice úspěšná, to ukáže až čas. Našeho sdružení se směrnice přímo dotkne hned dvakrát. Jako provozovatele základní služby – registru domény nejvyšší úrovně a jako národního CSIRT týmu; část subjektů bude mít povinnost reportovat incidenty právě tomuto našemu bezpečnostnímu týmu. Zároveň se staneme členy jedné z mezinárodních pracovních skupin pro podporu bližší spolupráce mezi ostatními národními a vládními CSIRT týmy. Zásadní změny však po přijetí směrnice neočekáváme. Základní body směrnice se dočtete zde.