The Cyber Security Act and its impacts on obliged entities

Práce zkoumá zákon č. 181/2014 Sb., o kybernetické bezpečnosti (dále "ZKB") a jeho dopady na povinné subjekty se zaměřením na krajské úřady České republiky. Obsahuje nejprve uvedení do problematiky ZKB a kybernetické bezpečnosti z hlediska státu, z této úrovně se pak přenáší na úroveň organizace. Stěžejním pilířem a přínosem práce je rozbor ZKB s cílem zjištění dopadů tohoto zákona na povinné subjekty a následně na základě tohoto rozboru navrhnout a provést dotazníkový průzkum dopadů ZKB na krajských úřadech ČR. Průzkum se týká organizace a řízení bezpečnosti, zátěže organizace vzniklé v souvislosti se ZKB, ochoty využití finančních prostředků z fondů IROP na opatření ze ZKB, outsourcingu kybernetické bezpečnosti a také názoru pracovníků na tuto legislativu. Z průzkumu kromě jiného vyplývá, že dotazované krajské úřady, navzdory standardizačnímu tlaku pramenícímu z legislativy, se z hlediska organizace bezpečnosti velmi liší; respondenti se naopak shodli na tom, že zákon o kybernetické bezpečnosti sice znamená pro organizaci významnou administrativní a finanční zátěž, ale také že je dobrým krokem k zajištění lepší bezpečnosti informačních a komunikačních systémů. Z průzkumu také vyplývá, že oblast kybernetické bezpečnosti se na některých úřadech teprve začíná řešit. Tato oblast je nyní ve zkoumaných organizacích velmi dynamická a analýzu dopadů bude vhodné opakovat znovu poté, kdy proběhne první vlna implementace zákona.The thesis looks into the act No. 181/2014 Coll. Cyber Security Act (hereinafter referred to as "CSA") and its impact on obliged entities with focus on the regional authorities of the Czech Republic. The thesis starts with introduction into the issue of the CSA and cybersecurity from the point of view of the state, subsequently it refocuses on the level of regulated organizations. The main pillar and contribution of the thesis is the CSA analysis with the aim to identify impact of the CSA in the obliged entities. Based on this analysis author designed the questionnaire survey of the CSA impact on the regional authorities. The survey relates to information security management system, kinds of burden stemmed from the CSA implementation, willingness to use funding from the European Regional Development Fund (ERDF) to implement the CSA, a possibility to outsource the cybersecurity and also opinions of the county council staff about the CSA. The survey shows that in spite of a pressure on standardization stemming from legal framework, county councils differs significantly in regard to information security management systems. On the other hand, respondents agreed on positive impact of the CSA on improvement of information and the cyber security although the CSA brings significant financial and organizational load to the organization. The survey also shows that some regional authorities only start to implement cybersecurity currently. The cybersecurity evolves in the researched organization quite dynamically and it would be beneficial to repeat the impact analyses again, after first wave of the CSA implementation will be finished