NIS2 / zákon č. 264/2025 Sb.

Terminologický slovník NIS2

Pojmy z NIS2, BSIG a CRA jednoduše vysvětlené, celkem 229. Kde kurz pojem používá, vidíte lekci i větu.

Simon Orzel·Průběžně kontrolováno

Definice pocházejí ze slovníků našich kurzů. Stejné texty se zobrazí, když kdekoli ve wiki najedete kurzorem na pojem. Pojem s německým názvem je uveden také pod tímto názvem a odkazuje na anglické heslo, protože texty EU i naše kurzy používají anglický pojem. Kde známe ustanovení, na kterém definice stojí, je uvedeno pod textem.

#

§ 30 BSIG: Cybersecurity measures: Ústřední ustanovení českého zákona o kybernetické bezpečnosti. § 13 ukládá zavádět a provádět bezpečnostní opatření ve stanoveném rozsahu „v míře nezbytné“, začít nejpozději do 1 roku od doručení rozhodnutí o registraci a zahrnout požadavky opatření do smluv s dodavateli. § 14 opatření vyjmenovává: 25 pro režim vyšších povinností, 13 pro režim nižších povinností, od řízení aktiv a rizik přes řízení kontinuity činností po řízení přístupu a kryptografické algoritmy. Obsah opatření stanoví vyhlášky č. 409/2025 Sb. a č. 410/2025 Sb. Ne pozlacená, ale skutečná.; § 13 a 14 zákona č. 264/2025 Sb.
§ 32 BSIG: Incident reporting: Povinná kaskáda hlášení kybernetických bezpečnostních incidentů přes Portál NÚKIB. Prvotní hlášení nejpozději do 24 hodin po zjištění (§ 16 odst. 1). Má-li incident významný dopad (v režimu nižších povinností na poskytování služby, v režimu vyšších povinností na kybernetický prostor státu, což vám NÚKIB sdělí do 24 hodin od prvotního hlášení), následuje oznámení do 72 hodin po zjištění a závěrečná zpráva nejpozději do 30 dnů od oznámení (§ 16 odst. 2 a 3). V režimu vyšších povinností hlásíte NÚKIB, v režimu nižších povinností Národnímu CERT (§ 15). Obsah hlášení stanoví vyhláška č. 334/2025 Sb. Nepředložení prvotního hlášení nebo nedoplnění údajů je přestupek (§ 59 odst. 1 a 2, písm. h)).; § 15 a 16 zákona č. 264/2025 Sb.; vyhláška č. 334/2025 Sb.
§ 33 BSIG: Registration obligation: Zákonné povinnosti vůči NÚKIB mimo samotná opatření. Službu ohlásíte do 60 dnů ode dne, kdy splňuje podmínky (§ 6 odst. 1). Do 30 dnů od doručení rozhodnutí o registraci hlásíte kontaktní a doplňující údaje, například doménová jména a rozsahy IP adres (§ 11 odst. 1; vyhláška č. 334/2025 Sb., § 3). Změny těchto údajů hlásíte do 14 dnů, pokud nejde o údaje vedené v základních registrech (§ 11 odst. 2), a změny služby, které mohou změnit váš režim, do 60 dnů (§ 9 odst. 1). Neohlášení služby je samostatný přestupek s pokutou až 250 mil. Kč nebo 2 % obratu (§ 60 odst. 1 písm. a), odst. 7 písm. a)), oddělený od sankcí za nezavedení opatření.; § 6, 9 a 11 zákona č. 264/2025 Sb.; vyhláška č. 334/2025 Sb.
§ 38 BSIG: Implementation and oversight duty: Ustanovení, která ukládají povinnosti vrcholnému vedení, tedy statutárnímu orgánu (u s.r.o. jednatelům). V režimu nižších povinností vedení určí osobu pověřenou kybernetickou bezpečností, prokazatelně absolvuje školení, zajistí zdroje, prokazatelně se seznamuje se stavem plnění opatření v přehledu bezpečnostních opatření a stanoví prioritu obnovy primárních aktiv (vyhláška č. 410/2025 Sb., § 4). Ve vyšším režimu navíc zřizuje výbor pro řízení kybernetické bezpečnosti a určuje čtyři bezpečnostní role (vyhláška č. 409/2025 Sb., § 4). Schválení opatření řídicím orgánem žádá směrnice (čl. 20 odst. 1 NIS 2); vyhlášky mluví o prokazatelném seznámení. Zvláštní doložku o osobní odpovědnosti český zákon nemá; platí obecná odpovědnost člena statutárního orgánu. To je ustanovení, které upoutá pozornost jednatelů.; vyhláška č. 410/2025 Sb., § 4; vyhláška č. 409/2025 Sb., § 4; čl. 20 směrnice NIS 2

A

Access control: Politiky a mechanismy, které omezují, kdo má přístup k systémům a datům.; Lidé a přístup: (g) kybernetická hygiena a školení zaměstnanců, (h) politiky kryptografie, (i) bezpečnost lidských zdrojů, řízení přístupu a správa aktiv a (j) vícefaktorová autentizace a zabezpečená komunikace.Školení NIS2 pro vedení společnosti, Lekce 1.9: Deset opatření: přehled
access review: Pravidelná kontrola, kdo má k čemu přístup, s cílem odebrat oprávnění, která již nejsou potřeba.
Actively exploited vulnerability: Zranitelnost ve vašem produktu, u níž existují spolehlivé důkazy, že ji škodlivý aktér zneužil v systému bez povolení vlastníka systému (čl. 3 bod 42 CRA). Spouštěč oznamovací povinnosti podle čl. 14 odst. 1 CRA, která začíná včasným varováním do 24 hodin (čl. 14 odst. 2 písm. a)). Odlišuje se od zranitelnosti, která byla zveřejněna, ale dosud nebyla zneužita.; Povinnost se spouští při aktivně zneužívané zranitelnosti, tedy zranitelnosti, „u níž existují spolehlivé důkazy o tom, že ji škodlivý aktér v systému zneužil bez svolení vlastníka systému“ (čl. 3 bod 42 CRA).Základy CRA SBOM, Lekce 3.2: Udržování aktuální SBOM a monitorování zranitelností. Také v: Lekce 0.1
acts of war: Kategorie výluky, která se uplatní, když je útok přičten státu nebo státem podporovanému aktérovi.; Případ Mondelez dokazuje vzorec: i pojistka na sto milionů dolarů může být zamítnuta na základě jediné výlukové klauzule, když se pojišťovna rozhodne, že útok splňuje znaky válečného aktu.Školení NIS2 pro vedení společnosti, Lekce 4.1: Pojištění nenahrazuje opatření
Administrative fine: Sankce, kterou regulační orgán ukládá společnosti podle článku 34 směrnice NIS2. V Česku pokuta podle § 59 odst. 4 zákona č. 264/2025 Sb., kterou ukládá NÚKIB (§ 62 odst. 1).; Článek 34 směrnice NIS2 stanovuje maximální správní pokutu pro základní subjekty na vyšší z hodnot deset milionů eur nebo dvě procenta z celkového celosvětového ročního obratu.Školení NIS2 pro vedení společnosti, Lekce 1.3: Sankce a zákaz výkonu řídicí funkce
All-hazards approach: Zásada z článku 21 odst. 2, že vaše povinnost se vztahuje na každou hrozbu pro systémy, nejen na kybernetické útoky, včetně fyzických, environmentálních a lidských hrozeb.; Podle článku 21 odst. 2 jsou opatření „založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit sítě a informační systémy a fyzické prostředí těchto systémů před incidenty“.Školení NIS2 pro vedení společnosti, Lekce 1.10: Přístup zohledňující všechna rizika a stav techniky
Appropriate and proportionate: Měřítko podle článku 21 odst. 1 NIS 2 pro opatření v oblasti kybernetické bezpečnosti. Musí odpovídat riziku a být dimenzována pro daný subjekt (§ 30 odst. 1 BSIG přidává „účinná“). Plán, který jste nikdy netestovali, lze jen těžko obhájit jako vhodný, protože článek 21 odst. 2 písm. f) vyžaduje postupy pro posuzování, zda opatření fungují.; Směrnice používá pravidlo vhodné a přiměřené v článku 21 odst.Školení cvičení tabletop NIS 2, Lekce 3.1: Roční perioda, závěrečný kvíz a potvrzení o účasti
Article 21(2)(g) NIS 2: Odstavec směrnice, který vyžaduje základní postupy kybernetické hygieny a školení v oblasti kybernetické bezpečnosti. Právní základ pro roli specifické školení, na něž se vztahuje osvědčení tohoto kurzu.; PDF, které obdržíte na konci tohoto kurzu, je důkazem, že jste absolvovali školení kybernetické bezpečnosti specifické pro roli podle článku 21 odst. 2 písm. g) NIS 2 pro roli facilitátora.Školení cvičení tabletop NIS 2, Lekce 3.1: Roční perioda, závěrečný kvíz a potvrzení o účasti
Asset: Vše, na čem je podnikání závislé při svém provozu: lidé, procesy, cloudové předplatné, budovy a IT hardware.; Tato lekce vysvětluje, co znamená „aktivum“ podle NIS2 a proč je inventář těchto aktiv základem, na kterém stojí každé další bezpečnostní opatření.Školení NIS2 pro vedení společnosti, Lekce 2.2: Co je aktivum?
Asset inventory: Udržovaný seznam všech aktiv, aktualizovaný podle toho, jak se podnikání mění; základ, na němž stojí každá další bezpečnostní kontrola.; Úplný seznam těchto aktiv se nazývá inventář aktiv a musí být udržován aktuální.Školení NIS2 pro vedení společnosti, Lekce 2.2: Co je aktivum?
Asset management: Proces identifikace, evidence a správy všech IT aktiv, na nichž je podnikání závislé.; Lidé a přístup: (g) kybernetická hygiena a školení zaměstnanců, (h) politiky kryptografie, (i) bezpečnost lidských zdrojů, řízení přístupu a správa aktiv a (j) vícefaktorová autentizace a zabezpečená komunikace.Školení NIS2 pro vedení společnosti, Lekce 1.9: Deset opatření: přehled
Attestation: Datovaný PDF dokument, který vám tento kurz vystaví po dokončení. Doklad o roli specifickém školení v oblasti kybernetické bezpečnosti podle článku 21(2)(g) NIS 2 pro roli moderátora. Není to totéž co školení vedoucího orgánu podle článku 20(2).; Po úspěšném složení platforma vygeneruje datované PDF osvědčení.Základy CRA SBOM, Lekce 4.1: Závěrečné hodnocení. Také v: Školení cvičení tabletop NIS 2, Lekce 0.1; Lekce 0.1
Attribution: Úkon zjištění, kdo stojí za útokem; určuje, zda se uplatní ustanovení o válečných aktech a zda se aktivuje sankční právo.; Konkrétně u klauzule válečných aktů položte tři otázky: jak je v této pojistce definováno „nepřátelské nebo válečné jednání“, co se stane, když je přičtení nejasné, a jaké je uvedené stanovisko pojišťovny k ransomwarovým skupinám napojeným na stát.Školení NIS2 pro vedení společnosti, Lekce 4.4: Běžné výluky v pojistce, na které si dát pozor. Také v: Lekce 4.5; Lekce 4.6
audit rights: Smluvní ujednání, která vám dávají právo kontrolovat bezpečnostní kontroly dodavatele.; Oznamování incidentů, aby vám rychle dali vědět, když je někdo prolomí, bezpečnostní minimum a práva na audit, aby jejich práci mohli zkontrolovat vy nebo vámi pověřená osoba.Školení NIS2 pro vedení společnosti, Lekce 2.9: Opatření 4 - Bezpečnost dodavatelského řetězce. Také v: Lekce 3.9
Audit trail: Chronologický záznam o tom, co bylo známo, kdy a komu; důvod, proč zatajování něčeho jen zřídka funguje.; §30(1) sentence 3 BSIG, §61 BSIG; Zatajení mezery i její tiché opravení selžou, jakmile auditní stopa vypoví příběh.Školení NIS2 pro vedení společnosti, Lekce 3.11: Scénář - Odhalení mezery před auditem
Availability: Vlastnost systému být přístupný a použitelný, když je potřeba.
awareness training: Opakující se bezpečnostní školení všech zaměstnanců, které pokrývá základy kybernetické hygieny; CIR požaduje, aby se opakovalo a nabízelo v plánovaných intervalech (8.1.2, 8.1.3).

