Zabezpečení obnovitelných zdrojů energie (OZE) před hackery se v době, kdy dochází k masivnímu budování nových elektráren, stává zásadním tématem zejména pro veřejné zadavatele. Jak se mohou lépe chránit a jak mají promítnout kyberbezpečnost do zadávacích řízení? Ve Frank Bold Advokáti víme, jak na to. Kybernetická bezpečnost OZE je klíčovou otázkou pro zajištění stability a bezpečnosti energetické infrastruktury a dodávky elektřiny. Technologie OZE, zejména solární panely a střídače, jsou dodávány včetně softwaru, který nemusí být dostatečně chráněn. Hackerské útoky na OZE proto mohou způsobit výpadky dodávek elektřiny s vážnými důsledky pro výrobce elektřiny i celý stát. Současná právní úprava však dostatečně neřeší specifika kybernetické bezpečnosti OZE u jejich drtivé většiny (do 100 MW).

Jak se jako veřejný zadavatel mohu lépe chránit?

Ačkoliv návrh nového zákon o kybernetické bezpečnosti má rozšířit okruh regulovaných subjektů, stále se povinnosti zajišťovat kybernetickou bezpečnost mají týkat pouze větších výrobců elektřiny z OZE – licencovaných výrobců, kteří jsou středním či velkým podnikem, případně disponují výrobnou o výkonu 50, respektive 100 MW a více. Velká část provozovatelů OZE tak stále nebude přímo regulována. 

Zadávání veřejných zakázek představuje nástroj pro nepřímou regulaci kybernetické bezpečnosti OZE. Zákon o zadávání veřejných zakázek umožňuje veřejným zadavatelům jako jsou obce, kraje či organizační složky státu požadovat zajištění kybernetické bezpečnosti OZE v rámci zadávacích podmínek. 

Samosprávy i státní organizace se tak mohou chránit před riziky kybernetických útoků. Tomu jde naproti i nové nařízení EU o technologiích s nulovými emisemi, které od veřejných zadavatelů přímo vyžaduje zohlednění kybernetické bezpečnosti u zakázek na OZE (pokud nezohlední např. sociální nebo zaměstnanecké aspekty, tj. i požadavku v nařízení se lze vyhnout).

Jak promítnout kyberbezpečnost do zadávacího řízení?

Současný zákon o zadávání veřejných zakázek přímo s kyberbezpečností nepracuje. Obsahuje však některá ustanovení, která mohou být využitelná k dosažení vyššího zabezpečení OZE. Požadavky na kyberbezpečnost OZE může zadavatel veřejné zakázky zohlednit v rámci podmínek účasti dodavatelů v zadávacím řízení. Využít může zejména:

• kvalifikační podmínky – tedy způsobilost a schopnost dodavatele plnit veřejnou zakázku (např. profesní způsobilost, technická kvalifikace)
• technické podmínky – technické požadavky lze vymezit jak pozitivně (tedy požadovat při plnění veřejné zakázky, např. realizaci výrobny OZE, použití určitých technologií či odkazem na technické normy), tak negativně (tedy zákazem použití určitých komponent, např. takových, u kterých nelze zajistit kyberbezpečnost)
• obchodní nebo jiné smluvní podmínky – v rámci návrhu smlouvy na veřejnou zakázku (obvykle smlouvy o dílo)
• zvláštní podmínky plnění veřejné zakázky – zejména v oblasti vlivu předmětu veřejné zakázky na životní prostředí, sociálních důsledků vyplývajících z předmětu veřejné zakázky, hospodářské oblasti nebo inovací

Zadavatel přitom však musí dodržet zásadu přiměřenosti a zásadu rovného zacházení a nediskriminace. Pokud bude zadavatel veřejné zakázky např. stanovovat určité technické požadavky (viz výše), musí být schopen odůvodnit, proč a na základě čeho je stanovil.

Připravujete projekt OZE a chcete být více chráněni před kybernetickými hrozbami?

Poradíme vám, jak zohlednit kyberbezpečnost v rámci zadávacího řízení nebo pomůžeme s nastavením celé veřejné zakázky.

Obraťte se na nás.

Autor : Jan Bakule