+420 267 310 560NIS2 fyzická bezpečnost a povinnosti
Když se v České republice rozproudila debata o NIS2, většina komentářů se soustředila na kybernetickou bezpečnost, incidentní reporting a technická opatření v IT infrastruktuře. NIS2 fyzická bezpečnost povinnosti jsou přitom stejně závazné jako ta kybernetická část směrnice, a přesto zůstávají v administrativních budovách regulovaných organizací alarmujícím způsobem opomíjeny. Risk manažeři regulovaných subjektů si tak mnohdy plní kybernetický checklist a fyzickou vrstvu nechávají víceméně v původním stavu. To je přesně ta situace, kde přichází pokuta nebo bezpečnostní incident jako první podnět k akci.
Zákon č. 181/2014 Sb. o kybernetické bezpečnosti ve znění novely implementující NIS2 (platné od roku 2025) výslovně zahrnuje fyzická bezpečnostní opatření jako součást povinného bezpečnostního programu. Konkrétní požadavky míří na ochranu prostor, kde jsou umístěny systémy a data, na řízení přístupu osob a na dokumentovatelnost pohybu v citlivých zónách. Integrujeme-li do těchto opatření koncept WESTPOINT EVOLUTION, přecházíme od statické ochrany k inteligentnímu dohledu, který využívá data k prediktivnímu odhalení anomálií dříve, než dojde k průniku. Vlastně i pro běžné prostory lze využít naše profesionální služby fyzické ostrahy, které naplňují přísné standardy.
Co NIS2 vlastně po správcích budov chce
NIS2 (ve formě českého implementačního zákona a prováděcích vyhlášek NÚKIB) nestanovuje konkrétní technologie, ale vyžaduje prokázatelně řízená opatření odpovídající identifikovanému riziku. Klíčové je slovo „prokázatelně". To znamená, že nestačí mít nainstalovaný kamerový systém nebo čipové karty, pokud neexistují písemné záznamy o jejich kontrole, údržbě a periodickém testování funkčnosti. Správce budovy či CSO (Chief Security Officer) musí být schopen při auditu doložit, kdo má k datům přístup, jakým způsobem jsou fyzické vstupy monitorovány a jaké jsou postupy pro případ narušení.
Prováděcí vyhláška NÚKIB č. 82/2018 Sb. ve znění pozdějších úprav a nově vydané bezpečnostní standardy pro rok 2025 zavádějí pojem „bezpečnostní zóna" a vyžadují, aby každý regulovaný subjekt provedl kategorizaci svých prostor podle citlivosti informací a systémů, které se v nich nacházejí. Výsledkem kategorizace musí být zdokumentovaný seznam zón s přiřazenými opatřeními, odpovědnými osobami a harmonogramem přezkumů. Organizace, které tuto kategorizaci dosud neprovedly, jsou v prodlení bez ohledu na to, jak sofistikovanou mají kybernetickou ochranu. NÚKIB má při kontrolní činnosti oprávnění vyžádat si tuto dokumentaci kdykoli a bez předchozího upozornění.
Důležité je také pochopit, co NIS2 říká o dodavatelském řetězci ve fyzickém kontextu. Směrnice a její česká implementace výslovně zahrnují i třetí strany, které mají fyzický přístup do prostor regulovaného subjektu. To zahrnuje servisní techniky, úklidové firmy, dodavatele cateringu i pracovníky správy budov. Pokud tyto osoby mohou vstoupit do zón s kritickou infrastrukturou, musí pro ně platit srovnatelně přísná pravidla jako pro vlastní zaměstnance, včetně záznamů o vstupu, doprovodných protokolů a smluvně zakotvených bezpečnostních požadavků.
Co konkrétně prověřuje auditor v serverovně?
Serverovna nebo datová místnost je z pohledu NIS2 zpravidla nejvýše hodnocenou bezpečnostní zónou. To v praxi znamená, že přístup do ní musí být vícefaktorově ověřen, veškerý pohyb musí být zaznamenán v elektronickém logu s časovými razítky a záznam musí být uchováván po dobu, kterou určí interní politika, minimálně však po dobu odpovídající délce uchovávání bezpečnostních logů z IT systémů. Fyzické a logické záznamy by měly být vzájemně porovnatelné, aby bylo možné detekovat situace, kdy se někdo přihlásil k systému, aniž by vstoupil do serverovny, nebo naopak.
