Co se mění pro provozovatele kritické infrastruktury

1. Vládní detekční nástroje se rozšíří napříč síťovými segmenty

Provozovatelé CII budou spolupracovat se singapurskou Agenturou pro kybernetickou bezpečnost (CSA) na nasazení lokálně vyvinutých systémů pro detekci hrozeb v relevantních částech svých sítí. Cílem je zlepšit viditelnost a odhalovat škodlivou aktivitu nejen v oficiálně označeném systému CII, ale také v navazujících částech provozního prostředí.

Důvod je praktický: útočníci mohou jako vstupní bod využít méně chráněné systémy a následně se přes ně dostat ke kritickým službám. Singapur upozorňuje, že právě proto se aktéři stále častěji zaměřují na systémy, které formálně nespadají pod CII.

2. Kybernetická bezpečnost se stává povinností celé správní rady

Nový přístup přesouvá odpovědnost za kybernetická rizika mimo samotné IT oddělení nebo jediného pověřeného manažera. Dohled nad kybernetickými riziky a obnovou provozu má mít celá správní rada i vrcholový management.

Správní rady budou muset udržovat zdokumentovaný rámec kybernetické odolnosti, který zahrnuje:

• míru kybernetického rizika, kterou je organizace ochotna přijmout;
• opatření ke zmírnění a řízení těchto rizik;
• případné mechanismy přenosu rizika; a
• priority a kapacity pro obnovu provozu.

Rámec se musí přezkoumávat nejméně jednou ročně.

Kybernetická odolnost se tím mění z jednorázového úkolu pro účely auditu na pravidelnou povinnost vedení. Ředitelé budou muset jasněji rozhodovat, jak velké riziko organizace přijme a jak bude pokračovat v provozu po závažném incidentu.

3. Dohled se rozšíří na propojené systémy

Vlastníci CII budou muset sledovat systémy, které se ke kritické infrastruktuře připojují, komunikují s ní nebo ji podporují. Aktualizovaná pravidla zároveň požadují robustnější síťovou architekturu, lepší správu monitoringu a detekce a komplexní plány kybernetických cvičení pro koordinovanou reakci na incidenty.

V praxi to znamená, že provozovatelé budou potřebovat přesnější mapu všech svých závislostí. Systém mimo formální označení CII může vyžadovat zvýšenou kontrolu, pokud představuje cestu ke kritickým službám nebo může ovlivnit obnovu provozu po útoku.

4. Podpůrné systémy musí získat Cyber Trust Mark Level 5

Do konce roku 2027 budou muset vlastníci CII získat pro relevantní nekritické systémy, které kontrolují a které podporují jejich provoz či služby, certifikaci Cyber Trust Mark (CTM) Level 5. Požadavek tak přesahuje samotné systémy formálně označené jako kritická infrastruktura.

Level 5 je nejvyšší úroveň singapurského rámce Cyber Trust. Širší certifikační program pokrývá mimo jiné klasickou kybernetickou bezpečnost, cloud, provozní technologie a zabezpečení systémů využívajících umělou inteligenci.

Smyslem je zmenšit mezeru mezi silně chráněným systémem CII a okolní firemní infrastrukturou, která s ním může sdílet přihlašovací údaje, nástroje pro správu, síť nebo procesy obnovy.

Proč Singapur pravidla zpřísňuje

Umělá inteligence zkracuje čas na obranu

CSA uvádí, že aktualizovaný kodex má reagovat na pokročilé perzistentní hrozby (APT) a útoky podporované umělou inteligencí. AI může útočníkům pomoci jednat rychleji, ve větším měřítku a sofistikovaněji. Organizace proto musí podezřelou aktivitu odhalovat dříve a reagovat napříč celým prostředím, nikoli spoléhat jen na úzkou ochranu obvodu sítě.

Odpovědí proto není pouze další technický bezpečnostní prvek. Singapur kombinuje detekci, řízení rizik, certifikaci a pravidelná cvičení, aby provozovatelé dokázali hrozbu odhalit, rychle se rozhodnout a obnovit kritické služby, pokud prevence selže.

UNC3886 ukázala strategickou hodnotu telekomunikací

Kampaň skupiny UNC3886 v roce 2025 zasáhla všechny čtyři hlavní telekomunikační operátory v Singapuru. Země aktivitu popsala jako záměrnou, cílenou a dobře naplánovanou operaci aktéra s pokročilými schopnostmi.

CSA označuje UNC3886 za státem podporovanou skupinu APT. Ta používá sofistikované postupy včetně zneužívání legitimních nástrojů přítomných v napadeném prostředí a útoků typu zero-day a zaměřuje se na strategicky významná aktiva, jako je kritická infrastruktura.

Singapur reagoval operací CYBER GUARDIAN, na níž spolupracovaly státní instituce a telekomunikační společnosti. Úřady uvedly, že incident se podařilo zvládnout bez narušení telekomunikačních služeb a že nenašly důkazy o kompromitaci zákaznických dat.

