Ochrana štátnych systémov, kritickej infraštruktúry a utajovaných informácií musí byť zaistená, aj keď príde ku geopolitickému konfliktu, sankciám alebo prerušeniu dodávateľských vzťahov.
Pre všetky európske štáty má otázka nezávislých kyberbezpečnostných technológií najvyššiu strategickú naliehavosť. Keď sa začala kauza „ruských radarov“, pojem digitálna suverenita nadobudol na Slovensku konkrétne obrysy.
Ak sú totiž základné bezpečnostné vrstvy kontrolované subjektmi mimo EÚ, vzniká závislosť od mimoeurópskej legislatívy, vlastníkov zdrojového kódu a kryptografických technológií, dodávateľských rozhodnutí a geopolitických rozhodnutí iných štátov a zoskupení.
EÚ je silná v bezpečnostnej regulácii, ale zaostáva vo vlastníctve technológií
Európa vytvorila rozsiahly regulačný rámec – NIS2, DORA, Cyber Resilience Act, Cybersecurity Act či Cyber Solidarity Act. Veľká časť technológií, pomocou ktorých sa tieto povinnosti plnia, však pochádza od mimoeurópskych výrobcov.
Aby dodávateľ preukázal reálny európsky pôvod, nestačí iba sídlo distribútora v EÚ, ale vyžaduje sa doložený pôvod hardvéru, firmvéru, zdrojového kódu a kľúčových komponentov.
Lebo dnešné rozhodnutia sú zásadné
V nasledujúcich rokoch budú členské štáty EÚ modernizovať obrannú a policajnú komunikáciu aj cloudové prostredia verejnej správy. Nevyhnutná modernizácia čaká energetické a dopravné riadenie a nové štandardy pre prepojené senzory a edge zariadenia.
S rozmachom AI aplikácií sa zvyšujú nároky na hraničné a biometrické systémy a verifikáciu digitálnej identity. Ochrana AI infraštruktúry je samostatná významná kapitola a k nej sa pridáva aj prechod na postkvantovú kryptografiu.
Technológie implementované v súčasnosti budú v prevádzke 10 až 20 rokov. Budú si vyžadovať pravidelné aktualizácie a ich výmena bude čoraz drahšia.
Európske kyberbezpečnostné firmy
Ochrana citlivých informácií, priemyselná bezpečnosť, šifrovaná komunikácia pre vlády, EÚ a NATO je vyhranená a špecializovaná oblasť, kde sa vysoko hodnotia skúsenosti a referencie.
V kontexte technologickej suverenity, bezpečnostných orgánov a ochrany citlivých systémov sa etabloval okruh výrobcov predovšetkým z Francúzska, Nemecka, Talianska, Švédska aj Slovenska. Patria sem napríklad Thales, secunet Security Networks, Rohde & Schwarz Cybersecurity, Leonardo, Sectra Communications, Advenica, Stormshield a ESET.
Úplná technologická sebestačnosť EÚ nie je realistická a ani možná. Kyberbezpečnosť je globálny ekosystém a európske organizácie budú naďalej používať americké, izraelské, japonské či ďalšie technológie.
Väčšina integrátorov v Európe stavia svoje riešenia najmä na amerických a izraelských technológiách. Aj integrátori na Slovensku majú v portfóliu európske bezpečnostné technológie, ale ich zastúpenie je minoritné alebo nevyvážené.
Nie, ešte sa to nekončí
Kauza radarov nás upozorňuje, že preveriť jedno zariadenie nestačí. Bezpečnosť vzniká až prepojením koncového senzora, komunikačnej siete, kryptografickej ochrany, systému správy zariadení, centrálnej bezpečnostnej autority, identity používateľov, aktualizačného mechanizmu a monitorovania a reakcie na incidenty.
Bezpečnostná architektúra musí vzniknúť už pri návrhu systému. Ochrana sa nemá pridávať až po obstaraní a inštalácii technológie.
Napríklad bezpečnostná architektúra, ktorá sa stala štandardom pre spracovanie a prenos utajovaných informácií, vznikla už pred viac ako dvadsiatimi rokmi. Nemecký producent secunet vybudoval architektúru SINA ako ekosystém bezpečných klientov, kryptografických brán, komunikačných riešení, riadenia identít a infraštruktúry.
Strategické bezpečnostné minimum
Security by design je bezpečnosť zabudovaná od návrhu produktu. Zodpovednosť počas životného cyklu znamená, že je jasne určený výrobca, kontaktné miesto pre hlásenie zraniteľností, garantované aktualizácie, podpora a pravidlá ukončenia životnosti produktu.
Zraniteľnosť produktu, kompromitovaná aktualizácia alebo nepreverený subdodávateľ môžu zasiahnuť tisíce organizácií naraz, a preto už nestačí preverovať iba technické parametre koncového zariadenia.
Každý odberateľ preto musí dostať možnosť nezávisle preveriť softvér, komunikáciu, aktualizačný mechanizmus a komponenty.
V bezpečnosti nemôže existovať produkt bez certifikácie
Certifikácia zabezpečuje, že príslušný hardvér či softvér naozaj spĺňajú požiadavky, ktoré deklaruje výrobca, a že jeho implementácia nevykazuje známe zraniteľnosti alebo chyby, ktoré by mohli byť zneužité útočníkom.
„Certifikácia je proces, v rámci ktorého dochádza v renomovaných organizáciách a akreditovaných laboratóriách k dôkladnému overeniu bezpečnostných vlastností zariadení na základe štandardizovaných metodík a kritérií,“ vysvetľuje Bibiána Magáthová, riaditeľka divízie ALISON Slovakia.
Význam nezávislej certifikácie spočíva predovšetkým v budovaní dôvery. Používateľ, ktorý sa rozhodne nasadiť certifikovaný produkt, má istotu, že jeho bezpečnostné vlastnosti boli overené podľa transparentných a overiteľných postupov.
Aké odpovede potrebujete vedieť pred nákupom kritickej technológie?
Štáty a kritická infraštruktúra budú musieť pred nákupom kritickej technológie veľmi presne poznať odpoveď na otázky, ktoré overia skutočného producenta, autorské práva, dodávateľský reťazec aj riešenie krízových situácií.
Akt o kybernetickej odolnosti – Cyber Resilience Act zavádza pre hardvér a softvér požiadavky na bezpečnosť počas celého životného cyklu, správu zraniteľností a transparentnosť výrobcu. Keďže je to nariadenie EÚ, je priamo uplatniteľné vo všetkých členských štátoch a aktuálne požiadavky CRA platia od 11. septembra 2026.