Šéf NÚKIB Navrátil: Varování před čínskými firmami jsme vydat museli

Myslím, že ji dobře děláme.

Základní věc je, že politicko-právní prostředí v Číně pro soukromé firmy nadřazuje zájmy čínského státu, zájmy zpravodajských služeb, zájmy čínské komunistické strany nad zájmy potenciálních zákazníků této firmy. To je to hlavní. Potom existují další informace, které jsou utajené, a o nich nemohu mluvit.

Shromáždili jsme celý soubor informací, a když jsme se na to podívali, tak jsme zjistili, že nám nezbývá nic jiného než varování vydat. Za tímto rozhodnutím si stojíme.

Pokusím se to popsat na příměru, který by měl být pro čtenáře pochopitelnější. Varování říká, že je tady hrozba pro systémy kritické infrastruktury a další. Pokud budou používat technologie Huawei a ZTE, tak to představuje riziko.

Přirovnal bych to k restauraci, kde hygienik zjistí, že je tam plíseň nebo že si personál nemyje ruce. V tom okamžiku je to hrozba. My jsme restauraci nezavřeli a nezakázali jsme používání technologií od těch firem. Pouze jsme řekli, že je nutné analyzovat rizika.

To znamená, že jsme řekli: pokud do té restaurace nemusíte, tak tam nechoďte, a pokud už tam jdete, tak udělejte opatření.

Jedná se o software a hardware, který je v informačních systémech, na které se vztahuje zákon o kybernetické bezpečnosti. Jsou to významné systémy, které jsou důležité pro správný chod státu. Jsou to třeba informační systémy, které používají distribuce plynu, elektřiny nebo státní systémy na vyplácení dávek, nebo informační systémy, díky kterým fungují nemocnice a podobně.

Jedná se o informační systémy, kde je potřeba analyzovat rizika, která technologie Huwei a ZTE představují. Kritická infrastruktura je státní i soukromá. My v této kritické infrastruktuře hledáme informační systémy, které splňují tuto definici, a tyto systémy pak podléhají zákonu o kybernetické bezpečnosti a zákon na ně klade řadu povinností.

Třeba to, že musí dodržet standardy, které předepisujeme, hlásit kybernetické incidenty a reagovat na naše varování nebo další mnohem tvrdší opatření, která máme v kompetenci.

Tady jsou tři oblasti – důvěrnost, integrita a dostupnost. Důvěrnost znamená, že tam jsou data, která je potřeba chránit, aby je někdo nezcizil. Další věc je integrita, což jsou data třeba ohledně sociálních dávek nebo v registru obyvatel. Ta je nutno chránit, aby je nikdo nepozměnil. Kdyby došlo k tomu, že data někdo pozmění, tak je to obrovský problém pro fungování státu. Třetí oblast je dostupnost. To znamená, že systémy musí fungovat, aby je nikdo nevypnul. Všechny tyto tři oblasti se musí řešit.

Je to posun o hodně dál. Jejich rychlost by měla být i dvacetkrát vyšší než nyní. Budou sloužit k přenosu veškerých dat od zásobování obchodů po komunikaci mezi jednotlivými stroji. V podstatě na tom bude záviset celá společnost, a pokud by to nefungovalo, tak by to byl problém.

Nové 5G sítě pravděpodobně nahradí i pevné sítě, protože přenos dat bude levný i rychlý. Jinými slovy, kdo bude ovládat 5G sítě, tak bude mít zásadní vliv na fungování státu. Pokud to bude zahraniční aktér, který bude jednat v zájmu svého státu a ne našeho, tak to bude zásadní problém.

Kdyby došlo k tomu, že síť přestane fungovat, může to způsobit velké ekonomické škody jen omezením dostupnosti. Nové sítě by mohly fungovat zhruba za dva či tři roky. Je to otázka blízké budoucnosti, na podzim by se měly vypsat aukce na frekvence v těchto sítích.

V podstatě tady je pět vý­robců. Dvě evropské firmy Ericksson a Nokia, pak čínští Huawei a ZTE a jihokorejský Samsung. Takže na výběr je.

Systémy telefonních operátorů jsou také zařazeny do kritické informační infrastruktury, takže musejí provést analýzy rizik. Pokud se budou stavět nové 5G sítě, tak to budou muset zohlednit.

Musejí se chovat podle zákona, a to instituce státní i soukromé. Co mám informace, tak všichni provádějí nové analýzy rizik.

Máme právo kontroly, to znamená, že budeme chodit na kontroly, jak se s tím vyrovnaly.

Samozřejmě, každá firma hájí své zájmy. Firma Huawei s námi chtěla komunikovat. My jsme řekli ano a vzhledem k tomu, že jde o velmi citlivou věc, tak pouze písemně. Zatím se neozvali.

Naše reakce velmi zaujala spojence z NATO a EU. Zatímco jiné státy se snažily hledat takzvané back door (metoda umožňující neoprávněné vy­užívání počítačového systému, známá jako zadní vrátka – pozn. red.), což je problematické dokázat, my jsme na to šli jiným způsobem. Definovali jsme hrozbu, což naše spojence zaujalo, a myslím, že jsme ukázali cestu, jak tento problém řešit.