To, že nebyl hlášen výpadek služeb, neznamená, že incident nemá význam pro další sektory. Ukázal, proč jsou telekomunikace, energetika, zdravotnictví, finance, doprava a další základní služby považovány za strategické cíle — a proč Singapur rozšiřuje kontrolu také na systémy a dodavatele, kteří kritickou infrastrukturu obklopují.

Cloud a dodavatelé představují další vrstvu ochrany

Singapur plánuje ve druhé polovině roku 2026 zavést samostatný právně závazný Kodex kybernetické bezpečnosti pro cloudové služby. Ten má upravit bezpečné nasazení, provoz a správu systémů CII hostovaných v cloudovém prostředí.

CSA spolupracovala s poskytovateli AWS, Google Cloud a Microsoft Azure na pokynech pro implementaci specifických pro jednotlivé platformy. Ty se zaměřují na vhodnou konfiguraci a využití bezpečnostních funkcí nativních pro cloud.

Certifikační termíny se dotknou také dodavatelského řetězce kybernetické bezpečnosti:

• auditoři CII musí do konce roku 2026 získat CTM Level 5;
• licencovaní poskytovatelé penetračního testování a služeb řízeného bezpečnostního operačního centra musí do konce roku 2026 získat CTM Level 3;
• vlastníci CII musí do konce roku 2027 získat CTM Level 5 pro relevantní podpůrné systémy.

Opatření vycházejí z širší zásady: bezpečnost kritického provozovatele nezávisí pouze na jeho vlastních kontrolách, ale také na organizacích, které jeho systémy auditují, monitorují, testují nebo hostují.

Co zatím zůstává otevřené

Aktualizované požadavky pro CII už CSA zveřejnila, podrobnosti samostatného kodexu pro cloudové služby se však stále připravují. Veřejné materiály uvádějí plánovaný termín a obecné zaměření, nikoli ještě přesné povinnosti cloudových poskytovatelů, subdodavatelů nebo pravidla rozdělení odpovědnosti mezi zákazníka a poskytovatele.

Bezprostřední prioritou provozovatelů CII proto bude prověřit celý řetězec závislostí: označenou kritickou infrastrukturu, propojené systémy, cloudové úlohy, prostředí pro obnovu, dodavatele i externě zajišťované bezpečnostní služby. Směr singapurské politiky je zřejmý, i když některé prováděcí detaily teprve přibudou: chráněnou hranicí už nemá být jen systém s nálepkou CII, ale celý provozní ekosystém.

Co se mění pro provozovatele kritické infrastruktury

1. Vládní detekční nástroje se rozšíří napříč síťovými segmenty

Provozovatelé CII budou spolupracovat se singapurskou Agenturou pro kybernetickou bezpečnost (CSA) na nasazení lokálně vyvinutých systémů pro detekci hrozeb v relevantních částech svých sítí. Cílem je zlepšit viditelnost a odhalovat škodlivou aktivitu nejen v oficiálně označeném systému CII, ale také v navazujících částech provozního prostředí.

Důvod je praktický: útočníci mohou jako vstupní bod využít méně chráněné systémy a následně se přes ně dostat ke kritickým službám. Singapur upozorňuje, že právě proto se aktéři stále častěji zaměřují na systémy, které formálně nespadají pod CII.

2. Kybernetická bezpečnost se stává povinností celé správní rady

Nový přístup přesouvá odpovědnost za kybernetická rizika mimo samotné IT oddělení nebo jediného pověřeného manažera. Dohled nad kybernetickými riziky a obnovou provozu má mít celá správní rada i vrcholový management.

Správní rady budou muset udržovat zdokumentovaný rámec kybernetické odolnosti, který zahrnuje:

• míru kybernetického rizika, kterou je organizace ochotna přijmout;
• opatření ke zmírnění a řízení těchto rizik;
• případné mechanismy přenosu rizika; a
• priority a kapacity pro obnovu provozu.

Rámec se musí přezkoumávat nejméně jednou ročně.

Kybernetická odolnost se tím mění z jednorázového úkolu pro účely auditu na pravidelnou povinnost vedení. Ředitelé budou muset jasněji rozhodovat, jak velké riziko organizace přijme a jak bude pokračovat v provozu po závažném incidentu.

3. Dohled se rozšíří na propojené systémy

Vlastníci CII budou muset sledovat systémy, které se ke kritické infrastruktuře připojují, komunikují s ní nebo ji podporují. Aktualizovaná pravidla zároveň požadují robustnější síťovou architekturu, lepší správu monitoringu a detekce a komplexní plány kybernetických cvičení pro koordinovanou reakci na incidenty.

V praxi to znamená, že provozovatelé budou potřebovat přesnější mapu všech svých závislostí. Systém mimo formální označení CII může vyžadovat zvýšenou kontrolu, pokud představuje cestu ke kritickým službám nebo může ovlivnit obnovu provozu po útoku.

