Jak propojit NIS2 roadmapu, investiční plán a dotační financování

Roadmapa jako vstup do investičního plánu

Bezpečnostní roadmapa po zmapování rizik obsahuje konkrétní opatření s přibližnou náročností a pořadím. Právě tato dokumentace by měla být vstupem do investičního plánu firmy, ne samostatný dokument, který žije vedle rozpočtu. Prakticky to znamená, že každé opatření v roadmapě má přiřazenou hrubou cenu, kategorii (provoz vs. investice) a předpokládané období realizace. Vedení firmy pak rozhoduje o tom, co financovat z vlastních prostředků a co zkusit financovat z dotací, na základě jednoho plánu, ne tří nekoordinovaných seznamů.

Která opatření jsou investičně náročná

Zkušenost ukazuje, že opatření se dělí do dvou skupin. První skupina stojí hlavně práci a časa: revize procesů, nastavení politik, školení, vyhodnocení rizik, drobné konfigurační změny. Ta se dotačně financují obtížně a obvykle je řeší vlastní síly nebo běžný provoz. Druhá skupina má výraznou pořizovací složku: segmentace sítě, nové bezpečnostní nástroje, zálohovací infrastruktura, aktualizace řídicích systémů, monitorovací řešení, nebo externí služby s jasně vymezeným výstupem. Právě tato skupina je typickým kandidátem na dotační podporu, pokud odpovídá podmínkám dané výzvy.

Načasování: dotační výzvy a fáze roadmapy

Dotace mají svůj cyklus: výzva je otevřená v určitém období, podání přihlášky trvá týdny až měsíce a realizace musí proběhnout v harmonogramu projektu. Když firma vystaví investiční plán bez ohledu na tento cyklus, riskuje dvě chyby. První je realizace opatření z vlastních prostředků těsně před otevřením výzvy, kdy už náklady nejsou způsobilé. Druhá je čekání na dotace u opatření, která je potřeba udělat dřív, například z důvodu zákonné povinnosti. Rozumný postup je mapovat klíčové výzvy na fáze roadmapy: co se realizuje bez ohledu na dotace, co se posune tak, aby spadlo do období způsobilých nákladů, a co se rozdělí.

Co dotace realisticky kryjí

Dotace zpravidla neplatí celou cenu: je potřeba počítat se spoluúčastí, s tím, že některé náklady způsobilé nejsou, a s administrativní zátěží projektu. Typicky se kryjí pořízení technologií, implementace, případněExterní expertíza v definovaném rozsahu. Vždy je ale nutné ověřit konkrétní podmínky výzvy: způsobilé náklady, způsobilé období, cílovou skupinu žadatelů a to, zda kybernetická bezpečnost je v dané výzvě podporována jako samostatný cíl, nebo jen jako součást širší investice. Doporučení zní: dotační možnost řešit jako součást plánování opatření, ne jako zvláštní projekt, který se spustí, až bude výzva oznámena.

Konzistentní dokumentace mezi compliance a dotacemi

Firma, která řeší NIS2 a zároveň žádá o dotace, obvykle popisuje to samé dvakrát: jednou v dokumentech pro compliance, podruhé v přihlášce. Když se obě linie plánují odděleně, vznikají rozpory: jiná priority, jiné termíny, jiná rozdělení odpovědností. Praktické řešení je mít jeden plán opatření, ze kterého se odvozují dokumenty pro compliance i pro žadatele: stejné pojmy, stejné fáze, stejné odpovědnosti. To nejen ušetří práci, ale hlavně vyloučí situaci, kdy jedna dokumentace slibuje něco jiného než ta druhá.

1. 1Vezměte schválenou roadmapu a doplňte u každého opatření hrubou cenu, kategorii nákladů a plánované období.
2. 2Rozdělte opatření na provozní (řešitelné bez investice) a investiční.
3. 3Zmapujte relevantní dotační výzvy a jejich časový harmonogram.
4. 4Přiřaďte investiční opatření k výzvám nebo k vlastním prostředkům a upravte jejich fáze tak, aby odpovídaly způsobilému období.
5. 5Ujistěte se, že dokumentace pro compliance a přihláška popisují stejné opatření stejným způsobem.
6. 6Jednou za rok plán revidujte podle stavu realizace a nových výzev.

• Neřešte dotace až ve chvíli, kdy je opatření nutné realizovat: v tu chvíli bývá pozdě.
• Nečekejte, že dotace zaplatí vše: počítejte se spoluúčastí a nezpůsobilými náklady.
• Provede jednoho člověka nebo tým, který sleduje jak compliance, tak dotace, aby dokumentace nekolidovala.
• Opatření vyplývající z povinností neodsouvejte kvůli čekání na výzvu.