Co NIS2 od firmy opravdu vyžaduje: jedenáct oblastí a seznam dokumentů
Konkrétní povinnosti podle zákona 264/2025 Sb. a vyhlášky 410/2025 Sb. Jedenáct oblastí opatření, jaké směrnice mít, lhůty hlášení incidentů a kdo odpovídá.
Většina článků o NIS2 končí u toho, že „povinnosti jsou rozsáhlé“. Tenhle jde dál a vypisuje je. Vychází ze zákona č. 264/2025 Sb. a vyhlášky č. 410/2025 Sb., která rozepisuje opatření pro nižší režim (ten, do kterého spadne většina středních firem).
Jestli ještě nevíte, jestli se vás zákon týká, začněte u článku o samoidentifikaci.
Začíná to u vedení, ne u techniky
Nejčastější omyl je, že NIS2 je úkol pro IT oddělení. Zákon to má postavené opačně: odpovědnost dává vrcholnému vedení.
Vedení firmy musí:
- určit osobu pověřenou kybernetickou bezpečností a zajistit jí školení
- samo absolvovat školení
- zajistit zdroje: lidi, peníze, čas
- průběžně se seznamovat se stavem zavedených opatření
- stanovit prioritu obnovy klíčových aktiv, tedy co se po výpadku spouští první
To poslední zní jako formalita, ale je to rozhodnutí, které nikdo z techniků udělat nemůže. Jestli se po havárii nejdřív rozjíždí účetnictví, nebo výroba, je otázka pro majitele.
Jedenáct oblastí opatření
| Oblast | Co to konkrétně znamená |
|---|---|
| Identity a autentizace | vícefaktorové ověřování na administrátorských účtech, VPN, vzdálené ploše, cloudových konzolích a e-mailu. Pravidla pro hesla |
| Řízení přístupu | oddělené běžné a administrátorské účty, roční revize oprávnění, pravidelná kontrola neaktivních účtů proti personální evidenci |
| Lidské zdroje | vstupní a roční školení všech zaměstnanců, phishingové testy, evidence, postup při porušení pravidel |
| Detekce incidentů | EDR na koncových stanicích, antimalware, kontrola perimetru sítě |
| Řešení incidentů | metodika posuzování závažnosti, postup hlášení, závěrečné zprávy, roční nácvik |
| Kontinuita činností | určené kritické procesy s cílovými časy obnovy, zálohy podle pravidla 3-2-1, testovaná obnova |
| Segmentace sítě | oddělení provozního a správního prostředí, firewall, roční revize pravidel |
| Aktualizace software | řízený patching. U aktivně zneužívaných zranitelností řádově do 24–48 hodin |
| Aplikační bezpečnost | skenování zranitelností a odstraňování nálezů |
| Kryptografie | TLS 1.2 a výš, šifrování disků notebooků, žádná hesla natvrdo v kódu |
| Dodavatelé | bezpečnostní ujednání ve smlouvách, právo na audit, reakční doby na incidenty |
Podívejte se na ten seznam ještě jednou. Většinu z toho slušně vedená firma dělá, jen to nemá nikde napsané a nikdo to nekontroluje. To je přesně ten rozdíl, který zákon dělá. Nechce po firmách dělat nové věci, chce po nich, aby ty stávající uměly doložit.
Jaké dokumenty mít
Zastřešující dokument celého nižšího režimu je Přehled bezpečnostních opatření. Je to tabulka, kde má každé opatření svůj řádek: co to je, v jakém je stavu, jak je řešené, do kdy, s jakou prioritou a kdo za to odpovídá. Aktualizuje se jednou ročně a archivuje čtyři roky.
K tomu patří tyhle písemnosti:
- bezpečnostní politika: rozsah, role, odkazy na dílčí směrnice
- registr aktiv a priorita obnovy
- politika bezpečného chování zaměstnanců a evidence školení
- směrnice řízení přístupu a matice přístupových práv
- pravidla hesel a vícefaktorového ověřování
- postup při nástupu a odchodu zaměstnance včetně lhůt na odebrání přístupů
- plán kontinuity činností s cílovými časy obnovy
- směrnice zálohování a záznamy o testech obnovy
- pravidla logování a doby uchování logů
- plán reakce na incidenty, metodika posuzování závažnosti, šablony hlášení
- politika aktualizací a evidence nepodporovaného software
- politika kryptografie
- bezpečnostní příloha smlouvy s dodavateli a registr kritických dodavatelů
Vypadá to na dvacet dokumentů. Reálně to je pět až sedm souborů. Většina těch položek jsou kapitoly, ne samostatné směrnice. A platí tu jedno pravidlo: lepší je jedna srozumitelná politika, kterou lidé přečtou, než dvacet dokumentů v šuplíku, které nikdo nezná.