B

back door: Skrytý vstupní bod v softwaru, který umožňuje neoprávněný přístup, často nasazený útočníkem.
breach of trust: Trestný čin spočívající v porušení povinnosti spravovat cizí majetek, například vynaložením peněz společnosti proti jejím zájmům. V Česku porušení povinnosti při správě cizího majetku (§ 220 trestního zákoníku č. 40/2009 Sb., z hrubé nedbalosti § 221); v Německu § 266 StGB.; Trestní zákoník navíc postihuje porušení povinnosti při správě cizího majetku (§ 220 zákona č.Školení NIS2 pro vedení společnosti, Lekce 4.6: Rozhodování o zaplacení výkupného u ransomwaru
BSI registration: Poskytovatel služby, která splňuje podmínky, ji ohlásí NÚKIB přes Portál NÚKIB nejpozději do 60 dnů ode dne, kdy podmínky splnil (§ 6 odst. 1 zákona č. 264/2025 Sb.). Ohlášení obsahuje registrační údaje: identifikační údaje a seznam poskytovaných regulovaných služeb a splněných podmínek významnosti (vyhláška č. 334/2025 Sb., § 3 odst. 2 a § 5 odst. 1). NÚKIB pak rozhodne o registraci. Do 30 dnů od doručení rozhodnutí hlásíte kontaktní a doplňující údaje, například doménová jména a rozsahy IP adres (§ 11 odst. 1; vyhláška č. 334/2025 Sb., § 3 odst. 4). Jde o samostatnou povinnost: její splnění nenahrazuje ostatní povinnosti, ale neohlášení služby je samo přestupkem (§ 60 odst. 1 písm. a)).; § 6 odst. 1 a § 11 zákona č. 264/2025 Sb.; vyhláška č. 334/2025 Sb., § 3
BSI Standard 200-4: Standard německého BSI k řízení kontinuity provozu. Vymezuje pět typů cvičení (kontrola plánu neboli stolní kontrola, štábní cvičení, rozšířené štábní cvičení, poplachové cvičení, funkční test) a vyžaduje roční plán cvičení.; Německá metodika BSI Standard 200-4 a mezinárodní norma ISO 22301:2019, oddíl 8.6 pojmenovávají čtyři druhy cvičení:Školení cvičení tabletop NIS 2, Lekce 0.1: Co je štábní cvičení a proč jej NIS 2 vyžaduje
BSI TR-02102: Technická směrnice německého BSI uvádějící aktuálně doporučené kryptografické algoritmy. V Česku ji použijte jako doplněk k doporučením NÚKIB v oblasti kryptografických algoritmů, která vyhlášky ukládají zohledňovat.; Jako doplňkový zdroj lze použít německou technickou směrnici BSI TR-02102, kterou BSI aktualizuje, jak postupuje výzkum.Školení NIS2 pro vedení společnosti, Lekce 2.13: Opatření 8 - Kryptografie
BSIG: Německý zákon o BSI (zákon o Spolkovém úřadu pro bezpečnost informačních technologií a o bezpečnosti informačních technologií subjektů), vnitrostátní zákon, kterým se NIS2 provádí v Německu.; Zákon č. 264/2025 Sb., o kybernetické bezpečnosti (§ 1, § 72 a § 73)
Business continuity: Plány a procesy zajišťující pokračování kritických operací během narušení a po něm.; Incidenty a kontinuita: (b) řešení incidentů a (c) kontinuita podnikání, tedy zálohy, obnova a krizové řízení.Školení NIS2 pro vedení společnosti, Lekce 1.9: Deset opatření: přehled
Business continuity (BCM): Celková disciplína udržení chodu podniku přes incidenty; zahrnuje zálohování, obnovu po havárii a krizové řízení.; „Jaké je naše RTO pro klíčový provozní systém a co říká poslední test obnovy po havárii o skutečné době obnovy?“Školení NIS2 pro vedení společnosti, Lekce 2.8: Opatření 3 - Kontinuita činností
Business impact analysis (BIA): Analýza toho, jak by závažná narušení zasáhla provoz podniku; stanoví požadavky na kontinuitu, například doby obnovy a přijatelnou ztrátu dat (CIR 4.1.3), a umožňuje s maticí rizik skutečně pracovat.; Dokument, který tyto kategorie převádí na obchodní čísla, se nazývá analýza dopadů na podnikání, tedy BIA.Školení NIS2 pro vedení společnosti, Lekce 2.5: Triáda CIA a dopad na podnikání
business interruption: Finanční ztráta z toho, že provoz byl během incidentu a po něm zastaven nebo omezen.; Hradí náklady na zvládnutí kybernetického incidentu: forenzní vyšetřování, reakci na incident, oznámení zákazníkům a ztráty z přerušení provozu.Školení NIS2 pro vedení společnosti, Lekce 4.3: Kybernetické pojištění vs D&O - jiné produkty, jiné krytí
Business Judgment Rule: Zásada práva obchodních společností, která chrání členy vedení před osobní odpovědností za obchodní rozhodnutí učiněná v dobré víře a na základě přiměřených informací. V Česku § 51 odst. 1 zákona o obchodních korporacích.; Pravidlo podnikatelského úsudku chrání členy vedení před osobní odpovědností za podnikatelská rozhodnutí učiněná v dobré víře, na základě přiměřených informací a v zájmu společnosti.Školení NIS2 pro vedení společnosti, Lekce 1.8: Business judgment rule vás nechrání

