Rumunský katastr IV: Dvě desetiny procenta

Sedm set deset milionů lei za dvacet let digitalizace. Z toho milion šest set tisíc na kybernetickou bezpečnost.

Dvě desetiny procenta.

To číslo nese celou tuhle sérii a doporučuji si u něj sednout. Není to škrt v krizi. Není to důsledek chudoby, protože ANCPI hospodaří s ročním rozpočtem 1,2 až 1,5 miliardy lei a je jedním z největších příjemců evropských dotací na digitalizaci v Rumunsku. Je to volba, opakovaná dvacet let po sobě, každý rozpočtový rok znovu.

Kam ty peníze šly

Šly na sběr, vektorizaci a digitalizaci geodetických a právních dat. Vlajkový projekt zápisu venkovských nemovitostí měl rozpočet 312,9 milionu eur. Program PNCCF rozděluje obcím stovky milionů lei ročně na systematickou registraci parcel. Migrace do vládního cloudu, do kterého se systém po útoku nouzově stěhoval, běží na kontraktu STS za 427 milionů lei z evropského plánu obnovy.

Dvacet let se budovala hodnota. Obranná architektura a správa přístupových oprávnění se přitom podle rumunských auditorů řešily jako druhořadý parametr.

Postavili trezor a nekoupili k němu zámek. Ne proto, že by na zámek nebyly peníze. Zámek prostě nebyl v projektu.

Dva zaměstnanci a národní význam

Firma, která podle veřejných zdrojů zajišťovala kybernetickou bezpečnost ANCPI, vykázala za rok 2025 dva zaměstnance, obrat 1 837 533 lei a čistý zisk 9 028 lei. Podle zadávací dokumentace poslední vyhrané zakázky bylo implementované řešení označeno za řešení národního významu. Smlouva zavazovala dodavatele k trvalé podpoře, technickým zásahům, ročnímu auditu a k reakci do dvou hodin u kritického incidentu.

Rámcové smlouvy z roků 2019 a 2023 měly dohromady hodnotu kolem 2,5 milionu lei. Poslední dílčí smlouva byla podepsána 30. dubna 2026, tedy pár týdnů před útokem.

Chci být v tomhle bodě velmi přesný, protože je to bod, kde se snadno křivdí. Nemám žádný důvod tvrdit, že ta firma odvedla špatnou práci. Dva lidé mohou být výborní. Otázka nemíří na dodavatele, míří na kupujícího.

Kdo posuzoval, jestli kapacita dvou lidí odpovídá závazku dvouhodinové reakce na kritický incident v systému, na kterém stojí realitní trh celé země? Existuje z toho posouzení dokument? A kdo ho podepsal?

Tohle není rumunská otázka. Tuhle otázku si můžete položit u kterékoli české zakázky na bezpečnostní podporu a odpověď bude nepříjemně často stejná: takové posouzení se nedělalo, protože ho nikdo nepožadoval.

Hardware se dá vyfotit

Když se podívám na strukturu bezpečnostních výdajů ve veřejné správě u nás i jinde ve střední Evropě, vidím jeden stabilní vzorec. Peníze tečou do železa.

Firewall, appliance, licence, servery pro zálohování. To všechno jsou položky, které mají katalogové číslo, dodací list, inventární štítek a odpisovou skupinu. Dají se ukázat kontrole. Dají se vyfotit na tiskovou zprávu o modernizaci. Dají se zaplatit z investiční dotace, což je často jediná dotace, která je zrovna k dispozici.

Bezpečnostní architekt, který ve čtvrtek odpoledne čte logy a v pátek napíše, že retence sedm minut nedává smysl, žádné inventární číslo nemá. Je to mzdový náklad, tedy provozní výdaj, tedy to, co se v každém rozpočtovém kole škrtá jako první. Nedá se vyfotit a nedá se odepsat.

Ta logika má ještě druhé patro, a to je nákup krabic. Existuje rozšířená představa, že čím víc bezpečnostních produktů organizace má, tím je zabezpečenější. Data loss prevention, firewall, antivirus, intrusion prevention. Všechno to zní dobře a všechno to leží vedle sebe bez souvislosti.

Antivirus, který vás v pátek večer upozorní, že možná máte problém, a pak čeká, až se rozhodnete, je požární hlásič bez hasičů. Do pondělního rána je z toho popel. To není chyba toho antiviru. Je to chyba představy, že hlásič je hasicí systém.

A tady se dostávám k tomu, co mě na celé věci štve nejvíc. V rozhovorech s vedením institucí i firem slyším bezpečnostní specialisty popisovat jako zátěž. Jako někoho, kdo brzdí, prodražuje a komplikuje projekty. Je to člověk, kterého si musíme vydržovat, protože to po nás někdo chce.