Auditor NÚKIB nebo akreditovaný auditor kybernetické bezpečnosti bude konkrétně zkoumat, zda jsou dveře serverovny osazeny elektronickým přístupovým systémem s individuálními přihlašovacími údaji pro každou osobu, nikoliv sdíleným kódem. Sdílené kódy nebo mechanické klíče dostupné více osobám jsou nepřijatelným řešením, protože znemožňují dohledatelnost. Dále bude prověřovat, zda existuje záložní mechanismus pro případ výpadku napájení elektronického zámku, a zda tento záložní mechanismus neobchází auditní stopu. Trezorový mechanický zámek jako záloha je přijatelný, ale musí být evidováno, kdo drží klíč, a každé jeho použití musí být zaznamenáno ručně s podpisem odpovědné osoby.
Kamerové pokrytí serverovny je dalším standardním požadavkem. Kamera musí snímat vstupní prostor tak, aby bylo možné jednoznačně identifikovat osobu vstupující i opouštějící místnost. Záznamy musí být uchovávány mimo samotnou serverovnu, ideálně v jiné fyzické zóně nebo v cloudovém úložišti s přístupem omezeným na bezpečnostního správce, aby nedošlo k situaci, kdy útočník s fyzickým přístupem do serverovny dokáže záznamy zničit nebo pozměnit. Retence záznamu by měla odpovídat alespoň 30 dnům, v prostředích s vyšší klasifikací i déle.
Organizace provozující serverovnu v pronajatých prostorách, například v colocation datacentru, musí zajistit, aby jejich smluvní podmínky s provozovatelem datacentra zahrnovaly všechny výše uvedené požadavky a aby byly schopny prokázat, že tyto podmínky jsou skutečně plněny, například formou pravidelných auditních zpráv od poskytovatele nebo vlastních kontrol na místě. Spoléhání na certifikaci datacentra (Tier III/IV nebo ISO 27001) bez konkrétního smluvního ukotvení a pravidelného ověřování nestačí.
Perimetr: ochrana areálu jako první obranná linie
Perimetrická bezpečnost bývá v kontextu NIS2 nejčastěji podceňována, protože se zdá vzdálená od konkrétních IT aktiv. Ve skutečnosti je ale průnik perimetrem prvním krokem téměř každého fyzického útoku. NIS2 v kombinaci s českou implementací vyžaduje, aby byl perimetr organizace jasně definován, aby byl vstup do areálu řízen a aby pohyb osob v areálu byl zaznamenatelný. To neznamená nutně fyzické oplocení každé budovy, ale musí existovat jasná hranice mezi veřejným a neveřejným prostorem s odpovídajícími kontrolními mechanismy.
Pro organizace s více budovami nebo kampusy je klíčové rozlišovat mezi vnějším perimetrem areálu a vnitřními perimetry jednotlivých budov nebo zón. Vnější perimetr typicky zajišťuje závorový systém nebo recepce s turniketem, vnitřní perimetry pak chrání citlivé sekce jako serverovny, technické místnosti nebo místnosti s citlivými dokumenty. Auditor bude zkoumat, zda je tato hierarchie zdokumentována a zda opatření na každé úrovni odpovídají rizikovému profilu chráněného prostoru.
Zvláštní pozornost si zasluhují parkoviště a zásobovací zóny. Tyto prostory jsou tradičně slabým místem fyzické bezpečnosti, protože jejich kontrola je logisticky náročná a jejich zabezpečení bývá vnímáno jako sekundární. NIS2 však nevylučuje požadavek na sledovatelnost pohybu vozidel ani v těchto zónách. Kamerový systém pokrývající parkovací plochy a zásobovací rampy, kombinovaný s evidencí návštěvníků a doručovatelů, je standardním opatřením, které auditor oprávněně očekává u subjektů v kategorii regulovaných organizací.
Specifickým problémem je takzvané tailgating neboli fyzické sledování oprávněné osoby přes kontrolní bod bez vlastní autorizace. Technickými prostředky pro eliminaci tailgatingu jsou vzduchové zámky (airlocky) nebo manuální dohled pracovníka ostrahy v prostorách s vysokou klasifikací. U méně citlivých vstupů je alternativou kamerový systém s analytickým softwarem schopným detekovat průchod více osob na jeden přístupový identifikátor. Organizace by měla mít tuto problematiku ošetřenou jak technicky, tak procedurálně, včetně jasného popisu, jak reagovat, pokud je tailgating detekován.
