Analýza nedostatků mezi ISO 27001 a NIS2
Certifikace ISO 27001 pokrývá zhruba 70 % technických požadavků NIS2. Zbývajících 30 % ale zahrnuje oblasti s nejvyšším rizikem při kontrole: ohlášení služby, lhůty pro hlášení incidentů a povinnosti vedení.
ISO 27001 je náskok, ne cílová páska
Pokud vaše firma drží certifikaci ISO 27001:2022, jste napřed oproti většině subjektů dotčených NIS2. Rámec ISMS, metodika hodnocení rizik a opatření přílohy A dobře odpovídají deseti oblastem opatření z čl. 21 odst. 2 NIS 2 a opatřením v § 14 zákona č. 264/2025 Sb. NÚKIB uvádí, že poskytovatel s certifikovaným ISMS podle ISO 27001 je na dobré cestě ke splnění vyhlášky pro vyšší režim. Zároveň ale uvádí, že samotný certifikát nemůže být jediným podkladem kontroly.
Mezera existuje proto, že NIS2 zavádí povinnosti, na které ISO 27001 nikdy nebyla navržena. ISO 27001 je dobrovolný standard systému řízení zaměřený na informační bezpečnost uvnitř organizace. NIS2 je regulační povinnost zaměřená na odolnost kritické infrastruktury, s hlášením úřadům, osobní odpovědností vedení a zákonnými sankcemi. Jde o zásadně odlišná paradigmata souladu. Jedno je o nejlepší praxi, druhé o právním souladu.
Mapovací pokyny ENISA a analýzy firem DataGuard a secuvera opakovaně ukazují tytéž mezery. Pochopení toho, kde ISO 27001 pokrývá NIS2 a kde ne, umožňuje certifikovaným firmám stavět na stávajícím ISMS místo začínání od nuly a zároveň nepřehlédnout regulační požadavky, které nesou nejvyšší riziko při kontrole.
Řízení rizik (čl. 21 odst. 2 písm. a) NIS 2, § 14 zákona č. 264/2025 Sb.)
Body 6.1 a 8.2 ISO 27001 vyžadují identifikaci, analýzu, hodnocení a ošetření rizik. Přesně to žádá řízení rizik v § 14 odst. 1 písm. a) bod 6 a odst. 2 písm. d) zákona. Stávající metodika hodnocení rizik ISMS, pokud je řádně udržována, tento požadavek naplňuje; ve vyšším režimu ověřte náležitosti vyhlášky č. 409/2025 Sb., § 8 (prohlášení o aplikovatelnosti, plán zvládání rizik se sedmi náležitostmi). Zajistěte, aby váš registr rizik pokrýval konkrétně rizika provozních technologií a dodavatelského řetězce, ne jen rizika informační bezpečnosti.
Řízení přístupu (čl. 21 odst. 2 písm. i) NIS 2, § 14 zákona č. 264/2025 Sb.)
Příloha A.5.15 až A.5.18 a A.8.2 až A.8.5 ISO 27001 pokrývá zásady řízení přístupu, přidělování uživatelských přístupů, správu privilegovaných přístupů a omezení přístupu k informacím. To přímo odpovídá řízení přístupu a identit v § 14 odst. 1 písm. a) bod 11, písm. b) body 3 a 4 a odst. 2 písm. g) a h) zákona; podrobnosti stanoví vyhláška č. 410/2025 Sb., § 7 a 8, resp. č. 409/2025 Sb., § 13 a 19.
Zvládání incidentů (čl. 21 odst. 2 písm. b) NIS 2, § 14 zákona č. 264/2025 Sb.)
Příloha A.5.24 až A.5.28 ISO 27001 pokrývá plánování řízení incidentů, jejich vyhodnocení, reakci a poučení. Technický proces zvládání incidentů, který NIS2 vyžaduje, je dobře pokryt. Lhůty pro hlášení a hlášení NÚKIB nebo Národnímu CERT ovšem nejsou součástí ISO 27001 (viz mezery níže).
Kontinuita činností (čl. 21 odst. 2 písm. c) NIS 2, § 14 zákona č. 264/2025 Sb.)
