NIS2 a zákon o
kybernetické bezpečnosti
Zákon o kybernetické bezpečnosti přináší vybraným firmám a organizacím nové povinnosti. Zjistěte, zda se Vás zákon o kybernetické bezpečnosti týká, jaké platí lhůty a jak Vám EITRI pomůže s technickým zabezpečením IT.
Spadá Vaše firma pod zákon o kybernetické bezpečnosti?
Rozhodující je především poskytovaná služba a splnění zákonných kritérií. Velikost organizace může hrát důležitou roli, ale sama o sobě nestačí.
Poskytujete regulovanou službu?
Regulace se týká vybraných služeb a odvětví, například energetiky, dopravy, zdravotnictví, některých IT a digitálních služeb, výroby nebo odpadového hospodářství.
Splňuje vaše firma velikostní kritéria?
A zároveň máte aspoň 50 zaměstnanců, nebo roční obrat i celkový majetek firmy (bilanční sumu) vyšší než 10 mil. EUR, tedy zhruba 250 mil. Kč.
Výsledek pomůže s orientací, ale nenahrazuje právní posouzení.
Jaké povinnosti a lhůty vás čekají?
Pokud na Vaši organizaci zákon dopadá, je důležité znát postup ohlášení, termíny zavádění bezpečnostních opatření i pravidla pro hlášení incidentů. Konkrétní povinnosti závisí na příslušném režimu.
Ohlášení
Do 60 dnů od okamžiku, kdy vaše organizace naplnila podmínky registrace regulované služby, ohlásíte tuto skutečnost prostřednictvím Portálu NÚKIB.
Opatření
Do 1 roku od doručení rozhodnutí o registraci je standardně potřeba zavést příslušná bezpečnostní opatření. Rozsah závisí na režimu povinností.
Hlášení incidentů
U povinně hlášeného incidentu musí být prvotní hlášení do 24 hodin od zjištění, u významných incidentů následuje další oznámení zpravidla do 72 hodin.
V nižším režimu se hlásí zejména incidenty s významným dopadem splňující zákonná kritéria. U konkrétní organizace vždy ověřte příslušné povinnosti a přechodná ustanovení.
Co by nemělo chybět v zabezpečení vašeho IT?
Praktický přehled hlavních oblastí pro nižší režim. Rozsah a způsob provedení se přizpůsobují Vaší regulované službě a bezpečnostním potřebám.
Odpovědná osoba a zapojení vedení
Je určeno, kdo bezpečnost koordinuje. Vedení ví, za co odpovídá, a dostává informace o stavu opatření.
Zálohy a plán obnovy
Data se pravidelně zálohují, obnova se testuje a je jasné pořadí kroků při výpadku serveru nebo služby.
Individuální účty a oprávnění
Každý uživatel má vlastní přístup, jen potřebná oprávnění a při odchodu zaměstnance se účet včas zruší.
Pravidelné aktualizace
Operační systémy, aplikace i síťová zařízení mají bezpečnostní aktualizace; nepodporovaná zařízení jsou řešena.
Bezpečnostní pravidla a evidence
Existují srozumitelná pravidla a přehled hotových i plánovaných opatření včetně odpovědností a termínů.
Školení zaměstnanců
Lidé rozpoznají phishing, vědí, jak chránit přihlašovací údaje a komu hlásit podezřelou událost.
Vícefaktorové ověřování
Přístupy k systémům chráníme vícefaktorovým ověřováním nebo jinými vyhláškou přípustnými autentizačními mechanismy.
Ochrana zařízení a sítě
Antimalware, firewall a vhodný dohled chrání pracovní stanice, servery a vstupní body sítě.
Oddělená síť
Hostovská Wi-Fi, uživatelská zařízení a citlivé systémy jsou odděleny podle potřeb a rizik.
Bezpečnost dodavatelů
Ve spolupráci s IT dodavateli jsou řešeny přístupy, odpovědnost, ochrana dat a reakce na incidenty.
Vedení určuje odpovědnosti, zajišťuje potřebné zdroje a kontroluje plnění opatření. IT správce může pomoci s realizací a provozem, ale outsourcing sám o sobě nepřenáší zákonné povinnosti organizace na dodavatele.
Přehled není úplný auditní checklist. Některá opatření jsou neopominutelná, u dalších je třeba vyhodnotit relevanci a odůvodnit případné omezení.
Kdo odpovídá za plnění zákonných povinností?
Vedení určuje priority, schvaluje přiměřená opatření a zajišťuje potřebné zdroje. Externí IT může pomoci s analýzou stavu, provozem technologií a vedením související evidence, nenahrazuje ale odpovědnost povinné osoby.
Odpovědnost zůstává na vedení společnosti
Vedení určuje priority, schvaluje přiměřená opatření a zajišťuje potřebné zdroje. Externí IT může pomoci s analýzou stavu, provozem technologií a vedením související evidence, nenahrazuje ale odpovědnost povinné osoby.
A pokud se na Vás zákon nevztahuje?
Povinnosti tohoto zákona se na vás nemusí vztahovat. Zálohování, aktualizace, vícefaktorové ověřování, školení a bezpečné přístupy přesto výrazně pomáhají chránit provoz firmy i jejích zákazníků.