4. Podpůrné systémy musí získat Cyber Trust Mark Level 5

Do konce roku 2027 budou muset vlastníci CII získat pro relevantní nekritické systémy, které kontrolují a které podporují jejich provoz či služby, certifikaci Cyber Trust Mark (CTM) Level 5. Požadavek tak přesahuje samotné systémy formálně označené jako kritická infrastruktura.

Level 5 je nejvyšší úroveň singapurského rámce Cyber Trust. Širší certifikační program pokrývá mimo jiné klasickou kybernetickou bezpečnost, cloud, provozní technologie a zabezpečení systémů využívajících umělou inteligenci.

Smyslem je zmenšit mezeru mezi silně chráněným systémem CII a okolní firemní infrastrukturou, která s ním může sdílet přihlašovací údaje, nástroje pro správu, síť nebo procesy obnovy.

Proč Singapur pravidla zpřísňuje

Umělá inteligence zkracuje čas na obranu

CSA uvádí, že aktualizovaný kodex má reagovat na pokročilé perzistentní hrozby (APT) a útoky podporované umělou inteligencí. AI může útočníkům pomoci jednat rychleji, ve větším měřítku a sofistikovaněji. Organizace proto musí podezřelou aktivitu odhalovat dříve a reagovat napříč celým prostředím, nikoli spoléhat jen na úzkou ochranu obvodu sítě.

Odpovědí proto není pouze další technický bezpečnostní prvek. Singapur kombinuje detekci, řízení rizik, certifikaci a pravidelná cvičení, aby provozovatelé dokázali hrozbu odhalit, rychle se rozhodnout a obnovit kritické služby, pokud prevence selže.

UNC3886 ukázala strategickou hodnotu telekomunikací

Kampaň skupiny UNC3886 v roce 2025 zasáhla všechny čtyři hlavní telekomunikační operátory v Singapuru. Země aktivitu popsala jako záměrnou, cílenou a dobře naplánovanou operaci aktéra s pokročilými schopnostmi.

CSA označuje UNC3886 za státem podporovanou skupinu APT. Ta používá sofistikované postupy včetně zneužívání legitimních nástrojů přítomných v napadeném prostředí a útoků typu zero-day a zaměřuje se na strategicky významná aktiva, jako je kritická infrastruktura.

Singapur reagoval operací CYBER GUARDIAN, na níž spolupracovaly státní instituce a telekomunikační společnosti. Úřady uvedly, že incident se podařilo zvládnout bez narušení telekomunikačních služeb a že nenašly důkazy o kompromitaci zákaznických dat.

To, že nebyl hlášen výpadek služeb, neznamená, že incident nemá význam pro další sektory. Ukázal, proč jsou telekomunikace, energetika, zdravotnictví, finance, doprava a další základní služby považovány za strategické cíle — a proč Singapur rozšiřuje kontrolu také na systémy a dodavatele, kteří kritickou infrastrukturu obklopují.

Cloud a dodavatelé představují další vrstvu ochrany

Singapur plánuje ve druhé polovině roku 2026 zavést samostatný právně závazný Kodex kybernetické bezpečnosti pro cloudové služby. Ten má upravit bezpečné nasazení, provoz a správu systémů CII hostovaných v cloudovém prostředí.

CSA spolupracovala s poskytovateli AWS, Google Cloud a Microsoft Azure na pokynech pro implementaci specifických pro jednotlivé platformy. Ty se zaměřují na vhodnou konfiguraci a využití bezpečnostních funkcí nativních pro cloud.

Certifikační termíny se dotknou také dodavatelského řetězce kybernetické bezpečnosti:

• auditoři CII musí do konce roku 2026 získat CTM Level 5;
• licencovaní poskytovatelé penetračního testování a služeb řízeného bezpečnostního operačního centra musí do konce roku 2026 získat CTM Level 3;
• vlastníci CII musí do konce roku 2027 získat CTM Level 5 pro relevantní podpůrné systémy.

Opatření vycházejí z širší zásady: bezpečnost kritického provozovatele nezávisí pouze na jeho vlastních kontrolách, ale také na organizacích, které jeho systémy auditují, monitorují, testují nebo hostují.

Co zatím zůstává otevřené

Aktualizované požadavky pro CII už CSA zveřejnila, podrobnosti samostatného kodexu pro cloudové služby se však stále připravují. Veřejné materiály uvádějí plánovaný termín a obecné zaměření, nikoli ještě přesné povinnosti cloudových poskytovatelů, subdodavatelů nebo pravidla rozdělení odpovědnosti mezi zákazníka a poskytovatele.

Bezprostřední prioritou provozovatelů CII proto bude prověřit celý řetězec závislostí: označenou kritickou infrastrukturu, propojené systémy, cloudové úlohy, prostředí pro obnovu, dodavatele i externě zajišťované bezpečnostní služby. Směr singapurské politiky je zřejmý, i když některé prováděcí detaily teprve přibudou: chráněnou hranicí už nemá být jen systém s nálepkou CII, ale celý provozní ekosystém.