Příloha A.5.29 a A.5.30 ISO 27001 řeší informační bezpečnost během narušení a připravenost ICT pro kontinuitu činností. Ve spojení s řádnou analýzou dopadů (BIA) a otestovanými postupy obnovy to podstatně pokrývá požadavky na kontinuitu; ve vyšším režimu ověřte cíle obnovy a testování plánů podle vyhlášky č. 409/2025 Sb., § 15.
Kryptografie (čl. 21 odst. 2 písm. h) NIS 2, § 14 zákona č. 264/2025 Sb.)
Příloha A.8.24 ISO 27001 pokrývá použití kryptografie. Vyzrálé ISMS zahrnuje kryptografické zásady, postupy správy klíčů a standardy výběru algoritmů. Česká vyhláška navíc žádá zohlednit doporučení a metodiky NÚKIB v oblasti kryptografických algoritmů (vyhláška č. 410/2025 Sb., § 13 odst. 1 písm. c); č. 409/2025 Sb., § 25 odst. 1 písm. c)).
Dodavatelské vztahy (čl. 21 odst. 2 písm. d) NIS 2, § 13 odst. 5 zákona č. 264/2025 Sb., částečně)
Příloha A.5.19 až A.5.23 ISO 27001 řeší informační bezpečnost v dodavatelských vztazích, včetně posouzení dodavatele, sledování poskytování služeb a řízení změn. To poskytuje základ, ale NIS2 vyžaduje rozsáhlejší prověření dodavatelského řetězce (viz mezery).
Školení a povědomí (čl. 21 odst. 2 písm. g) NIS 2, § 14 zákona č. 264/2025 Sb.)
Příloha A.6.3 ISO 27001 pokrývá povědomí, vzdělávání a školení v oblasti informační bezpečnosti. To odpovídá obecnému požadavku na školení. Vyhlášky ale přidávají povinné školení vrcholného vedení o jeho povinnostech a přehledy o školeních se seznamy školených osob (vyhláška č. 410/2025 Sb., § 4 písm. b), § 5 odst. 2 a 3; č. 409/2025 Sb., § 10), což jde nad rámec ISO 27001.
Ohlášení služby NÚKIB (§ 6 a 11 zákona č. 264/2025 Sb.)
ISO 27001 nezná pojem registrace u úřadu. Zákon žádá ohlásit regulovanou službu NÚKIB do 60 dnů od splnění podmínek a po rozhodnutí o registraci nahlásit kontaktní a doplňující údaje, například doménová jména a rozsahy IP adres (§ 6 odst. 1, § 11 odst. 1; vyhláška č. 334/2025 Sb., § 3). Vše výlučně přes Portál NÚKIB. Jde o samostatnou povinnost; neohlášení služby je samostatný přestupek (§ 60 odst. 1 písm. a)). Vaše certifikace ISO ji nespouští ani nenahrazuje.
Lhůty pro hlášení incidentů (§ 15 a 16 zákona č. 264/2025 Sb.)
ISO 27001 vyžaduje reakci na incidenty, ale nestanoví žádné lhůty pro externí hlášení. Zákon ukládá: prvotní hlášení do 24 hodin po zjištění, při významném dopadu oznámení do 72 hodin a závěrečnou zprávu do 30 dnů od oznámení; ve vyšším režimu NÚKIB, v nižším Národnímu CERT, přes Portál NÚKIB. Nesplnění je přestupek (§ 59 odst. 1 a 2, písm. h)). Váš proces zvládání incidentů v ISMS musí být rozšířen o tento postup hlášení.
Povinnosti a odpovědnost vedení (§ 4 vyhlášek č. 409/2025 a 410/2025 Sb.)
ISO 27001 vyžaduje angažovanost a vedení managementu (bod 5), ale nezakládá žádné zákonné povinnosti. České vyhlášky ukládají vrcholnému vedení prokazatelně absolvovat školení, zajistit zdroje a prokazatelně se seznamovat se stavem opatření, ve vyšším režimu navíc zřídit výbor pro řízení kybernetické bezpečnosti a určit bezpečnostní role. Zvláštní doložku o osobní odpovědnosti zákon nemá; platí obecná odpovědnost člena statutárního orgánu (§ 159 občanského zákoníku, § 51 až 53 zákona o obchodních korporacích) a ve vyšším režimu možný zákaz výkonu funkce (§ 58 zákona č. 264/2025 Sb.). Žádné opatření ISO toto neřeší.
