ENISA vydala NIS360 implikace pro scénáře kybernetických rizik ve finančním sektoru

Evropská agentura pro kybernetickou bezpečnost (ENISA) publikovala v květnu 2026 zprávu NIS360: Přehled kybernetické vyspělosti sektorů s vysokou kritičností podle směrnice NIS2, která poskytuje komplexní pohled na úroveň kybernetické vyspělosti a kritičnosti klíčových sektorů v Evropské unii.

Zpráva potvrzuje, že finanční sektor patří mezi nejvyspělejší i nejkritičtější, což znamená vysokou úroveň zabezpečení, ale současně také vysokou expozici vůči kybernetickým hrozbám a systémovým selháním.

Pro účely moderního řízení rizik (FAIR, ISO 27005, NIST, ISACA) je nutné tyto závěry převést na konkrétní a kvantifikovatelné scénáře kybernetických rizik.

Kvantifikovatelné scénáře kybernetických rizik (FAIR-ready) pro finanční sektor

• Výpadek poskytovatele cloudových služeb způsobující nedostupnost bankovních služeb
  Selhání regionu nebo služby hyperscale cloudového poskytovatele vede k nedostupnosti souvisejících (navázaných) bankovních systémů, což způsobuje ztrátu příjmů, smluvní a regulatorní sankce a reputační škody.
• Neoprávněný přístup do cloudového prostředí vedoucí k úniku dat
  Útočník zneužije slabiny v řízení (cloudových) identit a přístupů nebo konfiguraci cloudového prostředí a získá přístup k datům klientů, což vede k smluvním a regulatorním sankcím a ztrátě důvěry zákazníků.
• Ransomware útok vedoucí k nedostupnosti kritických bankovních systémů
  Útočník získá přístup do prostředí banky, získá přístup k datům klientů a nasadí ransomware na klíčové systémy, což vede k výpadku služeb, k smluvním a regulatorním sankcím, reputační škodě a případně přímým finančním ztrátám.
• DDoS útok narušující dostupnost digitálních kanálů
  Útočník cíleně zahlcuje online bankovnictví nebo API rozhraní, což vede ke zpomalení nebo nedostupnosti služeb a následné ztrátě transakcí, očekávaných příjmů a reputace.
• Manipulace platebních transakcí vedoucí k přímé finanční ztrátě
  Útočník kompromituje zpracování plateb nebo autentizační mechanismy, upravuje nebo přesměrovává transakce a způsobuje přímé finanční škody a reputační škody.
• Dlouhodobý neoprávněný přístup vedoucí k postupné exfiltraci dat
  Pokročilý útočník si udržuje přístup v systému a postupně získává citlivá data, což vede k přímým finančním škodám a regulatorním a reputačním dopadům.
• Zneužití API vedoucí k neoprávněnému zpřístupnění dat klientů
  Útočník využije zranitelnost v bankovním API nebo integraci a získá přístup ke klientským nebo transakčním datům, což vede k úniku dat a právním důsledkům.
• Zneužití interního přístupu vedoucí k neoprávněné manipulaci s daty
  Interní uživatel s privilegovaným přístupem zneužije své oprávnění k získání nebo manipulaci citlivých dat, což vede k přímým finančním a reputačním škodám.
• Výpadek telekomunikačních služeb způsobující nedostupnost bankovních služeb
  Selhání telekomunikačního poskytovatele vede ke ztrátě konektivity, což způsobuje nedostupnost bankovních služeb a ztrátu příjmů, smluvní a regulatorní sankce a reputační škody.
• Výpadek datového centra vedoucí k narušení bankovních operací
  Selhání infrastruktury datového centra vede k nedostupnosti souvisejících (navázaných) bankovních systémů, což způsobuje ztrátu příjmů, smluvní a regulatorní sankce a reputační škody.

Závěr

NIS360 poskytuje kontext pro řízení kybernetických rizik, zatímco konkrétní scénáře rizik musí být vytvořeny na úrovni jednotlivé organizace. Správně definované scénáře musí být konkrétní, kvantifikovatelné a musí obsahovat jasně definované typy dopadů.

LITERATURA

EUROPEAN UNION AGENCY FOR CYBERSECURITY. NIS360: Cybersecurity maturity overview of NIS2 sectors of high criticality. Online. Luxembourg: Publications Office of the European Union, 2026. ISBN 978-92-9204-792-4. [cit. 2026-07-07]. Dostupné z: https://www.enisa.europa.eu/enisa-nis360-2026

Pokud se vám líbí naše články, tak zvažte podporu naši práce – Naskenujte QR kód a přispějte libovolnou částkou.

Děkujeme!