Šli jsme na to přes zákon o kybernetické bezpečnosti, který je ve světě ojedinělý. Platí od roku 2015. Podobné diskuse v některých státech jsou, jde třeba o Francii nebo Německo. Státy hledají vlastní cestu. Ne všechny země totiž mají možnost jako my, protože nemají takový zákon.

Ojedinělý byl v tom, že to bylo první vydané varování. Kdybychom ale neměli zákon o kybernetické bezpečnosti, tak bychom to museli řešit jinak, nebo by se to neřešilo, a to by bylo hodně špatně.

Jsme díky němu dlouhodobě zajímaví pro naše partnery, protože již máme s jeho aplikací praktické zkušenosti. Jiné státy ho připravují nebo jsou teprve na startu a nás se ptají, jak to tady děláme a jaké máme zkušenosti.

Nejsme tady, abychom čekali, až nám v Evropě někdo něco řekne. Při pracích na zákonu jsme hodně spolupracovali s odbornou veřejností a jeden ajťák mi tehdy řekl: „Proč to děláte, proč nepočkáte, až co vám řekne EU?“

Tehdy jsem se celkem dost rozběsnil, protože to nesnáším. Nejsme podřízení Kremlu nebo Bruselu nebo někoho jiného. Měli bychom se chovat suverénně a sebevědomě.

Odpovídáme za kybernetickou bezpečnost České republiky. Samozřejmě že si průběžně všímáme i zahraničních informací a používáme i zahraniční informace, ale naše role je ochrana kybernetické bezpečnosti České republiky.

Pracujeme podle zákona o kybernetické bezpečnosti. Vzhledem k tomu, že jsme shromáždili informace, které vedly k tomu, abychom vydali varování, tak jsme to udělali. Samozřejmě kolem toho byla diskuse.

Problém Huawei je v České republice diskutován dlouhodobě. Byl diskutován na vý­boru pro kybernetickou bezpečnost, byl diskutován na Bezpečnostní radě státu a loni 17. prosince to byl bod jedná­ní na vládě, kde jsem oznámil, že jsem podepsal varování.

Potom byla diskuse, pak jsem se vrátil zpátky na úřad, zaslali jsme toto varování všem subjektům, kterých se to tý­kalo, a poté jsme to mediali­zovali.

Samozřejmě zákon o kybernetické bezpečnosti přesně popisuje, co se musí dělat. Vypracovali jsme metodiku, která je v podstatě navíc, abychom jim pomohli. Ale analýza rizik, o které se hovoří, je součást procesu kybernetické bezpečnosti, je to součást vyhlášky, která doprovází zákon, a znamená to, že ty subjekty už dávno musí mít analýzu rizik vypracovanou. V tuto chvíli tam došlo pouze ke změně některých parametrů.

Samozřejmě v médiích zazněla řada politických komentářů, ale já se nechci vyjadřovat k prohlášením politiků.

Pokud se ta debata pohybuje na bezpečnostní rovině, tak nevnímáme problém.

Jen zopakuji, že se k po­litickým prohlášením nebudu vyjad­řovat.

Byli jsme povinni to zveřejnit. Zákon nám jednoznačně říká, že když varování vydáme, tak musíme informovat a nemůžeme to utajit. Zákon nám také říká, že to musíme pověsit na naše webové stránky.

To by se musel stát nějaký velice závažný incident, aby se k tomu přikročilo. Musíme postupovat citlivě. Něco zakázat v kybernetické oblasti ze dne na den nejde.

Ty další stupně jsou spíše pro případ kybernetických útoků nebo podobných zásadních incidentů.

To by se musely změnit ty základní principy, proč to varování bylo vydáno.

To nemůžu předjímat, jestli to je možné, nebo není.

Určitě ano, předpokládáme, že to takhle bude fungovat.

To varování je závazné a dotčené instituce se podle něj musejí chovat a také se podle něj chovají. Účel byl varovat před hrozbou.

Jde o 110 systémů kritické informační infrastruktury, 153 významných informačních systémů a 30 systémů provozovatelů základních služeb. To znamená 293 systémů, které jsou u 160 různých státních i soukromých subjektů.

Platí pro kritickou infrastrukturu. Běžné občany rozhodně nechci plašit. Co se týče mobilních telefonů, tak ať máte jakýkoliv, jeho zranitelnost je bohužel poměrně vysoká a musí se s tím prostě počítat.

Varování vydáváme, když shromáždíme dostatek relevantních informací, že příslušná technologie představuje hrozbu.

Předpokládám, že se v České republice zákony dodržují. Pokud by se to nestalo, tak by nastoupily pokuty.

Obojí. Kontroly průběžně děláme, takže to pro nás není vůbec nic nového.

Myslím, že z pohledu kybernetické bezpečnosti je hodně věcí v počátcích, ale jsou i subjekty, které jsou na tom velmi dobře. Třeba banky.

Paušálně to tak říct nelze, ale spíše u soukromých. Je tu totiž problém, který se týká platů odborníků na kybernetickou bezpečnost.

Pokud si dobře pamatuji, tak před dvěma roky byl rozdíl mezi platy v soukromé sféře a státní sféře 1,7 a dnes zřejmě bude vyšší. To znamená, že státní správa má problém s odborníky, protože je nemůže zaplatit tak jako soukromá sféra.

K tomu bych se nerad vyjadřoval. Vyjadřuji se ke kybernetické bezpečnosti jako součásti národní bezpečnosti. Nejsme politická organizace.