Příběh NENu v kostce. Selhal skutečně náhodou?


Nástroj NEN stál necelou miliardu Kč. Vyvinulo ho před třemi lety Ministerstvo pro místní rozvoj jako nástroj pro zhruba 8000 zadavatelů veřejných zakázek - státní úřady, města, kraje. Většina těch zadavatelů ho ale nechtěla, protože už mají jiné nástroje. Lepší? Kdo ví. Mluví však samo za sebe, že na NEN za prvmí dva roky provozu nepřešel skoro nikdo, i když byl zadarmo. Tedy ... zadarmo pro ty úřady. Daňového poplatníka už stál víc než třeba 20 Čapích hnízd.

Dnes NEN používají zhruba 3 % úřadů. Většinu z nich ale nepřilákal svými funkcemi či cenou, jim prostě stát přikázal přejít do NENu povinně. Proč? Protože na NEN se čerpaly eurofondy, které bychom museli vracet, pokud ho nikdo nebude používat. A tak stát zavelel a ministerstva poslechla.

Ztráta dat

A pak přišel únor 2019, a z NENu se ztratily všechny zakázky za poslední měsíc. Provozovatel chvíli lavíroval, většinu jich po pár týdnech obnovil - tedy nahráli je tak ze svých archivů znovu samotné úřady. Ti navíc řadu zakázek mezitím museli zrušit.

Incident skončil, zůstala tu ale otázka - skutečně je ten nástroj provozován kompetentně? Splňuje přísné bezpečnostní nároky, které ministerstvo klade na ostatní systémy? Zřejmě ne, neboť podle vyhlášky MMR 260/2016 se ze zálohy smí ztratit maximálně dokumenty za 1 den. U NENu ale najednou šlo o dokumenty za měsíc.

Zeptal jsem se úřadu: dodržuješ předpisy?

Milé Ministerstvo pro místní rozvoj, provozuješ NEN. Podle své vlastní vyhlášky jsi mělo mít zálohovací plán, strategii řízení rizik, plán vzdělávacích aktivit a plán dostupnosti. Můžu ty plány vidět? Protože jestli je nemáš, tak kolaps NENu možná nebyla jen velmi nešťastná náhoda. Možná to bylo nevyhnutelné selhání, protože NEN nebyl provozován v souladu s bezpečnostními regulemi.

Co jsem se dozvěděl, to se můžete dočíst zde: odpověď MMR. Ušetřím vám čtení. Říct mi to nemůžou, protože by se tím ohrozila kybernetická bezpečnost ČR. Rozumíte? Kdyby se třeba někdo dozvěděl, jak často se lidé v NENu školili, či kdy se měl zálohovat. Tím ale jen prohlubuje pochybnosti o tom, zda předpisy skutečně dodrželo.

Milé ministerstvo, mě samozřejmě nic dokazovat nemusíš. Ale zodpovídáš se několika stovkám zadavatelů, které jsi donutilo přejít na svůj nástroj. Ti přišli v únoru o data. A možná o ně přijdou znovu, jestli nebude NEN provozován kompetentně. Prokaž, že NEN fungoval v souladu s bezpečnostními předpisy.


P.S. V Datlabu data z NENu pravidelně stahujeme, významnou část ztracených souborů jsme měli v době incidentu k dispozici. Nabídku jejich poskytnutí ale provozovatel NENu nepřijal, raději nechal zadavatele, aby je tam nahrávali sami ze svých archivů.