Jak EITRI pomáhá se zabezpečením IT?
Zmapujeme současný stav IT, pomůžeme identifikovat technická rizika a navrhneme konkrétní opatření. Následně zajistíme jejich realizaci, správu a průběžnou podporu podle potřeb organizace.
Zjistíme výchozí stav
Zhodnotíme sítě, servery, zařízení, přístupy a zálohy a určíme technická rizika. Dostanete přehled zjištění, evidenci zařízení a přístupů a pravidla pro hesla.
Připravíme plán kroků
Doporučíme ochranu sítě, MFA, aktualizace a bezpečné přístupy. Připravíme návrh povinné dokumentace a konkrétní plán bezpečnostních opatření pro Vaši firmu.
Nastavíme ochranu IT
Pomůžeme zavést navržená bezpečnostní opatření, zabezpečit zařízení a přístupy, upravit zálohování a připravit postupy pro obnovu provozu při incidentu.
Postaráme se o provoz
Průběžně spravujeme a udržujeme Vaše IT technologie, kontrolujeme jejich zabezpečení, provádíme aktualizace a poskytujeme technickou podporu i dlouhodobý dohled.
Co firmy nejčastěji zajímá o NIS2?
Přehledné odpovědi na otázky týkající se rozsahu regulace, odpovědnosti vedení, technických opatření a praktické přípravy na nové požadavky.
Týká se NIS2 automaticky každé firmy nad 50 zaměstnanců?
Ne. Rozhoduje, zda poskytujete regulovanou službu a zda splňujete podmínky pro její zařazení. U některých služeb jsou zvláštní pravidla. Využijte kalkulačku NÚKIB a případně odborné posouzení.
Máme méně než 50 zaměstnanců. Znamená to, že se nás zákon netýká?
Ne nutně. Zákon se vás může týkat i s menším počtem zaměstnanců, pokud máte roční obrat i bilanční sumu nad 10 mil. EUR (cca 250 mil. Kč), nebo patříte do skupiny propojených firem, které se sčítají. U některých služeb navíc velikost nerozhoduje vůbec. Vždy ale platí, že musíte provádět některou z regulovaných činností.
Jak poznám, zda spadáme do nižšího nebo vyššího režimu?
Režim vyplývá z druhu regulované služby a podmínek stanovených právními předpisy. Ověřte jej v oficiální kalkulačce NÚKIB a v dokumentaci ke konkrétní službě.
Do kdy musíme podat ohlášení regulované služby?
Obecná lhůta činí 60 dnů od splnění podmínek registrace. Konkrétní termín však závisí na tom, kdy podmínky nastaly, a na případných přechodných pravidlech.
Stačí pro splnění zákonných požadavků antivirový program a zálohování?
Nestačí. Antivirus a zálohy jsou dobrý základ, zákon ale chce víc. Například určit odpovědnou osobu, proškolit vedení i zaměstnance, mít plán obnovy po výpadku a postup pro hlášení incidentů, hlídat přístupy a aktualizace a mít bezpečnost ošetřenou i ve smlouvách s dodavateli. To vše je potřeba mít sepsané a jednou ročně zkontrolované.
Může za nás odpovědnost převzít externí IT firma?
Práci ano, odpovědnost ne. Externí IT firma za vás může zajistit technická opatření, provoz, dokumentaci i roli osoby pověřené kybernetickou bezpečností. Za splnění zákona ale vždy odpovídá vaše firma a její vedení. Proto je důležité mít s dodavatelem jasně sepsáno, co přesně za vás zajišťuje.
S čím nám konkrétně pomůže EITRI?
Provedeme analýzu vašeho IT podle vyhlášky č. 410/2025 Sb. Na jejím základě zajistíme technická opatření (zabezpečení sítě, MFA, přístupy, aktualizace, zálohy a plán obnovy), připravíme povinnou dokumentaci a vše pro vás dlouhodobě spravujeme.
Kde ověřit povinnosti podle NIS2?
Pro posouzení zákonných požadavků doporučujeme vycházet z oficiálních informací NÚKIB. Níže najdete důležité odkazy a nástroje pro další orientaci.
Kalkulačka NÚKIB
Orientačně zjistíte, zda se vás regulace může týkat.
portal.nukib.gov.cz/kalkulacka ↗Manuál pro nižší režim
Praktické vysvětlení bezpečnostních opatření od NÚKIB.
Oficiální manuál NÚKIB ↗Portál NÚKIB
Aktuální legislativa, podpůrné materiály a postupy ohlášení.
portal.nukib.gov.cz ↗Bezpečné IT je základem odolné organizace
Funkční zálohování, zabezpečené sítě, řízené přístupy i pravidelné aktualizace pomáhají předcházet bezpečnostním incidentům. EITRI pomáhá firmám a školám tato opatření zavádět a dlouhodobě spravovat.
Nejste si jistí, kde začít s NIS2?
Ozvěte se nám. Probereme vaši situaci, zodpovíme dotazy k technickému zabezpečení a společně vybereme nejvhodnější první krok.