Jedna platforma. Směrnice, CIR i národní zákon v jednom procesu.
EU vytvořila NIS2, aby sjednotila kybernetickou bezpečnost napříč Evropou. Pak ji 27 zemí provedlo odlišně. My to spojujeme do jednoho procesu.
Standardizace, která nikdy nenastala
NIS2 měla být velkým sjednotitelem. Jedna směrnice, která by sladila požadavky na kybernetickou bezpečnost ve všech 27 členských státech EU. V praxi dosáhla opaku. Směrnice stanoví minimální požadavky a každá země má volnost jít přísněji. Většina tak učinila. Výsledkem je mozaika národních zákonů, každý se svým vlastním výkladem, vlastními prahovými hodnotami a vlastními očekáváními ohledně vymáhání.
Pak Evropská komise přidala CIR 2024/2690, prováděcí nařízení, které upřesňuje technické požadavky pro nejkritičtější přeshraniční subjekty. Nenahrazuje národní právo, nýbrž se na něj vrství. Takže nyní firmy čelí třem vrstvám požadavků, které se v zhruba stejné míře překrývají, odporují si a matou.
Pokud působíte ve více zemích EU nebo prostě chcete vědět, co „soulad s NIS2“ konkrétně znamená, jste v tom sami. Neexistuje žádný jediný zdroj pravdy. Až dosud.
Směrnice NIS2 (EU 2022/2555)
Směrnice na úrovni EU, která stanoví minimální požadavky na kybernetickou bezpečnost pro základní a důležité subjekty. Záměrně vágní v detailech provedení. Říká vám, čeho dosáhnout, nikoli jak toho dosáhnout. Každý členský stát ji musí provést do národního práva a státy mohou výslovně jít dále.
Zákon č. 264/2025 Sb. Česká transpozice
Česko provedlo NIS2 zákonem č. 264/2025 Sb., o kybernetické bezpečnosti, účinným od 1. listopadu 2025. Místo základních a důležitých subjektů rozlišuje režim vyšších a nižších povinností a opatření podrobně stanoví vyhlášky NÚKIB: č. 409/2025 Sb. pro vyšší a č. 410/2025 Sb. pro nižší režim, včetně konkrétních pravidel, jako jsou minimální délky hesel nebo přehled bezpečnostních opatření ve formě tabulky. Pokud působíte v Česku, samotná směrnice nestačí: NÚKIB kontroluje plnění zákona a vyhlášek.
CIR 2024/2690. Prováděcí nařízení EU
Prováděcí nařízení Komise upřesňuje podrobné technické a metodické požadavky pro subjekty poskytující přeshraniční služby (DNS, cloud, CDN, datová centra a další). Na rozdíl od směrnice je přímo použitelné; v Česku na něj odkazuje § 18 zákona č. 264/2025 Sb. Přidává podrobné požadavky na řízení rizik, zvládání incidentů a bezpečnost dodavatelského řetězce, které jdou výrazně nad rámec textu směrnice.
IT-Grundschutz. Německá metodika úřadu BSI
Standardy IT-Grundschutz německého úřadu BSI (BSI-Standard 200-1, 200-2, 200-3) podrobně popisují, jak požadavky v praxi zavést. Je to nejpodrobnější a nejpreskriptivnější z metodik, ze kterých platforma vychází, a mění vágní formulace politik v konkrétní, auditovatelná opatření. V Česku ale nemá žádné zákonné postavení: její zavedení se nepovažuje za splnění povinností. Závazná česká pravidla stanoví vyhlášky č. 409/2025 Sb. a č. 410/2025 Sb., ke kterým NÚKIB vydává podpůrné materiály.
Nejpřísnější společný jmenovatel
Naše platforma si nevybere jeden rámec a nedoufá v nejlepší výsledek. Pro každé téma souladu (řízení rizik, hlášení incidentů, řízení přístupu, šifrování, školení, dodavatelský řetězec) vycházíme z nejpřísnějšího požadavku napříč směrnicí NIS2, CIR 2024/2690 a německým zákonem o BSI s metodikou IT-Grundschutz. Pro českou firmu k tomu průvodce u každého kroku uvádí ustanovení zákona č. 264/2025 Sb. a vyhlášky pro váš režim.
Tuto nejpřísnější verzi zabudujeme do platformy jako výchozí. Každý formulář, každý pracovní postup, každý požadavek na doklad je navržen pro nejvyšší laťku. Česká vyhláška ale v některých bodech jde jinam nebo dál, například pořadím ověřování a délkami hesel, přehledem bezpečnostních opatření v režimu nižších povinností nebo auditem alespoň jednou za 2 roky v režimu vyšších povinností. Tyto body si ověřte proti vyhlášce pro svůj režim.