C

CIA triad: Důvěrnost, integrita, dostupnost: tři druhy škody, které incident může způsobit; jazyk, který používá každý bezpečnostní rozhovor.; Pod tímto slovním spojením se skrývá třípísmenný slovník, který používá každý bezpečnostní rozhovor: triáda CIA.Školení NIS2 pro vedení společnosti, Lekce 2.5: Triáda CIA a dopad na podnikání
CIR: Prováděcí nařízení Komise (EU) 2024/2690, podrobný technický soubor pravidel pro určité digitální poskytovatele (například poskytovatelé DNS, cloudu, datových center, řízených služeb a on-line tržiště) a pro poskytovatele služeb vytvářejících důvěru; platí přímo ve všech členských státech.; Prováděcí nařízení Komise (EU) 2024/2690; § 18 zákona č. 264/2025 Sb.; Nad směrnicí stojí druhý předpis evropského práva: prováděcí nařízení Komise (EU) 2024/2690, tedy CIR.Školení NIS2 pro vedení společnosti, Lekce 1.1: Co je NIS2 a proč existuje
CIR 2024/2690: Prováděcí nařízení Komise (EU) 2024/2690. Stanoví technické a metodické požadavky na opatření kybernetické bezpečnosti pro určité subjekty digitální infrastruktury.; Pro digitální poskytovatele definuje CIR 2024/2690 článek 3, co se počítá jako významné.Školení cvičení tabletop NIS 2, Lekce 1.1: Kaskáda hlášení podle článku 23, kterou musí vaše cvičení nacvičit. Také v: Lekce 2.2; Lekce 2.3
CISO: Chief Information Security Officer; osoba odpovědná za program kybernetické bezpečnosti společnosti.; Kdyby zítra do vaší kanceláře vešel regulátor a zeptal se na vaši kybernetickou bezpečnost, na kolik otázek byste dokázali odpovědět, aniž byste se obrátili na svého CISO?Školení NIS2 pro vedení společnosti, Lekce 3.1: Otázky, na které musí odpovědět každý CEO
Civil liability: Právní riziko, které umožňuje vaší vlastní společnosti žalovat vás osobně o náhradu škody podle vnitrostátního práva obchodních společností (v Česku § 159 občanského zákoníku a §§ 51 až 53 zákona o obchodních korporacích).
Competent authority: Vnitrostátní orgán, který dohlíží na dodržování NIS2 a vymáhá je (v Německu BSI). Členský stát může určit i více než jeden orgán.; Každá země určí příslušný orgán, tedy regulátora, který dohlíží na dotčené společnosti, provádí u nich kontroly a uděluje pokuty.Školení NIS2 pro vedení společnosti, Lekce 1.1: Co je NIS2 a proč existuje. Také v: Lekce 1.4
Compliance gap: Chybějící nebo neúplný prvek požadovaného programu souladu.; Bez ní vás nemůže zastihnout, a tato mezera v komunikaci je sama o sobě mezerou v compliance.Školení NIS2 pro vedení společnosti, Lekce 1.4: Registrační povinnost
compliance officer: Osoba odpovědná za to, že společnost plní své zákonné a regulatorní povinnosti.; Na místě vyslechne CISO, pracovníka pro compliance a vás.Školení NIS2 pro vedení společnosti, Lekce 3.7: Co se děje během kontroly regulačního orgánu
Compliance scope: Okruh subjektů a činností, které zákon zahrnuje, a tím i povinnosti, které se na ně vztahují.; Rozdíl je v intenzitě vymáhání, nikoli v rozsahu povinností.Školení NIS2 pro vedení společnosti, Lekce 1.2: Na koho se vztahuje: subjekty zásadní a důležité
confidentiality: Data jsou přístupná pouze lidem, kteří je mají vidět; ztráta je únik.
Conformity assessment: Proces, kterým výrobce prokazuje, že jeho produkt splňuje požadavky CRA. Produkty výchozí třídy mohou provádět vlastní posouzení. Důležité produkty třídy I mohou provádět vlastní posouzení pomocí harmonizovaných norem. Důležité produkty třídy II vyžadují posouzení shody třetí stranou (CAB). SBOM je součástí technické dokumentace přezkoumávané při posuzování shody.
containment: Okamžitá opatření přijatá k zastavení dalšího šíření incidentu.; Pokud počkáte do pondělí, promarníte šedesát čtyři hodin zadržení.Školení NIS2 pro vedení společnosti, Lekce 3.8: Scénář - Útok ransomwaru v pátek odpoledne. Také v: Lekce 3.10
Coordinated vulnerability disclosure: Postup, při němž bezpečnostní výzkumník nahlásí zranitelnost výrobci soukromě, než zveřejní podrobnosti. Příloha I část II bod 5 CRA vyžaduje, aby výrobci zavedli a prosazovali politiku koordinovaného zveřejňování zranitelností (viz též čl. 13 odst. 8). Obvykle se zavádí pomocí souboru security.txt a vyhrazeného bezpečnostního kontaktu.; Dokumentace návrhu a vývoje včetně architektury, rozhodnutí o návrhu, modelu hrozeb a zásad koordinovaného zveřejňování zranitelnostíZáklady CRA SBOM, Lekce 1.3: Pravidlo uchovávání po dobu 10 let a kdo získá přístup
Coverage gap: Konkrétní prostor mezi tím, co vaše pojistky kryjí, a tím, co po vás regulační orgán může skutečně vymáhat; místo, kde sídlí nepojištěná osobní odpovědnost.; Rozdíl mezi tím, co jste u pojistky předpokládali, a tím, co skutečně kryje, je prostor, kde žije drahé překvapení.Školení NIS2 pro vedení společnosti, Lekce 4.2: Pojištění D&O - co kryje a kybernetické výluky
Crisis declaration: Formální úkon, který přepne společnost do režimu reakce na incident a který může schválit pouze vedení.
crisis management: Jmenovaný krizový tým s předem přidělenou rozhodovací pravomocí a zdokumentovaným plánem; NIS2 uvádí krizové řízení vedle kontinuity provozu v článku 21 odst. 2 písm. c).
critical asset: Aktivum, jehož ztráta by způsobila společnosti významnou škodu; v BIA má prioritu.
Critical sectors: Odvětví, která EU považuje za zásadní pro společnost a hospodářství, uvedená v přílohách I a II NIS2.; Jde o jednotný soubor pravidel platný v celé EU o tom, jak se společnosti v kritických odvětvích chrání před kybernetickými útoky a co musí udělat, když se něco pokazí.Školení NIS2 pro vedení společnosti, Lekce 1.1: Co je NIS2 a proč existuje
critical vulnerability: Slabé místo v systému zařazené do nejvyššího stupně závažnosti; CIR očekává, že zranitelnosti kritické pro provoz se řeší bez zbytečného odkladu (6.10.2 písm. c)).
Cross-border impact: Dopad incidentu na služby nebo subjekty v jiných členských státech EU.; Příčina, uplatněná zmírňující opatření a jakýkoli přeshraniční dopad.Školení NIS2 pro vedení společnosti, Lekce 1.11: Kaskáda hlášení a významné incidenty
Cryptography: Použití šifrování a souvisejících technik k ochraně důvěrnosti a integrity dat.; Lidé a přístup: (g) kybernetická hygiena a školení zaměstnanců, (h) politiky kryptografie, (i) bezpečnost lidských zdrojů, řízení přístupu a správa aktiv a (j) vícefaktorová autentizace a zabezpečená komunikace.Školení NIS2 pro vedení společnosti, Lekce 1.9: Deset opatření: přehled
CSIRT: Computer Security Incident Response Team, vnitrostátní subjekt, který přijímá oznámení o incidentech. V Česku hlásíte v režimu vyšších povinností NÚKIB, v režimu nižších povinností Národnímu CERT, přes Portál NÚKIB (§§ 15 a 16 zákona č. 264/2025 Sb.).; čl. 10 směrnice NIS 2; § 15 až 17, § 42 odst. 5 písm. j) a § 43 odst. 1 zákona č. 264/2025 Sb.; Článek 23 směrnice NIS2 vyžaduje, aby dotčené firmy hlásily významné incidenty svému národnímu CSIRT nebo příslušnému orgánu.Školení NIS2 pro vedení společnosti, Lekce 1.11: Kaskáda hlášení a významné incidenty. Také v: Lekce 4.5; Školení cvičení tabletop NIS 2, Lekce 1.1
Customer notification: Vaše povinnost podle článku 23 odst. 1 v příslušných případech informovat dotčené zákazníky o významném incidentu, oddělená od vaší oznamovací povinnosti vůči regulačnímu orgánu. V Česku § 19 zákona č. 264/2025 Sb.: u incidentu podle vaší úvahy, NÚKIB ji může uložit nebo zakázat; u významné hrozby vždy.; Pokud neumějí odpovědět, předpokládejte nejhorší a připravte oznámení zákazníkům.Školení NIS2 pro vedení společnosti, Lekce 3.9: Scénář - Narušení u dodavatele s dopadem na vaše zákaznická data
customer notification duty: Zákonná povinnost informovat dotčené zákazníky, pokud je incident může nepříznivě ovlivnit. V Česku § 19 zákona č. 264/2025 Sb.: u incidentu s významným dopadem podle vaší úvahy nebo rozhodnutí NÚKIB, u významné hrozby vždy.; Povinnost informovat zákazníky podle článku 23 odst. 1 (v Česku § 19 zákona č.Školení NIS2 pro vedení společnosti, Lekce 4.1: Pojištění nenahrazuje opatření
CVE: Common Vulnerabilities and Exposures. Standardizovaný identifikátor veřejně známých kybernetických zranitelností. Formát: CVE-YEAR-NUMBER (např. CVE-2021-44228 pro Log4Shell). SBOM propojený s databází CVE ukazuje, které známé zranitelnosti ovlivňují váš produkt.; Každý záznam zranitelnosti odkazuje na CVE a na dotčenou komponentu.Základy CRA SBOM, Lekce 2.1: CycloneDX: formát SBOM zaměřený na bezpečnost. Také v: Lekce 1.1; Lekce 3.2
Cyber hygiene: Základní bezpečnostní postupy (aktualizace, správa hesel, osvěta), které snižují každodenní rizika.; Lidé a přístup: (g) kybernetická hygiena a školení zaměstnanců, (h) politiky kryptografie, (i) bezpečnost lidských zdrojů, řízení přístupu a správa aktiv a (j) vícefaktorová autentizace a zabezpečená komunikace.Školení NIS2 pro vedení společnosti, Lekce 1.9: Deset opatření: přehled. Také v: Lekce 2.12
Cyber insurance: Pojistka, která vyplácí po incidentu a kryje některé finanční ztráty, s výhradou výluk.; Mondelez měl u pojišťovny Zurich Insurance sjednanou kybernetickou pojistku na tuto částku.Školení NIS2 pro vedení společnosti, Lekce 4.1: Pojištění nenahrazuje opatření. Také v: Lekce 4.3; Lekce 4.4
CycloneDX: Standard SBOM organizace OWASP ve formátu JSON nebo XML. Zaměřený na bezpečnost: postavený na sledování zranitelností, na prohlášeních VEX a na integraci CVE. Aktuální je verze 1.7. CRA žádný upřednostňovaný formát neuvádí (příloha I část II bod 1 požaduje běžně používaný strojově čitelný formát), ale CycloneDX přímo zapadá do postupů správy zranitelností.; Formáty CycloneDX a SPDX tuto mezeru vyplňují.Základy CRA SBOM, Lekce 1.1: Co patří do SBOM: komponenty, verze a identifikátory. Také v: Lekce 0.1; Lekce 2.1; Lekce 2.2; Lekce 4.1
chain of evidence: Nepřerušený záznam o tom, jak byly digitální důkazy shromážděny, uloženy a zpracovány; zničený obnovením systémů před forenzním šetřením.; Obnovení dříve, než forenzní analýza prozkoumá napadené systémy, zničí řetězec důkazů a ponechá vstupní vektor otevřený.Školení NIS2 pro vedení společnosti, Lekce 3.8: Scénář - Útok ransomwaru v pátek odpoledne

