Vojtěch Hvězda

Ředitel odboru CyberSec společnosti GORDIC

Podniky by měly najít rovnováhu mezi rozumnou mírou detailu a praktičností, aby analýza kybernetických rizik odpovídala realitě dané firmy a skutečně podporovala její rozhodování.

Totéž platí i pro identifikaci hrozeb a zranitelností - namísto opisování obecných seznamů se vyplácí zaměřit se na scénáře, které mohou reálně zasáhnout podnikání dané firmy. Analýza rizik má být srozumitelný, použitelný nástroj, ne zbytečná administrativní zátěž.

Mělo by jít o živý nástroj, ke kterému se organizace pravidelně vrací a který průběžně aktualizuje nejen podle toho, jak se mění technologie a podnikové procesy, ale především samotné hrozby.

Jen tak může vedení spolehlivě rozumět tomu, jaká rizika jejich podnik skutečně ohrožují a jak se vyvíjejí v čase.

František Janů

Konzultant kybernetické bezpečnosti společnosti GORDIC

Analýza kybernetických rizik může být pro podnik velmi silným strategickým nástrojem - ovšem pouze tehdy, pokud je k ní přistupováno věcně, pragmaticky a s porozuměním tomu, co má z pohledu efektivního řízení chodu podniku skutečně řešit.

Legislativa sice nastavuje povinné minimum, ale skutečná hodnota vzniká až ve chvíli, kdy organizace využije analýzu rizik jako oporu pro informovaná rozhodnutí a jako prostředek k posílení odolnosti celého podnikání.

František Janů

Konzultant kybernetické bezpečnosti společnosti GORDIC

Organizace měly do konce loňského roku povinnost ohlásit regulované služby a kontaktní údaje na Portálu Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB). Pokud organizace tuto skutečnost zjistí dodatečně, je nutné realizovat hlášení co neodkladně. Jedná se o vážnou skutkovou podstatu, za kterou hrozí velmi vysoké pokuty. Pomoci s určením může kalkulačka NÚKIBu, která umožňuje předběžné posouzení, do jakého režimu regulace daná organizace nebo jí poskytovaná služba spadá.

Dalšími kroky, které by měly následovat jsou analýza rizik, zpracování bezpečnostní dokumentace, nastavení zodpovědností a řízení, případně zavedení adekvátních bezpečnostních opatření, školení zaměstnanců, a zajištění procesů monitoringu včetně hlášení bezpečnostních incidentů. Tyto procesy je vhodné integrovat do stávajících IT struktur, nikoli budovat zcela odděleně.

Je třeba si uvědomit, že zajištění kybernetické bezpečnosti není jednorázový projekt, ale dlouhodobý proces a ty organizace, které nedisponují potřebnými zdroji na realizaci některých bezpečnostních opatření vlastními lidmi mohou využít softwarové nástroje a služby třetích stran, jako je například aplikace Cyber Security Audit od společnosti GORDIC.

Simona Kobylková

Právnička společnosti GORDIC

Samotný AI Act vstoupil v platnost již v srpnu 2024, nicméně jeho účinnost je postupná. Část týkající se zakázaných systémů, které představují nepřijatelné riziko, vstoupila v účinnost 2. 2. 2025. Pravidla týkající se obecných modelů umělé inteligence pak nabyla účinnosti v srpnu 2025.

Hlavní části nařízení AI Actu, mezi které budou spadat i vysoce rizikové systémy a požadavky na jejich regulaci, nabydou účinnosti v srpnu 2026, přičemž k úplnému rozvinutí celého legislativního rámce dojde v srpnu 2027.

Firmy i instituce by měly již nyní provést inventuru využívaných AI systémů a vyhodnotit, zda spadají do některé z regulovaných kategorií.

Kdo používá systémy s vyšší mírou rizika, by měl zkontrolovat smluvní vztahy s dodavateli, nastavit odpovědnostní pravidla, doplnit technickou dokumentaci, zavést interní směrnice, zajistit školení a kontrolní postupy.

Vojtěch Hvězda

Ředitel odboru CyberSec společnosti GORDIC

Pokud firmy nedisponují vlastními odborníky nebo kapacitami na provedení komplexní analýzy rizik, mohou využít moderní softwarové nástroje třetích stran, které celý proces výrazně usnadní. Příkladem je aplikace Cyber Security Audit (CSA), která umožňuje nejen systematicky identifikovat a hodnotit kybernetická rizika, ale také spravovat aktiva, sledovat hrozby a zranitelnosti a průběžně aktualizovat výstupy analýzy.

Díky integrované expertíze právních konzultantů navíc usnadňuje i implementaci bezpečnostních opatření a dosažení souladu s novou legislativou. CSA tak slouží jako praktický a živý nástroj, který umožňuje efektivně plánovat opatření a podporuje rozhodování o investicích do zajištění bezpečnosti organizace.