Rámec zákonných sankcí (§ 59 zákona č. 264/2025 Sb.)
Nesoulad s ISO 27001 vede ke ztrátě certifikace, což je reputační následek. Nesplnění povinností podle zákona č. 264/2025 Sb. je přestupek s pokutou až 250 mil. Kč nebo 2 % celosvětového ročního obratu v režimu vyšších povinností a až 175 mil. Kč nebo 1,4 % v režimu nižších povinností, podle toho, co je vyšší (§ 59 odst. 4). Mechanismus vymáhání je zásadně odlišný: sankce úřadu oproti stavu dobrovolné certifikace.
Rozšířené prověření dodavatelského řetězce (§ 13 odst. 5 zákona č. 264/2025 Sb.)
Zatímco příloha A.5.19 až A.5.23 ISO 27001 pokrývá bezpečnost dodavatelů, zákon a vyhlášky žádají víc: zahrnout požadavky opatření do smluv s dodavateli (§ 13 odst. 5), ve smlouvách ujednání podle přílohy č. 2 vyhlášky č. 410/2025 Sb. a ve vyšším režimu evidovat významné dodavatele, písemně je o tom informovat a uzavírat s nimi smlouvy podle přílohy č. 5 vyhlášky č. 409/2025 Sb. (§ 9). Pro poskytovatele digitálních služeb stanoví příloha CIR 2024/2690 navíc průběžné sledování dodavatelů.
Požadavky na řízení specifické pro NIS2
NIS2 vyžaduje vztah k úřadu, který stojí mimo rozsah ISMS: kontaktní údaje osob oprávněných jednat za poskytovatele (§ 11 odst. 1 písm. a) zákona č. 264/2025 Sb.), provedení reaktivních protiopatření a oznámení jejich výsledku (§ 23) a splnění nápravných opatření, která NÚKIB uloží (§ 56). Týkají se vztahu mezi subjektem a státními orgány, nikoli interní správy bezpečnosti.
| Oblast NIS2 (čl. 21 odst. 2, § 14 zákona č. 264/2025 Sb.) | Opatření ISO 27001:2022 | Pokrytí |
|---|---|---|
| Analýza rizik a bezpečnostní zásady | Body 6.1, 8.2; A.5.1 | Úplné |
| Zvládání incidentů | A.5.24 až A.5.28 | Částečné: chybí lhůty pro hlášení NÚKIB |
| Kontinuita podnikání a krizové řízení | A.5.29, A.5.30 | Úplné |
| Bezpečnost dodavatelského řetězce | A.5.19 až A.5.23 | Částečné: chybí rozšířené prověření |
| Bezpečnost při pořizování, vývoji a údržbě | A.8.25 až A.8.31 | Úplné |
| Hodnocení účinnosti | Body 9.1, 9.2, 9.3; A.8.8 | Úplné |
| Školení kybernetické bezpečnosti | A.6.3 | Částečné: není pokryto školení vrcholného vedení podle vyhlášek |
| Kryptografie | A.8.24 | Úplné |
| Řízení přístupu a správa aktiv | A.5.9 až A.5.18; A.8.2 až A.8.5 | Úplné |
| Vícefaktorové ověřování a zabezpečená komunikace | A.8.5 | Částečné: vyhlášky stanoví MFA a délky hesel konkrétněji |
- ISO/IEC 27001:2022: Informační bezpečnost, kybernetická bezpečnost a ochrana soukromí. Systémy řízení informační bezpečnosti
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 6, 11, 13 až 16, 59 a 60: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01; vyhlášky č. 409/2025 Sb. a č. 410/2025 Sb.
- NÚKIB: Často kladené otázky, „Je možné certifikací ISO 27001 prokázat zavedení bezpečnostních opatření?“: https://portal.nukib.gov.cz/informacni-servis/faq
- ENISA: pokyny k mapování NIS2 na ISO 27001 (2024)
- DataGuard: analýza nedostatků a mapování ISO 27001 na NIS2 (2024)
- CIR (EU) 2024/2690: technické požadavky přílohy a odkazy na ISO 27001
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