D

D&O insurance: Pojištění odpovědnosti členů vedení a vrcholových manažerů; samostatný produkt odlišný od kybernetického pojištění, který kryje nároky z osobní odpovědnosti vůči vedení.; A osobní odpovědnost podle čl. 20 odst. 1 (v Česku § 159 občanského zákoníku a §§ 51 až 53 zákona o obchodních korporacích) kryje pojištění D&O, nikoli kybernetické pojištění.Školení NIS2 pro vedení společnosti, Lekce 4.1: Pojištění nenahrazuje opatření. Také v: Lekce 4.3
deductible: Částka, kterou musí pojištěný uhradit z vlastních prostředků, než krytí začne platit.
Digital infrastructure entities: Typy subjektů, na které se CIR 2024/2690 vztahuje přímo („relevantní subjekty“ v jeho článku 1): poskytovatelé DNS, registry TLD, poskytovatelé cloudu, datová centra, CDN, MSP, MSSP, on-line tržiště, vyhledávače, sociální sítě, poskytovatelé služeb vytvářejících důvěru. Neshoduje se s odvětvím NIS 2 „digitální infrastruktura“, které zahrnuje také internetové výměnné uzly a poskytovatele telekomunikací.; CIR 2024/2690 (prováděcí nařízení Komise, které dává technické podrobnosti pro subjekty digitální infrastruktury) je přímější.Školení cvičení tabletop NIS 2, Lekce 0.1: Co je štábní cvičení a proč jej NIS 2 vyžaduje
Direct reporting line: Organizační struktura, která alespoň jedné osobě zajišťuje přímou linii k vedení ve věcech kybernetické bezpečnosti; vyžaduje se u typů poskytovatelů, na něž se vztahuje prováděcí nařízení (EU) 2024/2690 (příloha 1.2.3), a kontrolují ji auditoři.; Pokud pak firma má incident, absence přímé linie hlášení je důkazem, že vedení řádně nedohlíželo na program kybernetické bezpečnosti.Školení NIS2 pro vedení společnosti, Lekce 3.6: CISO a linie hlášení dozorčí radě
Directive: Právní předpis EU, který každé zemi určuje, jakého výsledku má dosáhnout; každá země si k jeho provedení napíše vlastní vnitrostátní zákon.; Formální název zní Směrnice (EU) 2022/2555, tedy směrnice NIS2.Školení NIS2 pro vedení společnosti, Lekce 1.1: Co je NIS2 a proč existuje. Také v: Lekce 0.1
Directors and officers liability insurance: Produkt prodávaný na ochranu členů vedení před nároky z nesprávného řízení; obvykle kryje nároky na náhradu škody za porušení povinností, nikoli pokuty uložené společnosti ani vědomá porušení.; Tajemník vašeho představenstva vám přepošle nabídku na obnovení firemního pojištění odpovědnosti členů orgánů společnosti.Školení NIS2 pro vedení společnosti, Lekce 4.2: Pojištění D&O - co kryje a kybernetické výluky
disaster recovery: Postupy a infrastruktura, které po závažné události vrátí podnik zpět do provozu.
DPO: Pověřenec pro ochranu osobních údajů. Role upravená v článcích 37 až 39 GDPR (určení, postavení, úkoly). Důrazně doporučen u každého tabletop cvičení, kde jde o osobní údaje.; DPO nebo kontakt pro ochranu osobních údajů, když jsou v sázce osobní údaje.Školení cvičení tabletop NIS 2, Lekce 1.2: Rozdělení rolí: kdo musí být v místnosti
Due care: Míra pozornosti a péče, kterou se očekává od rozumného člena vedení.; Položit tuto otázku a doložit, že jste ji položili, je samo o sobě součástí standardu náležité péče.Školení NIS2 pro vedení společnosti, Lekce 1.3: Sankce a zákaz výkonu řídicí funkce. Také v: Lekce 1.7; Lekce 1.8; Lekce 3.2
Due diligence: Příprava, kterou musíte udělat, než podepíšete cokoli s právní vahou; měřítko, které určuje, zda je vaše schválení obhajitelné.
Duty of legality: Konkrétní povinnost člena vedení dodržovat platné právo, která stojí nad pravidlem podnikatelského úsudku: o tom, zda dodržet zákonnou povinnost, se rozhodovat nesmí.; Tento princip se nazývá povinnost dodržovat zákon: člen vedení musí dodržovat platné právo a o tom, zda právní povinnost splnit, není dovolen žádný podnikatelský úsudek.Školení NIS2 pro vedení společnosti, Lekce 1.8: Business judgment rule vás nechrání

E

Early warning: První fáze oznamování, splatná do dvaceti čtyř hodin od okamžiku, kdy jste se o významném incidentu dozvěděli. V Česku prvotní hlášení do 24 hodin po zjištění incidentu (§ 16 odst. 1 zákona č. 264/2025 Sb.).; Za prvé: včasné varování, v Česku prvotní hlášení.Školení NIS2 pro vedení společnosti, Lekce 1.11: Kaskáda hlášení a významné incidenty. Také v: Lekce 3.8; Školení cvičení tabletop NIS 2, Lekce 1.1; Školení cvičení tabletop NIS 2, Lekce 2.1
Encryption at rest: Zašifrování uložených dat (na disku, v databázi nebo v záloze), aby je fyzická krádež neodhalila.; Šifrování v klidu znamená, že data ležící na disku, v databázi nebo v záloze jsou rozházená tak, že je ten, kdo úložiště ukradne, nepřečte.Školení NIS2 pro vedení společnosti, Lekce 2.13: Opatření 8 - Kryptografie
Encryption in transit: Zašifrování dat při přenosu mezi systémy, aby je odposlech neodhalil.; Šifrování při přenosu znamená, že data pohybující se mezi systémy jsou rozházená tak, že je ten, kdo provoz odposlechne, nepřečte.Školení NIS2 pro vedení společnosti, Lekce 2.13: Opatření 8 - Kryptografie
ENISA: Agentura Evropské unie pro kybernetickou bezpečnost. Spolu s týmem CSIRT určeným jako koordinátor přijímá hlášení o zranitelnostech a incidentech podle článku 14 CRA prostřednictvím jednotné platformy pro hlášení (Single Reporting Platform, v provozu od 11. září 2026). Podle článku 23 NIS 2 subjekty hlásí svému týmu CSIRT nebo příslušnému orgánu, nikoli agentuře ENISA; ENISA dostává informace o přeshraničních incidentech a čtvrtletní souhrnné zprávy od vnitrostátních orgánů.
ENISA registry: Registr, který agentura ENISA vede podle článku 27 NIS2, pro provozovatele DNS, registry domén nejvyšší úrovně, subjekty poskytující služby registrace jmen domén, poskytovatele služeb cloud computingu, služeb datových center a sítí pro doručování obsahu, poskytovatele řízených služeb a řízených bezpečnostních služeb a poskytovatele on-line tržišť, internetových vyhledávačů a služeb platforem sociálních sítí, sestavený z informací jednotných kontaktních míst.
Essential entity: Společnost v odvětví podle přílohy I nad prahovou hodnotou velikosti, podléhající proaktivnímu dohledu. Český zákon tuto kategorii nepoužívá; rozlišuje režim vyšších a nižších povinností (§ 8 zákona č. 264/2025 Sb.).; čl. 3 odst. 1 směrnice NIS 2; § 8 zákona č. 264/2025 Sb.; vyhláška č. 408/2025 Sb.; Pokud jste zařazeni jako základní subjekt, regulátor vás může auditovat, kdykoli se rozhodne.Školení NIS2 pro vedení společnosti, Lekce 1.2: Na koho se vztahuje: subjekty zásadní a důležité
Exclusion: Jmenovaná kategorie ztráty, kterou pojistka nekryje (válečné akty, již existující zranitelnosti, sankce).; A pouze finanční ztrátu, s výhradou výluk, které sepsali právníci pojišťovny.Školení NIS2 pro vedení společnosti, Lekce 4.1: Pojištění nenahrazuje opatření. Také v: Lekce 4.2
exclusion clause: Konkrétní smluvní formulace, která vyjímá určitou kategorii ztráty z krytí.; Případ Mondelez dokazuje vzorec: i pojistka na sto milionů dolarů může být zamítnuta na základě jediné výlukové klauzule, když se pojišťovna rozhodne, že útok splňuje znaky válečného aktu.Školení NIS2 pro vedení společnosti, Lekce 4.1: Pojištění nenahrazuje opatření. Také v: Lekce 4.4
exfiltration: Krádež dat z vašich systémů; okamžik, kdy se zadržení může změnit v oznamovací povinnost.; Třetí otázka: došlo k exfiltraci dat?Školení NIS2 pro vedení společnosti, Lekce 3.10: Scénář - Úspěšný phishing: významný, nebo ne?

F

Fiduciary duty: Zákonná povinnost člena vedení jednat v nejlepším zájmu společnosti. V Česku péče řádného hospodáře, tedy s nezbytnou loajalitou i s potřebnými znalostmi a pečlivostí (§ 159 odst. 1 občanského zákoníku).
Final report: Třetí fáze oznamování, splatná nejpozději jeden měsíc po oznámení incidentu, zahrnující hlavní příčinu, zmírnění a přeshraniční dopad. V Česku závěrečná zpráva do 30 dnů ode dne předložení oznámení (§ 16 odst. 3 písm. c) zákona č. 264/2025 Sb.).; Za třetí: závěrečná zpráva.Školení NIS2 pro vedení společnosti, Lekce 1.11: Kaskáda hlášení a významné incidenty. Také v: Školení cvičení tabletop NIS 2, Lekce 1.1; Školení cvičení tabletop NIS 2, Lekce 2.1
forensics: Technické vyšetřování kybernetického incidentu za účelem zjištění příčiny, rozsahu a dopadu.; Devět: zapojení externí forenzní expertizy nebo právního poradenství při závažných incidentech.Školení NIS2 pro vedení společnosti, Lekce 3.5: Co nemůžete delegovat - kontrolní seznam. Také v: Lekce 3.8; Lekce 3.10; Lekce 4.3

G

Good-faith disclosure: Úkon, kterým regulačnímu orgánu oznámíte mezeru dříve, než ji najde, což regulační orgány zohledňují jako polehčující okolnost při rozhodování o sankcích.; Oznámení v dobré víře obvykle vede k příkazu k nápravě nebo varování, nikoli k pokutě.Školení NIS2 pro vedení společnosti, Lekce 3.11: Scénář - Odhalení mezery před auditem
Grype: Skener zranitelností s otevřeným zdrojovým kódem od společnosti Anchore. Jako vstup bere SBOM a porovnává komponenty s NVD, GitHub Advisory Database a dalšími zdroji dat o zranitelnostech. Nástroj, který z SBOM dělá průběžné sledování zranitelností, což podporuje povinnosti nakládání se zranitelnostmi podle přílohy I části II a pomáhá vám všimnout si zranitelností, které mohou spustit oznámení podle článku 14.; Grype od Anchore je standardní nástroj pro smyčku monitorování.Základy CRA SBOM, Lekce 3.2: Udržování aktuální SBOM a monitorování zranitelností. Také v: Lekce 2.1; Lekce 4.1

H

hardware token: Fyzické zařízení (např. YubiKey), které generuje nebo uchovává druhý ověřovací faktor.
Hash: Otisk souboru pevné délky vypočítaný algoritmem, například SHA-256. Zahrnutí hashe pro každou komponentu SBOM umožňuje ověřit, že komponenta nebyla od vygenerování SBOM pozměněna. CycloneDX i SPDX podporují hashe na komponentu.; Hash je otisk komponentního souboru pevné délky.Základy CRA SBOM, Lekce 1.1: Co patří do SBOM: komponenty, verze a identifikátory
Holding statement: Krátké věcné vyjádření vydané brzy, ještě než jsou známa všechna fakta, které vám získá čas zjistit je správně, aniž byste působili dojmem, že mlčíte.; Za druhé: do dvou hodin vydejte úvodní prohlášení.Školení NIS2 pro vedení společnosti, Lekce 4.5: Prvních 48 hodin krizové komunikace
Hot wash: Vyhodnocovací schůzka hned po cvičení. Stejná místnost, stejný den, asi dvacet minut. Čtyři kola: co šlo dobře, co šlo špatně, co nás překvapilo, co se musí změnit.; Koučování patří do závěrečného rozboru po cvičení.Školení cvičení tabletop NIS 2, Lekce 1.3: Oddělení moderátora od účastníka. Také v: Lekce 2.2; Lekce 2.3

