NIS2 a DORA
úschova zdrojových kódů jako nástroj řízení rizik

Podle evropské směrnice NIS2 (Network and Information Security Directive 2) je povinností organizací definovaných jako provozovatelé základních nebo důležitých služeb identifikovat, hodnotit a řídit rizika spojená s jejich informačními systémy a technologickými dodavateli a zajistit kontinuitu provozu i při selhání klíčových komponent nebo externích partnerů.

Úschova zdrojových kódů (software escrow) není pouze technickou rezervou – je to auditovatelný procesní prvek podložený smluvně definovanými mechanismy, který snižuje riziko dlouhodobého výpadku systémů a napomáhá naplnění požadavků NIS2 a souvisejících regulatorních rámců jako je DORA (Digital Operational Resilience Act). 

Proč je úschova zdrojových kódů relevantní pro NIS2

  • Směrnice NIS2 ukládá organizacím povinnost řídit rizika dodavatelského řetězce a zajistit, že klíčové informační systémy jsou odolné vůči selháním třetích stran.

  • Organizace musí prokazatelně zajišťovat kontinuitu poskytovaných služeb i při nepředvídaných situacích, včetně nedostupnosti dodavatele software.

  • Klíčové je mít k dispozici mechanismus, který umožní objednateli přístup k materiálům potřebným k údržbě a obnově software i v případě, že dodavatel není schopen plnit své povinnosti.

  • Úschova zdrojových kódů umožňuje vytvořit důkaz o existenci a kontrolovatelnosti tohoto mechanismu při regulačních kontrolách a auditech.

  • Díky tomu lze v rámci procesu compliance doložit aktivní a měřitelné řízení technologického rizika, nikoli pouze formální politiku.

Jak úschova zdrojových kódů funguje v rámci NIS2 / DORA

1. Řízení rizik dodavatelského řetězce

Když klíčový software závisí na externím dodavateli, riziko jeho selhání nebo ukončení podpory může ohrozit provozní kontinuitu.
Úschova zdrojových kódů a souvisejících materiálů poskytuje právně a procesně ošetřený plán B, čímž napomáhá plnění požadavků na supply chain risk management.

2. Podpora kontinuity provozu

NIS2 klade důraz na to, aby organizace byly schopny obnovit a udržovat fungování služeb i po incidentu nebo výpadku dodavatele.
Dostupnost kódu a technických podkladů umožňuje nasazení, správu a další vývoj aplikací nezávisle na původním výrobci.

3. Auditovatelné řízení a dokumentace

Úschova kódu je provázána s jasně definovanými procesy a smluvními mechanizmy – od identifikace rizik přes pravidelné aktualizace až po scénáře uvolnění.
To poskytuje měřitelný a ověřitelný dokumentační materiál, který můžete předložit při auditech, interních i externích kontrolách.

4. Posílení resilience ve vztahu k DORA

I když je DORA specificky zaměřena na finanční sektor, její požadavky na digitální operační odolnost doplňují NIS2 a ve vzájemné součinnosti vyžadují robustní přístupy k cyber resilience a kontinuitě. Úschova zdrojových kódů je kompatibilní s těmito principy. 

5. Doložení přístupu k technické soběstačnosti

Prokazatelná schopnost obnovy a správy vlastních informačních systémů bez závislosti na jednom dodavateli je silným signálem technické a procesní nezávislosti, kterou očekávají regulátoři i interní správní rámce zabezpečení.

Úschova jako součást compliance strategie

Úschova zdrojových kódů sama o sobě nezaručí úplnou kybernetickou bezpečnost, ale představuje konkrétní a prokazatelnou součást širší strategie řízení rizik a kontinuity provozu.
V kontextu NIS2 a DORA slouží jako strategický stavební blok, který doplňuje technické, organizační i procesní požadavky kladené na organizace v EU.

Souhrnný benefit pro organizace

  • Zajištění dostupnosti klíčových komponent software i při selhání dodavatele

  • Zvýšení odolnosti vůči provozním incidentům a technologickým výpadkům

  • Auditovatelná dokumentace řízení rizik dodavatelů

  • Podpora kontinuity služeb v souladu s regulačními požadavky

  • Posílení pozice při auditech, certifikacích i administrativních kontrolách

Poptat řešení
Přejít nahoru