Interní whistleblower systém v tech firmách

Kybernetické hrozby nejsou jen technický problém, ale i právní riziko

Škody na reputaci, ztráta důvěry klientů a potenciální soudní spory jsou jen špičkou ledovce. Klíčovou roli v prevenci těchto katastrof hrají vaši vlastní lidé. 

Právě zaměstnanci – ať už jde o vývojáře, systémové administrátory, nebo pracovníky finančního oddělení – jsou často první, kdo si všimnou anomálií, bezpečnostních zranitelností nebo interních postupů, které otevírají dveře kybernetickým útokům.

Otázka tedy zní: jak vytvořit firemní kulturu a právně ukotvený proces, který tyto zaměstnance motivuje, aby své poznatky bezpečně a bez strachu z postihu nahlásili interně?

Zákon o ochraně oznamovatelů: Váš nový spojenec v kybernetické bezpečnosti

Odpovědí na tuto výzvu je zákon č. 171/2023 Sb., o ochraně oznamovatelů, který do českého právního řádu implementuje evropskou směrnici (EU) 2019/1937. 

Ačkoliv je často vnímán jako administrativní zátěž, pro technologické firmy představuje legislativně nařízený systém včasného varování. Tento zákon dává zaměstnancům právní ochranu, pokud se rozhodnou upozornit na protiprávní jednání, o kterém se dozvěděli v souvislosti s prací.

Pro technologický sektor je zásadní, že zákon výslovně pokrývá oznámení týkající se porušení předpisů v oblasti „ochrany osobních údajů, soukromí a bezpečnosti sítí elektronických komunikací a informačních systémů“.

Tím se interní oznamovací systém stává přímou součástí vaší strategie kybernetické bezpečnosti a compliance. Nejde o byrokracii, ale o efektivní nástroj, který legálně posiluje vaše zaměstnance, aby se stali prodlouženou rukou vašeho bezpečnostního týmu.

Kdo a co musí hlásit? Specifika pro technologický sektor

Povinnost zavést vnitřní oznamovací systém (VOS) se vztahuje na každého zaměstnavatele s 50 a více zaměstnanci. 

Ochrana se navíc nevztahuje pouze na kmenové zaměstnance, ale i na široký okruh spolupracujících osob, jako jsou dodavatelé (kontraktoři), stážisté nebo dokonce uchazeči o zaměstnání, což je pro IT sektor s vysokým podílem externistů klíčové.

Co konkrétně může být předmětem oznámení ve vaší firmě?

• Vývojář objeví kritickou zranitelnost ve veřejně dostupné aplikaci, ale management na jeho upozornění nereaguje z důvodu tlaku na dodržení termínů.
• IT administrátor ví, že společnost neimplementuje bezpečnostní opatření vyžadovaná smlouvou s klíčovým klientem nebo budoucí regulací NIS2.
• Projektový manažer zjistí, že se s daty zákazníků nakládá v rozporu s GDPR a interními směrnicemi o ochraně osobních údajů.
• Pracovník finančního oddělení si všimne podezřelých plateb neznámé firmě, které mohou naznačovat tiché placení výkupného v rámci ransomware útoku.

FAQ – Právní tipy k oznamovaným hrozbám

• Může zaměstnanec nahlásit jen podezření, nebo musí mít pevné důkazy?
  Zákon chrání oznamovatele, kteří mají „oprávněné důvody se domnívat“, že jejich informace jsou pravdivé. Nemusí předkládat nezvratné důkazy, ale nesmí jít o vědomě lživé oznámení. Pro posouzení vaší konkrétní situace nás kontaktujte na konzultace@arws.cz.
• Co když nahlášená zranitelnost ještě nebyla zneužita?
  Oznámení se může týkat protiprávního jednání, ke kterému „došlo nebo má dojít“. Nahlášení potenciální hrozby je přesně to, co zákon podporuje. Potřebujete právní pomoc s nastavením procesů? Spojte se s námi na office@arws.cz.

Jak správně nastavit interní oznamovací systém (VOS) pro hlášení kybernetických incidentů?

Funkční a důvěryhodný systém není jen o zřízení e-mailové schránky. Musí splňovat striktní zákonné požadavky, aby byl právně platný a efektivní.

Krok 1: Určení „příslušné osoby“

Zákon vyžaduje jmenování tzv. příslušné osoby, která je zodpovědná za příjem, posuzování a řešení oznámení.

Tato osoba musí být nestranná, důvěryhodná a odborně způsobilá. Jmenování interního zaměstnance, například IT ředitele, je extrémně rizikové. Pokud by oznámení směřovalo proti jeho oddělení, vzniká zjevný střet zájmů, který podkopává důvěru v celý systém.

Pověření externích právníků ARROWS rolí příslušné osoby zajišťuje absolutní nestrannost a profesionalitu, čímž se maximalizuje důvěra zaměstnanců v systém.