I

Impact: Jak zlé by to bylo, kdyby událost nastala, měřeno penězi, výpadkem, zákazníky nebo škodou.; Tato míra vystavení se měří dvěma čísly: pravděpodobnost, jak často může špatná událost nastat, a dopad, kolik by vás stála, kdyby nastala, měřeno v penězích, výpadku, zákaznících nebo škodě.Školení NIS2 pro vedení společnosti, Lekce 2.1: Riziko = Pravděpodobnost x Dopad
Important entity: Společnost v odvětví podle přílohy II nad prahovou hodnotou velikosti, podléhající reaktivnímu dohledu. Český zákon tuto kategorii nepoužívá; rozlišuje režim vyšších a nižších povinností (§ 8 zákona č. 264/2025 Sb.).; čl. 3 odst. 2 směrnice NIS 2; § 8 zákona č. 264/2025 Sb.; vyhláška č. 408/2025 Sb.; Pokud jste zařazeni jako důležitý subjekt, regulátor vás audituje, jen když to něco vyvolá: incident, stížnost, hlášení.Školení NIS2 pro vedení společnosti, Lekce 1.2: Na koho se vztahuje: subjekty zásadní a důležité
Improvement item: Akční bod, který vzejde z vyhodnocení. Má popis, odpovědnou osobu, termín, vazbu na opatření podle článku 21(2), v němž uzavírá mezeru, a jasné kritérium dokončení.; Z každé se stane položka ke zlepšení s vlastníkem, termínem a odkazem na příslušné opatření podle článku 21(2).Školení cvičení tabletop NIS 2, Lekce 2.2: Rozbor za tepla (hot wash)
In scope: Podléhající požadavkům zákona; společnost spadá do kritérií pro jeho působnost.
Incident contact: Osoba, kterou společnost určí pro komunikaci s regulačním orgánem při bezpečnostních incidentech. Vzhledem ke lhůtě 24 hodin pro včasné varování je dobrou praxí zajistit její dostupnost i mimo pracovní dobu.
Incident handling: Postupy pro odhalování bezpečnostních incidentů, reakci na ně a obnovu po nich.; Incidenty a kontinuita: (b) řešení incidentů a (c) kontinuita podnikání, tedy zálohy, obnova a krizové řízení.Školení NIS2 pro vedení společnosti, Lekce 1.9: Deset opatření: přehled
Incident notification: Druhá fáze oznamování, splatná do sedmdesáti dvou hodin, se závažností, dopadem a indikátory kompromitace. V Česku oznámení u incidentu s významným dopadem (§ 16 odst. 3 písm. a) zákona č. 264/2025 Sb.).; Za druhé: oznámení incidentu.Školení NIS2 pro vedení společnosti, Lekce 1.11: Kaskáda hlášení a významné incidenty. Také v: Školení cvičení tabletop NIS 2, Lekce 1.1; Školení cvičení tabletop NIS 2, Lekce 2.1
incident response plan: Zdokumentovaný postup pro odhalení, zadržení bezpečnostního incidentu a obnovu po něm.; Pokud neznáte odpověď na všechny tři dřív, než ten telefonát přijde, váš plán reakce na incidenty už selhal.Školení NIS2 pro vedení společnosti, Lekce 2.7: Opatření 2 - Zvládání incidentů. Také v: Lekce 3.8; Lekce 4.6
Indemnification: Smluvní ujednání, které vyžaduje, aby vám strana, jež zavinila škodu, nahradila náklady způsobené jejím selháním.; Konkrétně: lhůty pro oznámení incidentu, práva na audit, odškodnění.Školení NIS2 pro vedení společnosti, Lekce 3.9: Scénář - Narušení u dodavatele s dopadem na vaše zákaznická data
Indicators of compromise: Technické artefakty (IP adresy, hashe, domény), které dokládají bezpečnostní narušení.; Aktualizované posouzení včetně závažnosti, dopadu a tam, kde jsou k dispozici, indikátorů kompromitace.Školení NIS2 pro vedení společnosti, Lekce 1.11: Kaskáda hlášení a významné incidenty
Information security policy: Bezpečnostní dokument nejvyšší úrovně, který stojí nad každým dalším bezpečnostním pravidlem ve společnosti; první dokument, který auditor čte.; Tento nejvyšší dokument se nazývá politika bezpečnosti informací.Školení NIS2 pro vedení společnosti, Lekce 2.6: Opatření 1 - Analýza rizik a politiky bezpečnosti informací. Také v: Lekce 3.2
Initial compromise: Nejstarší okamžik, kdy se útočník dostal do vašeho prostředí. Provozovatelé ransomwaru se tam často zdržují dny, někdy týdny, než cokoli zašifrují. Správný bod obnovy leží před tímto okamžikem, nikoli jen před zašifrováním.; Správná odpověď: Nejnovější záloha, která předchází prvotnímu narušení, potvrzená jako čistá forenzním týmem.Školení cvičení tabletop NIS 2, Lekce 2.1: Jeden ucelený scénář: ransomware v systému ERP
Insider threat: Riziko pocházející z nitra organizace, od zaměstnanců, dodavatelů nebo partnerů.; V rozsahu jsou kybernetické útoky, fyzická vloupání, požáry, povodně, výpadky napájení, selhání dodavatelů, vnitřní hrozby i lidská chyba.Školení NIS2 pro vedení společnosti, Lekce 1.10: Přístup zohledňující všechna rizika a stav techniky
integrity: Data jsou přesná a nepozměněná; ztráta je poškození.
Intermediate report: Aktualizace stavu podle článku 23(4)(c) NIS 2 zaslaná na žádost CSIRT. Žádný pevný termín. Odpovídáte, když jste o to požádáni.; Článek 23 odst. 4 písm. c) stanoví, že CSIRT si může vyžádat průběžnou zprávu, kdykoli chce.Školení cvičení tabletop NIS 2, Lekce 1.1: Kaskáda hlášení podle článku 23, kterou musí vaše cvičení nacvičit
Internal controls: Procesy a opatření, které společnost udržuje k zajištění souladu a řízení rizik.; Tvrzení znělo, že chyběly zákonem vyžadované vnitřní kontroly a zveřejnění.Školení NIS2 pro vedení společnosti, Lekce 1.8: Business judgment rule vás nechrání
ISMS: Information Security Management System: úplný soubor politik, procesů a lidí, kteří řídí bezpečnost.; Celá sada dokumentů, lidí a revizních cyklů kolem nich je to, čemu váš CISO říká ISMS, tedy systém řízení bezpečnosti informací.Školení NIS2 pro vedení společnosti, Lekce 2.6: Opatření 1 - Analýza rizik a politiky bezpečnosti informací
IT-Grundschutz: Metodika kybernetické bezpečnosti německého úřadu BSI: rozsáhlý soubor bezpečnostních modulů (Bausteine) s postupem zavedení krok za krokem. V Česku nemá žádné zákonné postavení: její zavedení se nepovažuje za splnění povinností, ty stanoví vyhlášky č. 409/2025 Sb. a č. 410/2025 Sb. Jako metodické vodítko ji použít můžete. Ve vyšším režimu vyhláška připouští i jiný způsob hodnocení rizik, pokud zajistí stejnou nebo vyšší úroveň (vyhláška č. 409/2025 Sb., § 8 odst. 3).; BSI-Standard 200-1 až 200-4 (německá metodika); v českém právu bez obdoby, srov. vyhláška č. 409/2025 Sb., § 8 odst. 3

J

Joiner-mover-leaver: Proces přidělení přístupu při nástupu, jeho úpravy při změně role a odebrání při odchodu.; Proces, který propojuje HR a IT v celém životním cyklu zaměstnance (nástup, změna role a odchod), se nazývá proces joiner-mover-leaver.Školení NIS2 pro vedení společnosti, Lekce 2.14: Opatření 9 - Personální bezpečnost, řízení přístupu a správa aktiv

K

Key management: Generování, ukládání, obměna a likvidace kryptografických klíčů, díky nimž šifrování funguje; místo, kde kryptografie nejčastěji selhává.; Správa klíčů rozhoduje, zda je šifrování pevné, nebo prázdné.Školení NIS2 pro vedení společnosti, Lekce 2.13: Opatření 8 - Kryptografie
Key performance indicator: Metriky, které ukazují, zda bezpečnostní kontroly fungují tak, jak byly navrženy.; Schůzky pro hlášení musí být pravidelné, dokumentované a obsahovat konkrétní obsah: KPI, KRI, souhrn incidentů, stav rozpočtu, situaci v oblasti hrozeb a rozhodnutí vyžadující eskalaci.Školení NIS2 pro vedení společnosti, Lekce 3.6: CISO a linie hlášení dozorčí radě
Key risk indicator: Metriky, které ukazují, kde se míra kybernetického rizika společnosti v daném okamžiku nachází a jak se vyvíjí.; Schůzky pro hlášení musí být pravidelné, dokumentované a obsahovat konkrétní obsah: KPI, KRI, souhrn incidentů, stav rozpočtu, situaci v oblasti hrozeb a rozhodnutí vyžadující eskalaci.Školení NIS2 pro vedení společnosti, Lekce 3.6: CISO a linie hlášení dozorčí radě
key rotation: Výměna kryptografických klíčů podle harmonogramu s cílem omezit škodu, pokud je klíč kompromitován.
KPI: Key Performance Indicator: měří, jak dobře běží bezpečnostní proces (např. podíl oprav nasazených včas).; KPI, klíčové ukazatele výkonnosti, měří, jak dobře proces běží (například jaké procento záplat bylo nasazeno včas).Školení NIS2 pro vedení společnosti, Lekce 2.11: Opatření 6 - Posouzení účinnosti
KRI: Key Risk Indicator: měří, kolik rizika společnost aktuálně nese (např. počet otevřených kritických zranitelností).; KRI, klíčové ukazatele rizik, měří, jak velké riziko právě nesete (například kolik kritických zranitelností je momentálně otevřených).Školení NIS2 pro vedení společnosti, Lekce 2.11: Opatření 6 - Posouzení účinnosti
KRITIS: Německý pojem pro provozovatele kritických zařízení nad prahy německého prováděcího předpisu. V Česku je obdobou subjekt kritické infrastruktury podle předpisů o krizovém řízení a kritické infrastruktuře. Službu odpovídající jeho prvku kritické infrastruktury registruje NÚKIB z moci úřední a její poskytovatel je vždy v režimu vyšších povinností (§ 5 písm. d), § 6 odst. 3 a § 8 odst. 3 zákona č. 264/2025 Sb.). Platí pro něj opatření podle vyhlášky č. 409/2025 Sb., včetně auditu kybernetické bezpečnosti alespoň jednou za 2 roky (§ 16 odst. 4).; § 5 písm. d), § 6 odst. 3 a § 8 odst. 3 zákona č. 264/2025 Sb.

