Směrnice NIS2, celým označením směrnice (EU) 2022/2555, stanovuje požadavky na řízení kybernetické bezpečnosti v řadě odvětví. Organizacím je ale ukládá národní zákon, kterým členský stát směrnici převzal. Tento článek nabízí praktický postup. Nejde o právní poradenství a nenahrazuje posouzení vaší konkrétní situace.
Nejdřív zjistěte, zda a jak se vás regulace týká
V České republice směrnici převzal zákon č. 264/2025 Sb., o kybernetické bezpečnosti. Podle průvodce Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB) je účinný od 1. listopadu 2025. Zákon rozlišuje režim vyšších a režim nižších povinností. Do kterého režimu organizace patří, určuje vyhláška o regulovaných službách. Základním kritériem je velikost podniku, u některých služeb se posuzují i další faktory.
Podle NÚKIB organizace sama ohlašuje, že splnila kritéria regulované služby, a to do 60 dnů ode dne, kdy k tomu došlo. Od doručení rozhodnutí o registraci pak běží lhůta nejvýše jednoho roku pro zavedení bezpečnostních opatření a pro hlášení incidentů. V režimu nižších povinností se podle NÚKIB hlásí incidenty s významným dopadem. Pro první orientaci nabízí NÚKIB kalkulačku. Její výsledek podle úřadu není oficiálním stanoviskem.
Při určení velikosti podniku a regulovaných služeb se vyplatí vycházet z podpůrných materiálů NÚKIB a v nejasných případech se poradit s právníkem. Pokud působíte i na Slovensku, platí tam vlastní zákon a vlastní postup.
Analýza rizik jako základ opatření
Směrnice v článku 21 požaduje vhodná a přiměřená technická, provozní a organizační opatření. Jejich přiměřenost se posuzuje mimo jiné podle míry vystavení rizikům, velikosti subjektu a pravděpodobnosti a závažnosti incidentů. Mezi minimálními oblastmi uvádí i politiku analýzy rizik.
Česká vyhláška pro režim vyšších povinností podle NÚKIB navazuje na mezinárodní standardy. Vyhláška pro režim nižších povinností je stručnější a představuje minimální bezpečnostní standard. Bez ohledu na režim je analýza rizik praktický způsob, jak opatření zavést přiměřeně a umět je obhájit.
Analýza rizik nemusí být rozsáhlý dokument. Jde o odpovědi na několik otázek:
- Které služby a procesy jsou pro organizaci a její zákazníky nejdůležitější?
- Na kterých systémech, datech, lidech a dodavatelích tyto služby závisí?
- Co by jim mohlo uškodit a jak pravděpodobné to je?
- Jaký by byl dopad výpadku, úniku nebo změny dat?
- Která opatření už máte a jak víte, že fungují?
Výsledkem je seznam rizik seřazený podle významu. Z něj teprve vychází, která opatření zavést jako první.
Do analýzy zapojte lidi, kteří služby skutečně provozují, nejen IT. Vlastník obchodního procesu nejlépe posoudí dopad výpadku, správce systému zase slabá místa a pravděpodobnost problému. Výsledek pravidelně aktualizujte, například po větší změně, po incidentu nebo po novém nálezu z testu.
Od rizik k opatřením s vlastníkem
Článek 21 směrnice vyjmenovává oblasti, které musí opatření pokrývat. Patří mezi ně například:
- řešení incidentů a řízení kontinuity provozu včetně zálohování a obnovy,
- bezpečnost dodavatelského řetězce,
- bezpečnost při pořizování, vývoji a údržbě systémů včetně řešení zranitelností,
- hodnocení účinnosti opatření,
- základní kybernetická hygiena a školení,
- řízení přístupu, správa aktiv a podle potřeby vícefaktorové ověřování.
Konkrétní požadavky pro vaši organizaci stanoví národní zákon a vyhláška podle režimu.
U dodavatelů začněte těmi, kteří mají přístup do vašich systémů nebo pro vás provozují důležité služby. Ujasněte si, jaké bezpečnostní požadavky na ně máte, jak se dozvíte o jejich incidentech a kdo za vztah s nimi odpovídá. Podstatné požadavky patří do smlouvy.
Každé opatření by mělo mít vlastníka, termín a způsob ověření. „Zavést vícefaktorové ověřování“ je záměr. „Vícefaktorové ověřování pro všechny vzdálené přístupy a správcovské účty do konce čtvrtletí, odpovídá vedoucí IT, ověříme kontrolou konfigurace“ je opatření, které se dá řídit.
Směrnice v článku 20 počítá také s odpovědností vedení. Řídící orgány mají opatření schvalovat, dohlížet na jejich provádění a absolvovat školení. Kybernetická bezpečnost tak není jen úkolem IT oddělení.
Účinnost lze ověřit různě: kontrolou konfigurace, zkouškou obnovy ze zálohy, cvičením reakce na incident nebo penetračním testem vybraných systémů. Žádné z těchto ověření samo o sobě nezaručuje shodu se zákonem. Ukáže ale, zda opatření v praxi funguje.
Kontrolní seznam prvních kroků
- Ověřili jste, zda poskytujete regulovanou službu a v jakém režimu.
- Víte, zda a kdy jste splnili ohlašovací povinnost.
- Máte seznam klíčových služeb a systémů, na kterých závisí.
- Analýza rizik je hotová, seřazená a schválená vedením.
- Každé opatření má vlastníka, termín a způsob ověření.
- Znáte hlavní dodavatele a víte, jaké bezpečnostní požadavky na ně máte.
- Máte postup pro hlášení incidentů podle národního zákona.
- Vedení ví, za co odpovídá, a prošlo školením.
Tento článek je obecný přehled, nikoli právní poradenství, a nezaručuje splnění povinností. Výklad zákona pro vaši organizaci je vhodné ověřit s právníkem nebo u příslušného úřadu. S technickou a organizační stránkou, tedy s analýzou rizik, prioritami a ověřením opatření, vám může pomoci konzultace s naším týmem.