Výsledek: jeden proces pro směrnici, CIR a národní zákon, bez zdvojené práce. Ať už působíte jen v Česku, napříč EU, nebo spadáte do přeshraniční působnosti CIR, stavíte na stejném základu a doplňujete jen to, co žádá konkrétní národní předpis.
| Oblast souladu | Směrnice NIS2 | CIR 2024/2690 | Zákon č. 264/2025 Sb. a vyhlášky |
|---|---|---|---|
| Řízení rizik | „Vhodná a přiměřená“ opatření, žádná předepsaná metodika | Výslovná metodika posuzování rizik s definovanými kritérii, zdokumentované akceptování rizik | Vyšší režim: metodika s kritérii přijatelnosti rizik, hodnocení alespoň jednou ročně, zpráva o hodnocení rizik, prohlášení o aplikovatelnosti a plán zvládání rizik (vyhláška č. 409/2025 Sb., § 8). Nižší režim: přehled bezpečnostních opatření aktualizovaný alespoň jednou ročně (vyhláška č. 410/2025 Sb., § 3 odst. 2) |
| Hlášení incidentů | Včasné varování do 24 h, úplné oznámení do 72 h | Stejné lhůty, navíc se opakující incidenty musí agregovat a hlásit jako vzorec | Prvotní hlášení do 24 h, při významném dopadu oznámení do 72 h a závěrečná zpráva do 30 dnů od oznámení, přes Portál NÚKIB; vyšší režim hlásí NÚKIB, nižší Národnímu CERT (§ 15 a 16 zákona) |
| Bezpečnost dodavatelského řetězce | Zvážit rizika dodavatelského řetězce, zohlednit zranitelnosti dodavatelů | Zdokumentované posouzení dodavatele, smluvní bezpečnostní požadavky, periodické přehodnocení | Požadavky opatření ve smlouvách s dodavateli (§ 13 odst. 5 zákona), ujednání podle přílohy č. 2 vyhlášky č. 410/2025 Sb.; vyšší režim: evidence významných dodavatelů, jejich písemné informování a smlouvy podle přílohy č. 5 vyhlášky č. 409/2025 Sb. |
| Šifrování a kryptografie | Politiky a postupy pro používání kryptografie a „případně“ šifrování | Vyžadována kryptografická politika, zdokumentovaná správa klíčů, posouzena vhodnost algoritmů | Aktuálně odolné algoritmy a zohlednění doporučení NÚKIB v oblasti kryptografických algoritmů (vyhláška č. 410/2025 Sb., § 13; č. 409/2025 Sb., § 25); vyšší režim navíc nástroj pro správu klíčů a certifikátů a šifrované zálohy |
| Řízení přístupu | Politiky řízení přístupu k sítím a informačním systémům | Přístup založený na rolích, správa privilegovaného přístupu, pravidelné přezkumy přístupu | Nezbytně nutná oprávnění, jedinečný identifikátor, oddělené administrátorské účty a pravidelné přezkoumání (vyhláška č. 410/2025 Sb., § 7); vícefaktorová autentizace pro uživatele, administrátory i technická aktiva, jinak klíče nebo certifikáty, jinak hesla nejméně 12, 17 a 22 znaků (§ 8; č. 409/2025 Sb., § 19) |
| Školení kybernetické bezpečnosti | Pravidelné školení pro vedení i všechny zaměstnance | Školení specifické pro role, vedení musí prokázat kompetenci v dohledu nad riziky | Vstupní a pravidelná školení zaměstnanců, odborná školení administrátorů, prokazatelné školení vrcholného vedení, přehledy o školeních a seznamy školených osob (vyhláška č. 410/2025 Sb., § 4 a 5; č. 409/2025 Sb., § 10) |
Přeshraniční ve výchozím stavu
Působíte v Česku, rozšiřujete do Německa, obsluhujete klienty na Slovensku. Základ vašeho souladu zůstává stejný: jeden proces, jedna sada dokumentů. Kde národní zákon žádá něco navíc, doplníte to, místo abyste začínali znovu.
Nulová nejednoznačnost
Směrnice NIS2 je záměrně vágní. „Vhodná opatření“ znamenají pro různé auditory různé věci. Naše platforma tuto nejednoznačnost zmenšuje tím, že ve výchozím stavu volí nejkonkrétnější dostupný požadavek. Nemusíte hádat, zda je váš výklad „dostatečný“.
Soulad odolný do budoucna
Regulace se zpřísňují. Země, které dnes provedly NIS2 na minimální úrovni, mohou zítra jít přísněji. Když stavíte na nejpřísnějším výkladu, jste na další zpřísnění připraveni lépe a nemusíte zoufale dohánět.