Jakou roli hraje recepce
Recepce plní v systému fyzické bezpečnosti funkci, kterou nelze nahradit samotnou technologií. Je to bod, kde se fyzická kontrola vstupu setkává s lidskou identifikací a kde se vytváří klíčová evidenční stopa. NIS2 a česká legislativa v oblasti kybernetické bezpečnosti vyžadují, aby organizace vedla záznamy o návštěvnících, kteří vstupují do prostor s přístupem k regulovaným systémům nebo informacím. Tyto záznamy musí obsahovat minimálně identifikaci osoby (jméno, doklad totožnosti), účel návštěvy, čas příchodu a odchodu a jméno zaměstnance, který návštěvníka přijal a odpovídá za jeho pohyb v prostorách.
Papírová kniha návštěv není v roce 2025 dostatečná pro regulovaný subjekt s povinnostmi podle NIS2. Jednak je snadno zmanipulovatelná, jednak není propojitelná s ostatními systémy pro správu přístupu a bezpečnostní logy. Elektronický systém správy návštěvníků (Visitor Management System) umožňuje propojit evidenci příchodů s kamerovým systémem, automaticky generovat časová razítka a exportovat záznamy pro účely auditu. Systém využívaný v rámci řešení Westpoint automaticky hlídá dodržování procesů. Umožňuje nastavit upozornění pro případ, že návštěvník stráví v prostorách neobvykle dlouhou dobu nebo vstoupí do zóny, ke které mu nebyl udělen přístup. Pracovníci recepce musí být proškoleni v obsluze systémů a v rozpoznávání technik sociálního inženýrství (které často spoléhají na lidskou důvěřivost).
Fyzická bezpečnost recepce zahrnuje i samotné vybavení pracovního místa. Recepční počítač nesmí být přístupný návštěvníkům, obrazovka musí být chráněna filtrem brání pohledu z boku, a recepční nesmí mít na pracovišti viditelně uloženy přístupové karty pro rezervní vstupy nebo klíče od technických místností. Tento detail je jedním z prvních, který fyzický penetrační tester při simulovaném útoku zkouší.
Dokumentace, přezkumy a sankční riziko: co hrozí za neplnění
NÚKIB je oprávněn uložit sankci až do výše 250 milionů korun nebo 2 % celosvětového ročního obratu u vyšších regulovaných subjektů. Fyzická bezpečnost je součástí komplexního hodnocení bezpečnostního programu, a nedostatky v ní mohou ovlivnit celkové hodnocení i tehdy, kdy kybernetická část plní veškeré požadavky. Auditorská praxe ukazuje, že zejména chybějící nebo neúplná dokumentace přístupových práv, absence záznamů o testování fyzických opatření a nezdokumentovaná pravidla pro třetí strany jsou nejčastějšími zjištěními, která vedou k nápravným opatřením nebo sankcím.
Každý regulovaný subjekt by měl mít vypracovaný plán pravidelných přezkumů fyzické bezpečnosti, který je srovnatelný s plány pro přezkumy kybernetických opatření. Přezkum by měl zahrnovat fyzický test přístupových bodů (test fyzické bezpečnosti), kontrolu kompletnosti auditních logů, aktualizaci seznamu osob s přístupem do citlivých zón a přezkoumání smluv s dodavateli z pohledu bezpečnostních požadavků. Výsledky přezkumu musí být písemně zaznamenány a uchovány jako součást bezpečnostní dokumentace minimálně po dobu tří let, aby byly dostupné pro případnou kontrolu ze strany NÚKIB nebo jiného dozorového orgánu.
Fyzická bezpečnost není doplňkem kybernetické ochrany. Je to rovnocenná a neoddělitelná součást celkového bezpečnostního programu, který NIS2 vyžaduje. Organizace, které pochopí závažnost problematiky před prvním auditem, si zajistí především ochranu svých aktiv a předejdou reputační škodě spojené s bezpečnostním incidentem, jehož příčinou byl nezajištěný vstup do serverovny, nehlídaný perimetr nebo proškolená recepční, která vpustila útočníka vydávajícího se za servisního technika.