# Co NIS2 od firmy opravdu vyžaduje: jedenáct oblastí a seznam dokumentů

https://www.magnapro.eu/blog/co-nis2-vyzaduje-povinnosti-a-dokumenty

*Publikováno: 2026-09-22 · Rubrika: Kyberbezpečnost*

Konkrétní povinnosti podle zákona 264/2025 Sb. a vyhlášky 410/2025 Sb. Jedenáct oblastí opatření, jaké směrnice mít, lhůty hlášení incidentů a kdo odpovídá.

Většina článků o NIS2 končí u toho, že „povinnosti jsou rozsáhlé“. Tenhle jde dál a vypisuje je. Vychází ze zákona č. 264/2025 Sb. a vyhlášky č. 410/2025 Sb., která rozepisuje opatření pro **nižší režim** (ten, do kterého spadne většina středních firem).

Jestli ještě nevíte, jestli se vás zákon týká, začněte u [článku o samoidentifikaci](https://www.magnapro.eu/blog/novy-zakon-o-kyberneticke-bezpecnosti-nis2-tyka-se-i-vasi-firmy).

## Začíná to u vedení, ne u techniky

Nejčastější omyl je, že NIS2 je úkol pro IT oddělení. Zákon to má postavené opačně: odpovědnost dává **vrcholnému vedení**.

Vedení firmy musí:

- určit osobu pověřenou kybernetickou bezpečností a zajistit jí školení
- **samo absolvovat školení**
- zajistit zdroje: lidi, peníze, čas
- průběžně se seznamovat se stavem zavedených opatření
- stanovit prioritu obnovy klíčových aktiv, tedy co se po výpadku spouští první

To poslední zní jako formalita, ale je to rozhodnutí, které nikdo z techniků udělat nemůže. Jestli se po havárii nejdřív rozjíždí účetnictví, nebo výroba, je otázka pro majitele.

## Jedenáct oblastí opatření

| Oblast | Co to konkrétně znamená |
| --- | --- |
| Identity a autentizace | vícefaktorové ověřování na administrátorských účtech, VPN, vzdálené ploše, cloudových konzolích a e-mailu. Pravidla pro hesla |
| Řízení přístupu | oddělené běžné a administrátorské účty, roční revize oprávnění, pravidelná kontrola neaktivních účtů proti personální evidenci |
| Lidské zdroje | vstupní a roční školení všech zaměstnanců, phishingové testy, evidence, postup při porušení pravidel |
| Detekce incidentů | EDR na koncových stanicích, antimalware, kontrola perimetru sítě |
| Řešení incidentů | metodika posuzování závažnosti, postup hlášení, závěrečné zprávy, roční nácvik |
| Kontinuita činností | určené kritické procesy s cílovými časy obnovy, zálohy podle pravidla 3-2-1, testovaná obnova |
| Segmentace sítě | oddělení provozního a správního prostředí, firewall, roční revize pravidel |
| Aktualizace software | řízený patching. U aktivně zneužívaných zranitelností řádově do 24–48 hodin |
| Aplikační bezpečnost | skenování zranitelností a odstraňování nálezů |
| Kryptografie | TLS 1.2 a výš, šifrování disků notebooků, žádná hesla natvrdo v kódu |
| Dodavatelé | bezpečnostní ujednání ve smlouvách, právo na audit, reakční doby na incidenty |

Podívejte se na ten seznam ještě jednou. Většinu z toho slušně vedená firma dělá, jen to nemá nikde napsané a nikdo to nekontroluje. **To je přesně ten rozdíl, který zákon dělá.** Nechce po firmách dělat nové věci, chce po nich, aby ty stávající uměly doložit.

## Jaké dokumenty mít

Zastřešující dokument celého nižšího režimu je **Přehled bezpečnostních opatření**. Je to tabulka, kde má každé opatření svůj řádek: co to je, v jakém je stavu, jak je řešené, do kdy, s jakou prioritou a kdo za to odpovídá. Aktualizuje se jednou ročně a archivuje čtyři roky.