Připraveni na audit ode dne jedna
Při kontrole NÚKIB zjišťuje, jak plníte povinnosti ze zákona, z vyhlášek a z přímo použitelných předpisů EU včetně CIR (§ 55 zákona č. 264/2025 Sb.). Naše platforma vytváří doklady průběžně, jak pracujete. Přiřazení, schválení, lhůty a auditní stopy jsou zabudovány do pracovního postupu. Jsou samotným procesem souladu, ne dodatkem.
Toto je nejčastější námitka. A je mylná. Rozdíl mezi splněním minimálních požadavků směrnice NIS2 a splněním podrobných požadavků, jaké mají české vyhlášky nebo německá metodika IT-Grundschutz, není více zadávání dat, více dokumentů nebo více zbytečné práce. Je to více struktury. Tytéž informace, které firma poskytne pro odškrtnutí holého minima NIS2, jsou tytéž informace potřebné pro podrobné zavedení.
Ta práce navíc je porozumění: vědět, která aktiva zdokumentovat, jak strukturovat posouzení rizik, co tvoří dostatečný důkaz. A přesně to za vás řeší naše platforma. Formuláře vás provedou správnými otázkami. Pracovní postupy vynucují správný proces. Důkazy se generují, jak pracujete.
V praxi firma používající naši platformu nestráví více času než firma používající nástroj se seznamem na minimální soulad. Rozdíl je v tom, že výstup je strukturovaný a doložitelný při kontrole. Úsilí je stejné. Výsledek je nesrovnatelně lepší.
Často kladené otázky
Není to přehnané pro firmu, která působí jen v jedné zemi?
Ne. I v rámci jediné země čelíte více překrývajícím se požadavkům: národní transpozici, případně CIR, pokud poskytujete přeshraniční služby, a praktickým očekáváním vašeho národního auditora. Splnění nejpřísnějšího společného jmenovatele znamená, že se nikdy nemusíte trápit tím, která konkrétní regulace se vztahuje na kterou část vašeho podnikání. Není to přehnané. Je to jediný přístup, který nejednoznačnost zcela odstraňuje.
Co když má Česko jiné požadavky než německý zákon o BSI?
Má. Zákon č. 264/2025 Sb. a vyhlášky č. 409/2025 a 410/2025 Sb. stanoví v řadě bodů podrobnější nebo jiná pravidla: například pořadí ověřování (vícefaktorová autentizace, jinak klíče nebo certifikáty, jinak hesla nejméně 12, 17 a 22 znaků), přehled bezpečnostních opatření v režimu nižších povinností nebo audit kybernetické bezpečnosti alespoň jednou za 2 roky v režimu vyšších povinností. Splnění požadavků na úrovni německého zákona proto automaticky neznamená splnění českých povinností. Průvodce u každého kroku uvádí české ustanovení; zbylé body si ověřte proti vyhlášce pro svůj režim.
Stojí přísnější přístup více nebo trvá déle?
Ne. Platforma vás provede stejným počtem kroků bez ohledu na to. Rozdíl je v tom, jak jsou kroky strukturovány: formuláře a pracovní postupy zachycují informace v podrobnosti, jakou žádá německá metodika IT-Grundschutz. Neděláte více práce. Děláte stejnou práci přesněji. Časová investice je srovnatelná s jakýmkoli nástrojem pro soulad.
A co ISO 27001? Stále ho potřebuji?
ISO 27001 je standard systému řízení, ne zákonný požadavek. NIS2 (v Česku zákon č. 264/2025 Sb.) a CIR jsou zákonné povinnosti. Existuje výrazné překrytí: podle NÚKIB je poskytovatel s certifikovaným ISMS podle ISO 27001 na dobré cestě ke splnění vyhlášky pro vyšší režim, samotný certifikát ale nemůže být jediným podkladem kontroly. Pokud splňujete požadavky naší platformy, pokryli jste zhruba 70 až 80 % opatření přílohy A normy ISO 27001. Slouží ale různým účelům: soulad s NIS2 je povinný a zákonně vymáhaný, certifikace ISO 27001 je dobrovolná a tržně řízená. Naše platforma se zaměřuje nejprve na zákonné povinnosti. Sladění s ISO 27001 bude následovat jako budoucí funkce.
Jak se CIR 2024/2690 vztahuje k národnímu právu, jako je český zákon o kybernetické bezpečnosti?
CIR je prováděcí nařízení EU. Platí přímo ve všech členských státech bez národní transpozice. Pro subjekty v jeho působnosti (především přeshraniční poskytovatele digitální infrastruktury) zákon č. 264/2025 Sb. stanoví, že bezpečnostní opatření zavádějí v míře a způsobem podle nařízení a obecné pravidlo § 13 odst. 2 se na ně nepoužije (§ 18 odst. 1); významnost incidentu určuje nařízení, hlásí se podle § 15 a 16 zákona (§ 18 odst. 2). Ostatní povinnosti zákona, například ohlášení služby, platí dál. Naše platforma toto vrstvení řeší za vás.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