Ten postoj má svou vlastní logiku a ta logika stojí na jedné větě.

„Zatím se nic nestalo"

Tohle je podle mě nejnebezpečnější věta v manažerské češtině. Slyšel jsem ji v bankovnictví, v poradenství i ve veřejné správě, a vždycky zněla rozumně.

Popisuje minulost. Rozpočet se ovšem schvaluje na budoucnost.

Statisticky vzato je „zatím se nic nestalo" naprosto konzistentní se stavem, kdy se právě teď někdo pohybuje ve vaší síti a vy o tom nevíte, protože nemáte čím to zjistit. ANCPI mohla tutéž větu pravdivě říct 13. července večer. V té chvíli už byl útočník čtyři dny uvnitř a chystal se na vCenter.

Když jednou nastane to, co „se zatím nestalo", je pozdě na všechno kromě krizového řízení. Rumunsko se z toho dostávalo měsíc a pořád není hotové.

A tady je ta věta, kterou bych na místě finančního ředitele chtěl slyšet dřív než jakoukoli technickou prezentaci. Mădălin Dumitru ji v podcastu ZONA formuluje takhle: škoda z jediného úspěšného útoku dokáže pokrýt rozpočet dané organizace na kybernetickou bezpečnost navždy. Když říká navždy, počítá patnáct let.

Útok je vždycky přímý zásah do zisku, protože není naplánovaný ani rozpočtovaný. Peníze na obnovu, na nový hardware, na forenzní tým, na krizovou komunikaci a případně na výkupné se musí najít někde, kde už byly určené na něco jiného. K tomu se přičítá reputační škoda, kterou nikdo neumí vyčíslit a která je právě proto v rozpočtech neviditelná.

Globální škody z kyberkriminality mezitím překročily prognózu 10,5 bilionu dolarů, kterou Cybersecurity Ventures vydala v roce 2020 pro rok 2024. Je to zhruba polovina HDP Evropské unie.

Čtyři věci, které doporučuji udělat

Nejsou to novinky a právě to je na nich to podstatné.

Dumitru celý recept shrnuje do tří slov ve stanoveném pořadí: lidé, procesy, nástroje. Přesně v tomhle pořadí. Většina rozpočtů, které jsem kdy viděl, ho čte pozpátku.

Obsaďte to místo lidmi. Bezpečnost potřebuje jmenovitě odpovědné lidi s kapacitou, ne úvazek přilepený k někomu, kdo už dělá tři jiné věci. Pokud se vám nedaří nabírat, a ve veřejné správě se to nedaří skoro nikomu, jděte do outsourcingu. Externí tým není ideální. Je nesrovnatelně lepší než nic a je to poctivější řešení než prázdná kolonka v organizačním schématu.

Přestaňte předstírat. Nejdražší stav není nezabezpečená organizace. Je to organizace, která si myslí, že zabezpečená je, protože má koupený produkt a podepsanou smlouvu. Podívejte se na svůj stav otevřenýma očima, i když se vám ten pohled nebude líbit.

Nechte si udělat profesionální posouzení. Bez něj nevíte, co vlastně řešíte a co má přednost. Posouzení stavu je nejlevnější dokument v celém rozpočtu kybernetické bezpečnosti a je jediný, bez kterého jsou všechny ostatní výdaje střelbou naslepo. Kocev v tom bulharském rozhovoru říká totéž jinými slovy: než začnete něco chránit, musíte si odpovědět, co chráníte a kde to leží.

Zaveďte procesy a nástroj, který je drží. Politika uložená v PDF na sdíleném disku není proces. Proces je věc, která má vlastníka, lhůtu, důkaz o splnění a někoho, komu to spadne na stůl, když se to nesplní. Přesně tohle v Rumunsku chybělo, a přesně tohle vyžaduje NIS2 i nový český zákon o kybernetické bezpečnosti, včetně lhůt 24 a 72 hodin na hlášení incidentu a sankcí až do 10 milionů eur nebo 2 % globálního obratu.

K tomu ovšem patří varování, které si zaslouží vlastní odstavec, protože právě tady se v příštích dvanácti měsících utratí v Česku hodně peněz za nic. Soulad není bezpečnost. Můžete být stoprocentně v souladu a být přitom otevření dokořán. Zaškrtat kolonky, aby se rozsvítily zeleně, je nejdražší způsob, jak si koupit pocit. Rozdíl mezi tím a skutečnou prací je gap analýza, tedy poctivé zjištění, kde jste a kam se potřebujete dostat, a externí auditor, který to potvrdí. Zákon vyžaduje to první. Váš provoz potřebuje to druhé. Autor: Petar P. Stanchev, Ph.D., LL.D.