K tomu patří tyhle písemnosti:

- **bezpečnostní politika**: rozsah, role, odkazy na dílčí směrnice
- **registr aktiv a priorita obnovy**
- **politika bezpečného chování zaměstnanců** a **evidence školení**
- **směrnice řízení přístupu** a **matice přístupových práv**
- **pravidla hesel a** **vícefaktorového** **ověřování**
- **postup při nástupu a odchodu zaměstnance** včetně lhůt na odebrání přístupů
- **plán kontinuity činností** s cílovými časy obnovy
- **směrnice zálohování** a **záznamy o testech obnovy**
- **pravidla logování a doby uchování logů**
- **plán reakce na incidenty**, **metodika posuzování závažnosti**, šablony hlášení
- **politika aktualizací** a **evidence nepodporovaného software**
- **politika kryptografie**
- **bezpečnostní příloha smlouvy s dodavateli** a **registr kritických dodavatelů**

Vypadá to na dvacet dokumentů. Reálně to je **pět až sedm souborů**. Většina těch položek jsou kapitoly, ne samostatné směrnice. A platí tu jedno pravidlo: lepší je jedna srozumitelná politika, kterou lidé přečtou, než dvacet dokumentů v šuplíku, které nikdo nezná.

## Hlášení incidentů

Významné incidenty se hlásí ve třech krocích. **Lhůty běží od zjištění, ne od vzniku incidentu.**

| Lhůta | Co se posílá |
| --- | --- |
| 24 hodin | předběžné hlášení: kdo jste, které služby se to týká, kdy jste to zjistili, popis a předběžný odhad dopadu |
| 72 hodin | doplněné oznámení: podrobnosti, známé příčiny, přijatá protiopatření, rozsah dopadu |
| 30 dnů | závěrečná zpráva: úplný popis, kořenová příčina, nápravná a preventivní opatření |

**Komu:** v nižším režimu Národnímu CERT, ve vyšším vládnímu CERT při NÚKIB. Primárně přes formuláře na Portálu NÚKIB.

V nižším režimu se hlásí jen **významné** incidenty, tedy ty s podstatným dopadem na poskytování regulované služby. Právě proto je v seznamu dokumentů metodika posuzování. Bez ní se to rozhoduje od oka a pod tlakem.

## Co se musí dělat pravidelně

Tohle bývá to, na čem firmy padají. Zavést se dá všechno jednou. Udržet to je práce, která nikdy neskončí.

**Měsíčně:** kontrola neaktivních účtů, vzorkový test obnovy ze zálohy.

**Ročně:** aktualizace Přehledu opatření · revize přístupových oprávnění · školení všech zaměstnanců · phishingový test · úplný test obnovy · nácvik řešení incidentu · revize pravidel firewallu · skenování zranitelností.

## Sankce

| Režim | Maximální pokuta |
| --- | --- |
| Nižší | 175 mil. Kč nebo 1,4 % obratu |
| Vyšší | 250 mil. Kč nebo 2 % obratu |

Plus osobní odpovědnost vedení za dohled.

## Kde začít, když je toho moc

V tomhle pořadí:

- **Ověřte si v kalkulačce NÚKIB, jestli se vás zákon týká.** Možná ne.
- **Sepište, co už máte.** Zálohy, MFA, antivir, školení. Většina firem je dál, než si myslí.
- **Vyplňte Přehled bezpečnostních opatření**. Ten jeden dokument je kostra všeho ostatního.
- **Doplňte chybějící technická opatření** podle priorit, ne podle abecedy.
- **Zaveďte pravidelný kalendář** z předchozí kapitoly.

Body 2 až 4 jsou z velké části technická práce, která patří do [správy firemního IT](https://www.magnapro.eu/sluzby/outsourcing): evidence techniky, přístupová práva, zálohy s ověřenou obnovou, aktualizace a dohled nad tím, co se v síti děje.

Tento článek není právní poradenství a nenahrazuje znění předpisů. Konkrétní parametry (délky hesel, doby uchování logů, lhůty na odebrání přístupů) ověřte ve vyhlášce č. 410/2025 Sb. Aktuální výklad najdete na Portálu NÚKIB.

---

Zdroj: MAGNAPRO s.r.o., https://www.magnapro.eu/blog/co-nis2-vyzaduje-povinnosti-a-dokumenty