Česko vydává bezpečnostní varování před možnou nedostupností technologií dodavatelů z Ruska

Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) vydal oficiální varování vůči dodavatelům informačních a komunikačních technologií z Ruské federace. Důvodem je, že kvůli ekonomickým sankcím hrozí nedodržení smluvních závazků ze strany firem, které mají významný vztah k Rusku.

NÚKIB varování vydává na základě zákona o kybernetické bezpečnosti. Jde tedy o závazný krok a instituce pod tento zákon spadající budou muset provést analýzy rizik. Pokud rizikové technologie v systémech objeví, bude nutné zjistit, zda od dodavatelů hrozí nedostupnost služeb nebo omezení dodávek a případně z toho vyvodit závěry. Varování je podle úřadu preventivní.

Dodavatel ICT s významným vztahem k Ruské federaci se podle kyberúřadu pozná podle několika ukazatelů. Má například sídlo v Rusku, je závislý na dodávkách z Ruska nebo má v této zemi umístěný výzkum a vývoj. Další detaily jsou k dispozici v otázkách a odpovědích na webu úřadu.

Ekonomické dopady na fungování ruských ICT dodavatelů může mít několik podob. Některé společnosti jsou například limitovány odstřižením od platebních systémů, jiné zase hlásí omezení služeb a poskytování podpory a servisu a tak dále. Dále velcí světoví dodavatelé omezují v Rusku svoji působnost a Rusko také chce na Evropskou unii či Českou republiku uvalit sankce.

Kyberúřad hrozbu hodnotí na úrovní Vysoká, je tedy pravděpodobná až velmi pravděpodobná. V rámci zákona o kybernetické bezpečnosti jde o třetí stupeň ze čtyř. Varování začíná být platné už dnes.

NÚKIB na rozdíl od varování vůči čínským podnikům Huawei a ZTE nevydal adresně. Nemá tedy žádný seznam ruských ICT firem, které se jeví jako problematické. Úřad opakuje, že preventivní varování upozorňuje na dopady ekonomických sankcí.

„Není to varování proti konkrétním firmám. Týká se širokého množství firem, každá instituce si musí provést individuální posouzení,“ sdělil Lupě ředitel NÚKIBu Karel Řehka. Primárně jde o software, protože produkce hardwaru není v Rusku tak běžná. „Zároveň platí, že není zakázaná jakákoliv ruská technologie.“

NÚKIB není aktivní pouze v rámci současné krize, Rusko údajně sleduje dlouhodobě. Jak úřad uvedl nedávno, doposud neměl informační jistotu v tom, aby vydal zákonné opatření.

Kyberúřad také sleduje věci, jako je ruská legislativa, která se v řadě věcí podobá čínské. V obou případech se jeví jako riziková. Státy tohoto typu jsou schopné po občanech či firmách vymáhat špionáž, dosazovat si důstojníky tajných služeb nebo jsou u nich problémy s vymáháním práva.

NÚKIB u Ruska i Číny posuzuje i netechnické aspekty. I ty vedou k přípravě věcného záměru zákona, který by mohl vyřadit čínské dodavatele z budování 5G sítí. Řehka uvedl, že chce podobný mechanismus aplikovat na celý obor informačních technologií, tedy i mimo 5G.

Varování NÚKIB k ruským technologiím:

Národní úřad pro kybernetickou a informační bezpečnost vydal v souvislosti se vzrůstající hrozbou nedodržení smluvních závazků ze strany dodavatelů ICT služeb a produktů s významným vztahem k Ruské federaci VAROVÁNÍ podle zákona o kybernetické bezpečnosti.

Hrozba spočívá v dopadech ekonomických sankcí vůči i ze strany Ruské federace, které mohou vést k nedodržení smluvních závazků ze strany ICT dodavatelů, kteří mají významný vztah k Ruské federaci.

NÚKIB doporučuje organizacím podléhajícím zákonu o kybernetické bezpečnosti podniknout preventivní kroky k tomu, aby možné nedodržení smluvních závazků ze strany dodavatelů s významným vztahem k Ruské federaci neomezilo funkčnost jimi spravovaných systémů. Dále doporučuje zohlednit tuto hrozbu v plánech kontinuity činností tak, aby bylo možno zajistit poskytování služeb i pokud se hrozba realizuje.

K vydání tohoto Varování přistupujeme z preventivních důvodů. Varujeme před zvýšenou mírou hrozby, kterou se osoby povinné podle zákona o kybernetické bezpečnosti mají zabývat i běžně. Jedná se o hrozbu, že některý jejich důležitý dodavatel ICT nedodá potřebné produkty či služby. NÚKIB Varováním stanovuje úroveň této hrozby, která souvisí s dodavateli, u kterých je vzhledem k aktuálním ekonomickým sankcím vyšší šance, že nebudou schopni plnit své závazky.

NÚKIB tuto hrozbu z hlediska pravděpodobnosti hodnotí na úrovni Vysoká, tedy hrozba je pravděpodobná až velmi pravděpodobná. V souvislosti s touto hrozbou doporučuje provedení úkonů, které jsou popsány ve VAROVÁNÍ.

Varováním se správci a provozovatelé systémů regulovaných zákonem o kybernetické bezpečnosti musí zabývat, zejména ji musí zohlednit v analýze rizik a přijmout adekvátní opatření. Návrh možných opatření obsahuje vydané Varování. Osobám, které nespadají pod zákon o kybernetické bezpečnosti, lze rovněž doporučit, aby zvážily provedení kroků doporučovaných Varováním, pokud to pro své potřeby shledají jako relevantní.