L

Layered insurance: Přístup kombinující pojistky D&O, kybernetického pojištění a právní obhajoby s cílem uzavřít mezeru mezi nimi.
Least privilege: Zásada, že každý uživatel má jen takový přístup, jaký potřebuje ke své práci: ne více, ne méně.
Leitfragen: Německý pojem pro strukturované otázky v kapitole 3 nezávazné pomůcky BSI ke školení vedení (§ 38 Abs. 3 BSIG).; Váš auditor nebo konzultant může tento seznam znát pod německým názvem BSI Leitfragen.Školení NIS2 pro vedení společnosti, Lekce 3.1: Otázky, na které musí odpovědět každý CEO
Lessons learned: Písemný dokument po incidentu, který zaznamenává základní příčinu a aktualizuje plán; DER.2.1.A17 říká, že vedení by mělo (SOLLTE) být o incidentech informováno každý rok.; Má pět částí a auditor kontroluje, zda všech pět existuje a bylo otestováno: detekce (jak zjistíte, že je něco špatně), klasifikace (jak je to závažné a zda to překračuje ohlašovací práh z lekce 1.11), reakce (kdo dělá co a v jakém pořadí), obnova (jak obnovíte provoz, což navazuje na opatření 3, kontinuitu provozu) a poučení z incidentu (co se stalo, proč a co se v důsledku toho změní).Školení NIS2 pro vedení společnosti, Lekce 2.7: Opatření 2 - Zvládání incidentů
Likelihood: Jak často může v daném období nastat nežádoucí událost.; Tato míra vystavení se měří dvěma čísly: pravděpodobnost, jak často může špatná událost nastat, a dopad, kolik by vás stála, kdyby nastala, měřeno v penězích, výpadku, zákaznících nebo škodě.Školení NIS2 pro vedení společnosti, Lekce 2.1: Riziko = Pravděpodobnost x Dopad

M

malware: Škodlivý software navržený k poškození, narušení nebo získání neoprávněného přístupu k systémům.; V roce 2017 zasáhl potravinářskou společnost Mondelez malware NotPetya a způsobil škody ve výši zhruba sto milionů dolarů.Školení NIS2 pro vedení společnosti, Lekce 4.1: Pojištění nenahrazuje opatření
Management approval: Formální úkon člena představenstva, kterým schvaluje něco, co zákon vyžaduje, čímž vzniká datovaný záznam o informovaném souhlasu. České vyhlášky ukládají vedení prokazatelné seznámení (vyhláška č. 410/2025 Sb., § 4 písm. d); vyhláška č. 409/2025 Sb., § 4 odst. 2).
Management body: Vedení společnosti: generální ředitel, jednatelé, členové představenstva a každý, kdo je zákonem, společenskou smlouvou nebo stanovami povolán k řízení podnikání a k zastupování společnosti.; § 2 No. 13 BSIG; Směrnice zakládá osobní odpovědnost řídícího orgánu.Školení NIS2 pro vedení společnosti, Lekce 1.1: Co je NIS2 a proč existuje. Také v: Lekce 0.1; Lekce 1.5; Školení cvičení tabletop NIS 2, Lekce 0.1; Školení cvičení tabletop NIS 2, Lekce 1.2
Management body training: Školicí povinnost vytvořená článkem 20 odst. 2, oddělená od školení k povědomí, které absolvují vaši zaměstnanci; osobní povinnost každého člena vedení. V Česku poučení vrcholného vedení podle vyhlášky č. 410/2025 Sb., § 4 písm. b) a § 5 odst. 2 písm. a), a vyhlášky č. 409/2025 Sb., § 4 odst. 1 písm. a) a § 10 odst. 3 písm. a).
Management liability: Směrnice ukládá, aby řídicí orgány opatření schvalovaly, dohlížely na jejich zavádění a mohly nést odpovědnost za porušení (čl. 20 NIS 2). České vyhlášky ukládají vrcholnému vedení, tedy statutárnímu orgánu, prokazatelně absolvovat školení, zajistit zdroje a prokazatelně se seznamovat se stavem opatření (vyhláška č. 410/2025 Sb., § 4; č. 409/2025 Sb., § 4). Zvláštní ustanovení o osobní odpovědnosti zákon nemá. Platí obecná pravidla: člen statutárního orgánu jedná s péčí řádného hospodáře (§ 159 občanského zákoníku), ve sporu sám prokazuje, že tak jednal, a k ujednáním společnosti, která jeho odpovědnost omezují, se nepřihlíží (§ 52 a 53 zákona o obchodních korporacích). Ve vyšším režimu může NÚKIB členovi statutárního orgánu dočasně zakázat výkon funkce, pokud kvůli jeho opakovanému nebo závažnému porušení povinností společnost nesplní nápravné opatření (§ 58 zákona č. 264/2025 Sb.). Kyberbezpečnost se tím přesouvá z IT oddělení do vedení.; čl. 20 směrnice NIS 2; vyhláška č. 410/2025 Sb., § 4; vyhláška č. 409/2025 Sb., § 4; § 58 zákona č. 264/2025 Sb.; § 159 občanského zákoníku; § 51 až 53 zákona o obchodních korporacích
management review: Formální jednání, na kterém vedení přezkoumává stav bezpečnosti organizace; v Česku roční vyhodnocení vyžadují vyhlášky č. 409/2025 Sb. a č. 410/2025 Sb., v německé metodice BSI-Standard 200-1.; Jde o formální přezkum vedením, kde si vy, vedoucí orgán, sednete a posoudíte, zda celý bezpečnostní program stále funguje.Školení NIS2 pro vedení společnosti, Lekce 2.4: Proč je řízení rizik nepřetržité. Také v: Lekce 2.11; Lekce 3.3; Lekce 5.1
Management review protocol: Datovaný a podepsaný dokument zaznamenávající, co bylo přezkoumáno, co bylo rozhodnuto a kdo vlastní každý následný úkol z ročního přezkumu vedení.; Přezkoumání vedením je datovaný, podepsaný dokument, protokol o přezkoumání vedením, který zaznamenává, co bylo přezkoumáno, co bylo rozhodnuto a kdo odpovídá za jednotlivá navazující opatření.Školení NIS2 pro vedení společnosti, Lekce 2.11: Opatření 6 - Posouzení účinnosti
Manager ban: Pravomoc podle článku 32 odst. 5 písm. b), pouze u základních subjektů, docílit dočasného zákazu výkonu řídicích funkcí v tomto subjektu pro osobu na úrovni výkonného ředitele nebo zákonného zástupce, pokud příkazy regulačního orgánu nejsou respektovány ani po uplynutí stanovené lhůty. V Česku zákaz ukládá přímo NÚKIB členovi statutárního orgánu poskytovatele v režimu vyšších povinností, nejméně na 6 měsíců (§ 58 zákona č. 264/2025 Sb.).; Pokud je základní subjekt nedodrží, může regulátor požádat o dočasný zákaz výkonu manažerské funkce podle článku 32 odst. 5 písm. b), který trvá, dokud nejsou nedostatky odstraněny.Školení NIS2 pro vedení společnosti, Lekce 1.3: Sankce a zákaz výkonu řídicí funkce
Mandatory incident reporting: Vaše zákonná povinnost oznámit incident regulačnímu orgánu v rámci kaskády 24 hodin / 72 hodin / jeden měsíc vymezené v článku 23. V Česku prvotní hlášení do 24 hodin, oznámení do 72 hodin u incidentu s významným dopadem a závěrečná zpráva do 30 dnů od oznámení (§§ 15 a 16 zákona č. 264/2025 Sb.).
Market surveillance authority: Vnitrostátní orgán, který v každém členském státě EU kontroluje soulad s CRA. Orgány dozoru nad trhem mohou na základě odůvodněné žádosti požadovat dokumentaci potřebnou ke kontrole shody a SBOM, pokud je pro tuto kontrolu nezbytný. Zveřejňovat ho nemusíte.; Orgán dozoru nad trhem zkoumající zranitelnost z doby před třemi lety požaduje SBOM verze, která byla v dané době na trhu.Základy CRA SBOM, Lekce 1.3: Pravidlo uchovávání po dobu 10 let a kdo získá přístup. Také v: Lekce 0.1
MUK: Německý centrální firemní účet pro služby spolkové správy. V Německu se přes něj firmy přihlašují k registraci u německého úřadu BSI. Česká firma ho nepotřebuje. V Česku se ohlášení služby, hlášení údajů i hlášení incidentů podávají elektronicky přes Portál NÚKIB (§ 45 odst. 2 a § 16 odst. 4 zákona č. 264/2025 Sb.). Přihlašuje se statutární orgán nebo jím pověřený zástupce, a to identitou občana přes Národní identitní autoritu (NIA). Prvním praktickým krokem je tedy ověřit, že ten, kdo bude za firmu jednat, má funkční identitu občana.; § 45 zákona č. 264/2025 Sb.; vyhláška č. 334/2025 Sb., § 2
Multi-factor authentication: Bezpečnostní kontrola vyžadující dva nebo více ověřovacích faktorů pro přístup k systému.; Pokud jste schválili vícefaktorové ověřování pro přihlašování zaměstnanců, používáte vícefaktorové ověřování.Školení NIS2 pro vedení společnosti, Lekce 1.5: Vaše povinnost schvalovat a dohlížet. Také v: Lekce 1.9
Multi-factor authentication (MFA): Přihlášení vyžadující dva nebo více ověřovacích faktorů, například heslo plus hardwarový token nebo telefon; fakticky povinné pro vzdálený přístup, administrátorské účty, kritické systémy a e-mail. České vyhlášky ji požadují pro všechny administrátory, uživatele i technická aktiva, s náhradními pravidly do doby jejího zavedení (vyhláška č. 410/2025 Sb., § 8; vyhláška č. 409/2025 Sb., § 19).; vyhláška č. 410/2025 Sb., § 8; vyhláška č. 409/2025 Sb., § 19; čl. 21 odst. 2 písm. j) směrnice NIS 2; Největší jediný důvod, proč převzetí účtů uspějí, je ten, že vícefaktorová autentizace nebyla zapnutá.Školení NIS2 pro vedení společnosti, Lekce 2.15: Opatření 10 - Vícefaktorové ověřování a zabezpečená komunikace