Hlášení incidentů
Významné incidenty se hlásí ve třech krocích. Lhůty běží od zjištění, ne od vzniku incidentu.
| Lhůta | Co se posílá |
|---|---|
| 24 hodin | předběžné hlášení: kdo jste, které služby se to týká, kdy jste to zjistili, popis a předběžný odhad dopadu |
| 72 hodin | doplněné oznámení: podrobnosti, známé příčiny, přijatá protiopatření, rozsah dopadu |
| 30 dnů | závěrečná zpráva: úplný popis, kořenová příčina, nápravná a preventivní opatření |
Komu: v nižším režimu Národnímu CERT, ve vyšším vládnímu CERT při NÚKIB. Primárně přes formuláře na Portálu NÚKIB.
V nižším režimu se hlásí jen významné incidenty, tedy ty s podstatným dopadem na poskytování regulované služby. Právě proto je v seznamu dokumentů metodika posuzování. Bez ní se to rozhoduje od oka a pod tlakem.
Co se musí dělat pravidelně
Tohle bývá to, na čem firmy padají. Zavést se dá všechno jednou. Udržet to je práce, která nikdy neskončí.
Měsíčně: kontrola neaktivních účtů, vzorkový test obnovy ze zálohy.
Ročně: aktualizace Přehledu opatření · revize přístupových oprávnění · školení všech zaměstnanců · phishingový test · úplný test obnovy · nácvik řešení incidentu · revize pravidel firewallu · skenování zranitelností.
Sankce
| Režim | Maximální pokuta |
|---|---|
| Nižší | 175 mil. Kč nebo 1,4 % obratu |
| Vyšší | 250 mil. Kč nebo 2 % obratu |
Plus osobní odpovědnost vedení za dohled.
Kde začít, když je toho moc
V tomhle pořadí:
- Ověřte si v kalkulačce NÚKIB, jestli se vás zákon týká. Možná ne.
- Sepište, co už máte. Zálohy, MFA, antivir, školení. Většina firem je dál, než si myslí.
- Vyplňte Přehled bezpečnostních opatření. Ten jeden dokument je kostra všeho ostatního.
- Doplňte chybějící technická opatření podle priorit, ne podle abecedy.
- Zaveďte pravidelný kalendář z předchozí kapitoly.
Body 2 až 4 jsou z velké části technická práce, která patří do správy firemního IT: evidence techniky, přístupová práva, zálohy s ověřenou obnovou, aktualizace a dohled nad tím, co se v síti děje.
Tento článek není právní poradenství a nenahrazuje znění předpisů. Konkrétní parametry (délky hesel, doby uchování logů, lhůty na odebrání přístupů) ověřte ve vyhlášce č. 410/2025 Sb. Aktuální výklad najdete na Portálu NÚKIB.
Související články
Proč segmentovat WiFi a umí to váš router opravdu bezpečně?
Segmentace sítě patří k nejúčinnějším a přitom nejlevnějším způsobům ochrany dat. Co to je, proč funguje a proč „hostovská WiFi“ na běžném routeru nemusí stačit?
Číst článek →
Odběratel po vás chce bezpečnostní dotazník. Co s tím?
NIS2 se vás netýká, ale zákazník chce vyplnit dotazník nebo podepsat bezpečnostní dodatek. Co v nich bývá, co znamenají otázky a na co si dát pozor.
Číst článek →
Uniknou data z aplikace, kterou jste si postavili sami. Kdo za to ručí
Krátká odpověď: ručíte vy. Delší odpověď je o rolích správce a zpracovatele, o zabezpečení odpovídajícím riziku a o lhůtě 72 hodin, která běží od zjištění.
Číst článek →Domluvte si konzultaci zdarma.
Probereme, co potřebujete, a navrhneme řešení pro váš provoz.
Domluvit konzultaci