Krok 2: Zajištění bezpečných a dostupných kanálů

Musíte umožnit podání oznámení písemně (např. e-mailem, webovým formulářem), ústně (telefonicky) a na žádost i osobně.

V kontextu kybernetických hrozeb je naprosto zásadní, aby tyto kanály byly technicky zabezpečené, ideálně s koncovým šifrováním.

Naši právníci vám pomohou vyhotovit interní směrnice, které přesně definují fungování těchto kanálů a zajišťují soulad se zákonem i s GDPR. Pro okamžité řešení vaší situace nám napište na konzultace@arws.cz.

Krok 3: Dodržení striktních zákonných lhůt

Zákon stanoví jasné termíny: do 7 dnů musíte oznamovateli potvrdit přijetí oznámení a nejpozději do 30 dnů ho musíte informovat o výsledku šetření. 

Tuto lhůtu lze ve složitých případech dvakrát prodloužit o 30 dnů. V případě aktivní kybernetické hrozby je však nutné jednat okamžitě.

Krok 4: Ochrana identity a zákaz odvetných opatření

Totožnost oznamovatele je přísně důvěrná a přístup k ní smí mít pouze příslušná osoba. Jakékoli odvetné opatření je zakázáno. 

V technologické firmě to neznamená jen výpověď, ale i subtilnější kroky jako stažení z klíčového projektu, negativní hodnocení výkonu, nepovýšení nebo neprodloužení kontraktu.

Co hrozí, když systém nefunguje správně?

Nefunkční nebo pouze formálně zavedený VOS není jen porušením zákona. Je to signál zaměstnancům, že vedení nebere etiku a bezpečnost vážně, což vede k toxické firemní kultuře a odchodu klíčových talentů.

Kromě toho zákon stanovuje citelné finanční sankce. Za vědomě nepravdivé oznámení hrozí pokuta až 50 000 Kč samotnému oznamovateli, což chrání firmy před zneužitím systému. Pro firmy jsou však rizika mnohem vyšší.

Finanční a reputační rizika nefunkčního VOS

Správné nastavení interních procesů je klíčové nejen pro whistleblowing, ale i pro celkovou digitální odolnost. 

Více o našich službách v oblasti IT a softwarového práva, kyberbezpečnosti najdete na našem webu.

Mezinárodní přesah: Whistleblowing v globálních tech týmech

Mnoho technologických společností dnes funguje v mezinárodních týmech. Spoléhat se na jednotnou skupinovou whistleblowing politiku je však častou chybou. Takové systémy často nesplňují specifické a přísnější požadavky českého zákona, čímž se česká pobočka vystavuje plnému riziku sankcí.

Díky deset let budované síti ARROWS International prakticky denně řešíme případy s mezinárodním prvkem. 

Zajistíme, aby vaše globální postupy byly v souladu s českou legislativou a zároveň konzistentní s vaší mezinárodní firemní kulturou. Spojte se s námi na konzultace@arws.cz a získejte právní řešení na míru pro vaše mezinárodní týmy.

Whistleblowing a NIS2: Dva pilíře vaší digitální pevnosti

Povinnosti plynoucí ze zákona o ochraně oznamovatelů je třeba vnímat v kontextu nadcházející regulace – směrnice NIS2 a nového zákona o kybernetické bezpečnosti. 

NIS2 zavádí přísné požadavky na řízení rizik, povinné hlášení incidentů Národnímu úřadu pro kybernetickou a informační bezpečnost (NÚKIB) v řádu hodin a přímou odpovědnost managementu za selhání.

Funkční VOS je v tomto kontextu klíčovým nástrojem prevence. Umožňuje odhalit problém interně dříve, než přeroste v závažný incident, který byste museli povinně hlásit NÚKIB. 

Je to váš interní „záchranný systém“, který dává vedení šanci reagovat, než se spustí hodiny pro externí hlášení a hrozba milionových pokut.

Propojení VOS s legislativou NIS2

ARROWS: Váš partner pro bezpečný a funkční whistleblowing

V ARROWS poskytujeme komplexní řešení na klíč: od úvodní právní analýzy, přes vypracování interních směrnic a dokumentace, až po výkon funkce externí příslušné osoby a certifikovaná školení pro vaše zaměstnance i management. 

Naše zkušenosti se opírají o dlouhodobou péči o portfolio více než 150 akciových společností a 250 společností s ručením omezeným. Zakládáme si na rychlosti a vysoké kvalitě poskytovaných služeb.

Navíc chápeme, že právo a byznys jdou ruku v ruce. Proto umíme naše klienty propojovat, pokud identifikujeme zajímavé obchodní či investiční příležitosti.

Ať už potřebujete zavést zcela nový whistleblowing systém, nebo jen zkontrolovat ten stávající s ohledem na specifika kybernetických hrozeb, jsme tu pro vás. 

Neváhejte se obrátit na naši kancelář – konzultace@arws.cz – a domluvte si úvodní konzultaci.