N

NACE code: Statistická klasifikace ekonomických činností v Evropském společenství (Nomenclature statistique des Activités économiques dans la Communauté Européenne); česká verze se jmenuje CZ-NACE. Vyhláška č. 408/2025 Sb. jejími oddíly vymezuje některé regulované služby, například výrobu strojů (oddíl 28 CZ-NACE). Kód CZ-NACE vaší společnosti je proto dobrým prvním vodítkem, zda vaše služba patří do přílohy vyhlášky.; Nařízení (ES) 1893/2006; příloha vyhlášky č. 408/2025 Sb.
named insured: Konkrétní osoba nebo subjekt uvedený v pojistce jako ten, koho krytí chrání.; Tento osobní nárok musí být hájen pojistkou, která jako pojištěného uvádí osobně vás.Školení NIS2 pro vedení společnosti, Lekce 4.3: Kybernetické pojištění vs D&O - jiné produkty, jiné krytí
nation-state: Země jednající prostřednictvím svých zpravodajských nebo vojenských služeb za účelem provádění kybernetických operací.; Výluka válečných aktů nebo útoku národního státu: Lloyd's tuto formulaci zpřísnil v roce 2023 po případu Mondelez.Školení NIS2 pro vedení společnosti, Lekce 4.4: Běžné výluky v pojistce, na které si dát pozor
NIS2 Annex I: High-criticality sectors: Seznam odvětví, jejichž subjekty jsou podle směrnice „základní“, když splní velikostní práh: energetika (elektřina, ropa, plyn, vodík, dálkové vytápění), doprava (letecká, železniční, vodní, silniční), bankovnictví, infrastruktura finančního trhu, zdravotnictví, pitná voda, odpadní voda, digitální infrastruktura, řízení služeb IKT, veřejná správa a vesmír. Český zákon odvětví z obou příloh spojuje do jednoho seznamu (§ 4 odst. 1 písm. a)); jednotlivé služby a jejich režim určuje vyhláška č. 408/2025 Sb.; příloha I směrnice NIS 2; § 4 odst. 1 zákona č. 264/2025 Sb.; vyhláška č. 408/2025 Sb.
NIS2 Annex II: Other critical sectors: Seznam odvětví, jejichž subjekty jsou podle směrnice „důležité“, když splní velikostní práh: poštovní a kurýrní služby, nakládání s odpady, výroba a distribuce chemických látek, výroba a distribuce potravin, výroba (zdravotnické prostředky, elektronika, stroje, vozidla), poskytovatelé digitálních služeb (on-line tržiště, vyhledávače, sociální sítě) a výzkumné organizace. V Česku tyto služby vyhláška č. 408/2025 Sb. řadí zpravidla do režimu nižších povinností.; příloha II směrnice NIS 2; § 4 odst. 1 zákona č. 264/2025 Sb.; vyhláška č. 408/2025 Sb.
NIS2 Directive: Směrnice (EU) 2022/2555, celounijní právní předpis o kybernetické bezpečnosti pro základní a důležité subjekty.; Směrnice (EU) 2022/2555; Formální název zní Směrnice (EU) 2022/2555, tedy směrnice NIS2.Školení NIS2 pro vedení společnosti, Lekce 1.1: Co je NIS2 a proč existuje
NIS2UmsuCG: Německý zákon, kterým Německo provedlo směrnici NIS 2. Podstatně novelizoval německý zákon o BSI a platí od 6. prosince 2025. Pro českou firmu je důležitý jen tehdy, když působí v Německu. V Česku směrnici provádí zákon č. 264/2025 Sb., o kybernetické bezpečnosti, účinný od 1. listopadu 2025; když se v Česku mluví o souladu s NIS 2, myslí se tím plnění tohoto zákona a jeho vyhlášek.; čl. 41 směrnice NIS 2; zákon č. 264/2025 Sb.
non-conformance: Konkrétní nesplnění zákonného požadavku; formální označení nálezu.; Zjištění je neshoda: něco, co zákon vyžaduje a co nemáte nebo neděláte.Školení NIS2 pro vedení společnosti, Lekce 3.7: Co se děje během kontroly regulačního orgánu
Non-delegable: Nelze přenést na jinou osobu ani nechat vykonat někým jiným vaším jménem.; Školicí povinnost je osobní a nepřenosná.Školení NIS2 pro vedení společnosti, Lekce 1.6: Vaše povinnost školení. Také v: Lekce 0.1; Lekce 4.6
Non-delegable duty: Povinnost, kterou zákon ukládá přímo vedení: schvalovat opatření k řízení rizik a dohlížet na jejich uplatňování (čl. 20 odst. 1). CISO nebo tým compliance mohou práci připravit a provést, odpovědnost však zůstává na vedení.; Když je hranice nejasná, považujte rozhodnutí za nedelegovatelné a podepište je sám.Školení NIS2 pro vedení společnosti, Lekce 3.5: Co nemůžete delegovat - kontrolní seznam
Notification clause: Klauzule, která vám ukládá informovat pojistitele v krátké lhůtě, jinak riskujete ztrátu krytí.; Klauzule o opožděném oznámení: zneplatňuje krytí, pokud podáte nárok u pojišťovny po přísné lhůtě stanovené v pojistce.Školení NIS2 pro vedení společnosti, Lekce 4.4: Běžné výluky v pojistce, na které si dát pozor
notification window: Striktní lhůta, do které musí být škodní událost oznámena pojistiteli.

O

Observation: Oblast, kterou auditor zaznamenává jako příležitost ke zlepšení a která nepředstavuje porušení práva; sama o sobě nevede k sankci, ale orgán může nařídit provedení doporučení z auditu (čl. 32 odst. 4 písm. f) a čl. 33 odst. 4 písm. f)) a její ignorování příště otevírá cestu ke zjištění.; Pozorování je oblast, která zaostává za dobrou praxí, ale neporušuje zákon.Školení NIS2 pro vedení společnosti, Lekce 3.7: Co se děje během kontroly regulačního orgánu
OFAC: Office of Foreign Assets Control; úřad ministerstva financí USA, který spravuje sankční seznamy.; Analýza OFAC probíhala souběžně s rozhodnutím o platbě, nikoli před ním.Školení NIS2 pro vedení společnosti, Lekce 4.6: Rozhodování o zaplacení výkupného u ransomwaru
On-site inspection: Fyzická návštěva auditního týmu regulačního orgánu ve vašich prostorách, povolená podle článku 32 odst. 2 písm. a) u základních subjektů a článku 33 odst. 2 písm. a) u důležitých subjektů. V Česku kontrola NÚKIB podle § 55 zákona č. 264/2025 Sb. a kontrolního řádu (č. 255/2012 Sb.).; NÚKIB vám oznámí kontrolu na místě.Školení NIS2 pro vedení společnosti, Lekce 3.7: Co se děje během kontroly regulačního orgánu
orphaned account: Aktivní uživatelský účet, který již nepatří současnému zaměstnanci: častý nález auditu.
Out-of-band channel: Nouzová komunikační cesta oddělená od běžných systémů, používaná, když jsou tyto systémy kompromitovány.; Kanál mimo hlavní pásmo (samostatný komunikační nástroj, vyhrazená telefonní linka) existuje přesně pro tento okamžik.Školení NIS2 pro vedení společnosti, Lekce 2.15: Opatření 10 - Vícefaktorové ověřování a zabezpečená komunikace
Oversight duty: Trvalá povinnost sledovat, zda jsou schválená opatření skutečně zaváděna.

