Nevíte, jestli se vás týká NIS2 a AI Act?
Zjistíme to a připravíme vás

Nová pravidla dopadají na mnohem širší okruh odvětví než dříve – od výroby a dopravy až po potravinářství. Pokud máte více než 50 zaměstnanců nebo obrat nad 10 mil. EUR a působíte v regulovaném sektoru, pravděpodobně pod zákon spadáte. Pomůžeme vám to přesně určit.

Kromě rizika pokut se vystavujete nebezpečí, že nasadíte systémy, které budou později zakázané nebo budou vyžadovat nákladné úpravy. Správné nastavení pravidel pro AI hned na začátku vám ušetří náklady v budoucnu.

Vůbec ne. Díváme se na podnik jako na celek. Hodnotíme digitální zralost vašich výrobních procesů, logistiky i práce s lidmi. Cílem je najít místa, kde technologie skutečně vydělají peníze nebo ušetří čas.

Nová legislativa (a český zákon o kybernetické bezpečnosti) míří přímo na vrcholové vedení. Odpovědnost už nelze delegovat pouze na IT oddělení nebo externího správce. Statutární orgány mají povinnost se v oblasti kybernetické bezpečnosti vzdělávat a dohlížet na implementaci opatření. V případě hrubého zanedbání hrozí vedoucím pracovníkům i dočasný zákaz výkonu funkce.

Z pohledu bezpečnosti a AI Actu je to vysoce rizikové. Bezplatné verze (např. standardní ChatGPT bez Enterprise licence) mohou využívat vložená data k dalšímu trénování modelu. Pokud tam váš zaměstnanec vloží citlivá data, obchodní tajemství nebo osobní údaje klientů, stávají se součástí veřejného cloudu. Pomůžeme vám nastavit bezpečné systémy a postupy, které vaše know-how uzamkne uvnitř firmy.

Ně netně. NIS2 není o nákupu nejdražších technologií, ale o nastavení procesů a rozumném řízení rizik. Často stačí správně nakonfigurovat stávající systémy, zavést dvoufázové ověřování (MFA), lépe řídit přístupová práva a pravidelně školit lidi. Náš audit identifikuje, co je skutečně nutné upravit a co funguje dobře.

Přímo. Čím je firma digitálně vyspělejší (využívá cloud, IoT ve výrobě, automatizaci), tím větší plochu pro potenciální útok nabízí. Digitální audit zralosti vám neukáže jen to, jak inovovat, ale také jak tyto inovace postavit na bezpečných základech (tzv. security-by-design). Bezpečnost nesmí být „přilepena“ nakonec, musí být součástí každého nového digitálního procesu.

Podle NIS2 odpovídáte i za to, jak jsou zabezpečeni vaši klíčoví dodavatelé. Pokud hacker napadne vašeho dodavatele IT služeb nebo účetního softwaru, může se skrze ně dostat k vám. Pomůžeme vám nastavit kontrolní mechanismy a smluvní podmínky tak, aby vaši partneři nebyli nejslabším článkem vaší vlastní bezpečnosti.

AI Act je nařízení EU, které reguluje vývoj a používání AI. I když některé povinnosti nabíhají postupně, je klíčové mít už nyní nastavená pravidla (AI Governance). Pokud nyní nasazujete nové systémy bez ohledu na AI Act, riskujete, že je za rok budete muset nákladně předělávat nebo vypnout.

Toto je jedna z nejčastějších obav. Řešíme to nastavením procesů, firemními licencemi nebo využitím API rozhraní s lokálními modely, kde vaše data nebudou použita k dalšímu trénování. Součástí našich služeb je i nastavení interní politiky bezpečného používání AI.

AI Act zavádí povinnost „AI gramotnosti“ pro všechny organizace, které AI používají. Pokud nyní zavedete procesy bez ohledu na tuto legislativu, vystavujete se riziku, že vaše řešení bude zpětně prohlášeno za nevyhovující. Pomůžeme vám nastavit etický a právní rámec hned na začátku, což je mnohem levnější než pozdější náprava chyb a hrozba vysokých sankcí.

Podle textu už ne. Generativní AI píše bez chyb, umí váš žargon i podpis kolegy a zvládne i hlasovou nahrávku. Spolehněte se proto na proces, ne na dojem: potvrzování změn bankovních údajů druhým kanálem, dvoufaktorové přihlášení a pravidlo, že nikdo neposílá peníze ani hesla na základě e-mailu nebo telefonátu. Do školení proto přidáváme ukázky útoků vyrobených AI.

Seznam schválených nástrojů, jasné vymezení dat, která se do nich nesmí vkládat (osobní údaje, smlouvy, zdrojový kód, know-how), pravidlo pro kontrolu výstupů člověkem a odpovědnou osobu, na kterou se lidé obrátí. K tomu poučení zaměstnanců a evidence, kdo a kdy školení prošel. Směrnici píšeme na jednu až dvě stránky, aby ji lidé opravdu použili.

U menší firmy dva až tři týdny, u výroby s více lokalitami déle. Potřebujeme přístup k přehledu systémů, dodavatelů a přístupových práv a pár hodin času vašeho IT. Výstupem je písemný přehled slabých míst, dopad NIS2 a AI Actu a priority podle dopadu a nákladů. Součástí je i to, jaké AI nástroje se ve firmě už používají.

Minimálně dvakrát ročně a vždy po větší změně systémů. Netestuje se jen to, že záloha existuje, ale že z ní obnovíte provoz v čase, který firma ekonomicky ustojí. Test má mít zápis, kdo ho dělal a jak dlouho obnova trvala. Stejně přistupujeme k datům a modelům, na kterých běží AI nástroje ve firmě.

Doporučujeme to, i kdyby to legislativa nežádala. Bez seznamu nevíte, kam odcházejí firemní data a co si o vaší firmě ukládá cizí služba. Evidence bývá jednoduchá tabulka: nástroj, účel, kdo ho používá, jaká data do něj jdou a kdo za něj odpovídá. Pomáhá při bezpečnostních dotaznících od odběratelů i při plnění povinností AI Actu.

Ano, pokud data nesmí opustit firmu. Open-source model umíme nasadit na váš server nebo do privátního cloudu a dotrénovat na vašich dokumentech. Data pak zůstávají u vás a řešíte hlavně přístupová práva a zálohy. Pro většinu firem je ale rychlejší začít cloudovou službou s nastavenými pravidly a k lokálnímu provozu jít, až když má měřitelný důvod.

Odpojit zasažené systémy, nevypínat je (kvůli důkazům), svolat předem určené role, zajistit zálohy mimo síť a začít psát časovou osu. Pak řešit hlášení a komunikaci s partnery. Tohle se nedá vymýšlet za provozu, proto postup, kontakty a role připravujeme dopředu a nacvičujeme. AI nástroje během incidentu odpojujeme také, dokud nevíte, co k nim mělo přístup.

Ano. Menší modely, zejména u počítačového vidění a detekce anomálií, běží na edge zařízení přímo u linky. Výhodou je nízká odezva, provoz nezávislý na síti a fakt, že data neopouštějí halu. Do centrály se pak posílají jen výsledky a metriky, ne surové snímky.

Agent dostává jen ta oprávnění, která k úloze potřebuje, a přistupuje k datům přes rozhraní s omezeným rozsahem. Každý krok se loguje, takže je zpětně dohledatelné, co agent četl a co zapsal. U citlivých kroků zůstává schválení na člověku. Tohle nastavujeme společně s vaším IT a promítáme do interní směrnice.