Petr Gondek – „Jak se vyhnout regulačním chybám“
Na nedávném odborném setkání Manažerů Informační Bezpečnosti (AMIB), vystoupil pan Petr Gondek s myšlenkami na téma „Jak se vyhnout regulačním chybám“. Pan Gondek se dlouhodobě věnuje oblasti zabezpečení a ochrany kritické infrastruktury.
Na praktických příkladech nám p. Gondek zdůvodnil proč není vhodné spoléhat se na právní posudky bez reálné implementace v provozu.
Přednáška nám ukázala, že právní výklad zákona je pouze výchozím bodem. V praxi totiž často chybí návazné kroky, např. změna interních procesů, technická opatření, jasné určení odpovědností a v neposlední řadě školení zaměstnanců, resp. probuzení jejich zájmu o problematiku. Firmy tak sice formálně splní zákonnou povinnost, ale ve skutečnosti zůstávají rizika neřešena. Důsledkem pak bývají pokuty, incidenty, výpadky nebo ztráta důvěryhodnosti.
Na třech konkrétních příkladech (GDPR, kybernetická bezpečnost podle NIS2 a finanční regulace typu AML/KYC) bylo demonstrováno, jak právní posudky selhávají, pokud nejsou doprovázeny praktickými opatřeními. Typické chyby zahrnovaly absenci technického zabezpečení např. záloh či firewallů, chybějící školení personálu, neexistující plány reakce na incidenty nebo nerealizovanou automatizaci sběru dat.
Zásadním poselstvím prezentace bylo smysluplné využití práva v praxi.
Nestačí vědět, co zákon říká, ale je nezbytné porozumět dopadům na konkrétní provoz a následně přeložit právní požadavky do konkrétních úkolů a odpovědností. To vyžaduje mezioborovou spolupráci, resp. zapojení IT, provozu, managementu i HR.
V závěru byla představena doporučená metodika:
- začít srozumitelným právním výkladem,
- analyzovat dopad na podnikové procesy,
- vytvořit realizační tým,
- definovat odpovědnosti a termíny,
- investovat do technologií a školení,
- a nezapomínat na průběžnou kontrolu a audit.
Pan Gondek závěrem upozornil, že regulace nejsou jen formalita, ale nástroj k ochraně podniku, jeho reputace i kontinuity provozu. Nestačí „mít něco na papíře“ – skutečný přínos má pouze to, co je funkčně zavedeno do každodenního chodu firmy.
Pan Petr Gondek vede Agenturu rozvoje a podpory kritické infrastruktury, která se zaměřuje na technickou podporu, edukaci a certifikaci v této oblasti. Je auditor NIS2, GDPR a DORA, člen Asociace pověřenců České republiky a pravidelný přednášející k tématu eIDAS v Poslanecké sněmovně a Senátu Parlamentu ČR. Svými zkušenostmi přispívá také v akademické sféře – působí jako externí přednášející na Univerzitě CEVRO, kde se věnuje tématům spojeným s kybernetickou bezpečností, digitální identitou a legislativními aspekty ochrany dat.