P

patch: Softwarová aktualizace, která opravuje známou zranitelnost.
Patch SLA: Písemná lhůta pro aplikaci záplat, stanovená podle stupně závažnosti; CIR požaduje záplaty v přiměřené době a zdokumentované důvody každé výjimky (6.6.1, 6.6.2).; Váš tým těmto lhůtám říká patch SLA.Školení NIS2 pro vedení společnosti, Lekce 2.10: Opatření 5 - Pořizování, vývoj a údržba
Personal civil liability: Právní riziko člena vedení, že bude muset z osobního majetku nahradit škodu, pokud porušení zákonné povinnosti zaviněně způsobí společnosti ztrátu.
Personal data: Veškeré informace o identifikované nebo identifikovatelné fyzické osobě. Definováno v článku 4(1) GDPR.; DPO nebo kontakt pro ochranu osobních údajů, když jsou v sázce osobní údaje.Školení cvičení tabletop NIS 2, Lekce 1.2: Rozdělení rolí: kdo musí být v místnosti
personal liability: Právní odpovědnost, která dopadá na jednotlivého člena vedení, a to vedle společnosti.; A osobní odpovědnost podle čl. 20 odst. 1 (v Česku § 159 občanského zákoníku a §§ 51 až 53 zákona o obchodních korporacích) kryje pojištění D&O, nikoli kybernetické pojištění.Školení NIS2 pro vedení společnosti, Lekce 4.1: Pojištění nenahrazuje opatření
Phishing simulation: Pravidelné předstírané phishingové e-maily zasílané zaměstnancům k testování povědomí; součást školicího programu, s následným školením pro každého, kdo klikne.; Kolik phishingových simulací poslala vaše vlastní firma vám, osobně, za posledních dvanáct měsíců?Školení NIS2 pro vedení společnosti, Lekce 2.12: Opatření 7 - Kybernetická hygiena a školení
Privileged accounts: Účty administrátora, root a doménového správce s rozšířeným přístupem; vyžadují vlastní pravidla a vlastní rytmus přezkumu, u digitálních poskytovatelů jako součást politiky řízení přístupu (příloha CIR, bod 11.3.1).; K tomu privilegované účty (administrátoři, root přístup, doménoví administrátoři) potřebují vlastní pravidla s přísnějšími kontrolami.Školení NIS2 pro vedení společnosti, Lekce 2.14: Opatření 9 - Personální bezpečnost, řízení přístupu a správa aktiv
Proactive supervision: Regulační orgán vás může podrobit auditu bez konkrétního podnětu (podle směrnice platí pro základní subjekty; v Česku NÚKIB kontroluje oba režimy, § 55 zákona č. 264/2025 Sb.).; Směrnice to v článku 32 nazývá proaktivním dohledem.Školení NIS2 pro vedení společnosti, Lekce 1.2: Na koho se vztahuje: subjekty zásadní a důležité
Product with digital elements: Softwarový nebo hardwarový produkt a jeho řešení pro vzdálené zpracování dat, včetně komponent uváděných na trh samostatně (čl. 3 bod 1 CRA). CRA se vztahuje na produkty, jejichž zamýšlený účel nebo rozumně předvídatelné použití zahrnuje přímé či nepřímé datové připojení k zařízení nebo síti (čl. 2 odst. 1). Zahrnuje fyzická zařízení s firmwarem, samostatný software, aplikace a operační systémy.; CRA se vztahuje na každý produkt s digitálními prvky, hardware nebo software, který se může připojit přímo nebo nepřímo k jinému zařízení nebo síti.Základy CRA SBOM, Lekce 0.1: Co je SBOM a proč jej CRA učinil povinnou
Progress report: Použije se podle článku 23(4)(e) NIS 2, pokud incident není ve lhůtě jednoho měsíce dosud vyřešen. Závěrečná zpráva následuje, jakmile je incident uzavřen. V Česku průběžná zpráva o aktuálním stavu a závěrečná zpráva do 30 dnů od vyřešení incidentu (§ 16 odst. 3 písm. c) zákona č. 264/2025 Sb.).; Místo toho odešlete zprávu o pokroku.Školení cvičení tabletop NIS 2, Lekce 1.1: Kaskáda hlášení podle článku 23, kterou musí vaše cvičení nacvičit
Proportionality: Zásada podle článku 21 odst. 1, která přizpůsobuje to, co musíte zavést, vaší velikosti, odvětví a skutečné míře rizika. V Česku opatření zavádíte „v míře nezbytné“ (§ 13 odst. 2 zákona č. 264/2025 Sb.).; Přiměřenost v článku 21 odst. 1 škáluje hloubku podle vaší velikosti, odvětví a míry rizika.Školení NIS2 pro vedení společnosti, Lekce 1.9: Deset opatření: přehled
PURL: Package URL. Standardní identifikátor softwarových komponent: `pkg:type/namespace/name@version`. Například `pkg:npm/%40angular/core@17.0.0`. PURL jsou doporučeným jedinečným identifikátorem v CycloneDX i SPDX a praktickou kotvou pro propojení komponenty SBOM se záznamem v databázi CVE.; PURL (Package URL) je standardní způsob, jak jednoznačně identifikovat komponentu napříč registry a databázemi.Základy CRA SBOM, Lekce 1.1: Co patří do SBOM: komponenty, verze a identifikátory. Také v: Lekce 2.1; Lekce 2.2; Lekce 4.1

R

ransomware: Škodlivý software, který šifruje data a požaduje platbu za dešifrovací klíč.; Dne 19. března 2019 ransomware přes noc odstavil čtyřicet výrobních závodů společnosti Norsk Hydro.Školení NIS2 pro vedení společnosti, Lekce 3.8: Scénář - Útok ransomwaru v pátek odpoledne. Také v: Lekce 4.4; Lekce 4.6
RBAC: Role-Based Access Control: oprávnění přidělovaná podle pracovní role, nikoli jednotlivě.
reactive supervision: Pravomoc regulačního orgánu provádět audit u důležitých subjektů, je-li vyvolán incidentem, stížností nebo zpravodajskými informacemi. Český zákon tento rozdíl nepřebírá: NÚKIB kontroluje poskytovatele v obou režimech (§ 55 zákona č. 264/2025 Sb.).
Recipients of services: Právní pojem směrnice pro zákazníky subjektu.; Článek 23 odst. 1 směrnice NIS2 stanoví, že subjekty v příslušných případech oznámí příjemcům služeb „bez zbytečného odkladu“ významné incidenty, které by mohly negativně ovlivnit poskytování těchto služeb.Školení NIS2 pro vedení společnosti, Lekce 1.12: Povinnost informovat zákazníky
Recurring incidents: Incidenty, které nejsou jednotlivě významné, ale nastanou nejméně dvakrát během šesti měsíců, mají stejnou zjevnou základní příčinu a společně splňují kritérium finanční ztráty; považují se za jeden významný incident (článek 4 CIR).
Recurring incidents rule: Pravidlo podle článku 4 CIR (pro typy poskytovatelů, na které se CIR vztahuje), které považuje malé incidenty se stejnou zjevnou základní příčinou, nastalé nejméně dvakrát během šesti měsíců, za jeden významný incident, pokud společně překročí finanční prahovou hodnotu.; Článek 4 doplňuje pravidlo opakujících se incidentů: dva nebo více incidentů během šesti měsíců se stejnou základní příčinou, které dohromady překročí práh, se počítají jako jeden významný incident.Školení NIS2 pro vedení společnosti, Lekce 3.10: Scénář - Úspěšný phishing: významný, nebo ne?
Registration: Administrativní podání u regulačního orgánu podle čl. 3 odst. 4 NIS2 (v Česku ohlášení služby NÚKIB podle § 6 odst. 1 zákona č. 264/2025 Sb.), první úkon v rámci souladu poté, co se na společnost začne vztahovat NIS2.; Pokud tuto lhůtu zmeškáte, první věc, kterou regulátor uvidí, když si otevře váš spis, je chybějící registrace.Školení NIS2 pro vedení společnosti, Lekce 1.4: Registrační povinnost
Regulation: Právní předpis EU, který platí přímo v každé zemi bez transpozice (např. GDPR, CIR).; NIS2 je směrnice, nikoli nařízení.Školení NIS2 pro vedení společnosti, Lekce 1.1: Co je NIS2 a proč existuje
remediation: Proces odstranění mezery nebo neshody zjištěné při auditu nebo přezkumu.; Za páté: zjištění z auditu vyžadující nápravu.Školení NIS2 pro vedení společnosti, Lekce 3.3: Kdy znovu schválit. Také v: Lekce 3.7; Lekce 3.10
Remediation order: Příkaz regulačního orgánu k odstranění konkrétního nedostatku v určené lhůtě (čl. 32 odst. 4 písm. b) a d)); může být vydán s pokutou i bez ní.; Oznámení v dobré víře obvykle vede k příkazu k nápravě nebo varování, nikoli k pokutě.Školení NIS2 pro vedení společnosti, Lekce 3.11: Scénář - Odhalení mezery před auditem
Remediation plan: Písemná odpověď společnosti na nálezy: nápravné opatření, jmenovaný odpovědný, lhůta a doklad o splnění u každé položky.; Spouští nápravný příkaz s termínem.Školení NIS2 pro vedení společnosti, Lekce 3.7: Co se děje během kontroly regulačního orgánu
removable media: USB disky, externí pevné disky a podobná přenosná úložiště; podle CIR vyžaduje samostatnou politiku.
Residual risk: Riziko, které zůstává poté, co jste zavedli kontroly; to, co schvalujete, když podepisujete registr rizik.; To, co zbude poté, co jste zavedli svá opatření, se nazývá zbytkové riziko.Školení NIS2 pro vedení společnosti, Lekce 2.3: Možnosti ošetření rizik a ochota k riziku. Také v: Lekce 3.4; Lekce 3.5
Responsible disclosure: Zveřejněný postup, jak mohou externí bezpečnostní výzkumníci hlásit chyby vaší společnosti.; Ve stejné větě je čtvrtá část: zveřejňování zranitelností.Školení NIS2 pro vedení společnosti, Lekce 2.10: Opatření 5 - Pořizování, vývoj a údržba
restore test: Proces obnovení dat ze zálohy za účelem ověření, že záloha funguje; neotestovaná záloha není zálohou.
Reverse burden of proof: Pravidlo německého práva obchodních společností (například § 93 odst. 2 AktG), podle něhož musí člen vedení prokázat, že jednal pečlivě, místo aby nedbalost prokazoval žalobce.; V mnoha zemích EU, včetně Česka, se na odpovědnost členů vedení uplatňuje obrácené důkazní břemeno.Školení NIS2 pro vedení společnosti, Lekce 1.7: Osobní odpovědnost podle vnitrostátního práva obchodních společností
Risk acceptance: Rozhodnutí žít s rizikem místo jeho odstranění. U digitálních poskytovatelů ho přijímají řídící orgány nebo osoby odpovědné za řízení rizik, které jim podávají zprávy (příloha CIR, bod 2.1.1); v Česku v režimu vyšších povinností podle kritérií akceptovatelnosti, která stanoví povinná osoba (vyhláška č. 409/2025 Sb., § 8 odst. 1 písm. a)).
Risk analysis: Proces identifikace hrozeb, posouzení pravděpodobnosti a dopadu a stanovení způsobu ošetření.; Základ: (a) analýza rizik a politiky bezpečnosti informací a (f) testování účinnosti.Školení NIS2 pro vedení společnosti, Lekce 1.9: Deset opatření: přehled. Také v: Lekce 3.2
Risk analysis methodology: Zdokumentovaný postup identifikace a hodnocení rizik; součást politik opatření 1 podle článku 21 odst. 2 písm. a).; Zaprvé písemnou metodu, kterou vaše společnost dodržuje při identifikaci a hodnocení rizik, tedy metodiku analýzy rizik (Lekce 2.1 probrala rovnici, která za ní stojí).Školení NIS2 pro vedení společnosti, Lekce 2.6: Opatření 1 - Analýza rizik a politiky bezpečnosti informací
Risk appetite: Míra rizika, se kterou je společnost ochotna žít, stanovená vedením jako hranice, v níž se CISO pohybuje.; Ještě jedna věc, za kterou odpovídá ředitel: apetit k riziku, tedy míra rizika, s níž je firma ochotna celkově žít.Školení NIS2 pro vedení společnosti, Lekce 2.3: Možnosti ošetření rizik a ochota k riziku
Risk assessment: Vyhodnocení hrozeb a jejich potenciálního dopadu na organizaci.; Pokud vaše posouzení rizik uvádí pouze kybernetické útoky, nesplňuje standard zohlednění všech rizik.Školení NIS2 pro vedení společnosti, Lekce 1.10: Přístup zohledňující všechna rizika a stav techniky. Také v: Lekce 2.1
Risk management cycle: Nepřetržitá smyčka identifikace, analýzy, ošetření a sledování: nikdy nekončí, protože vstupy se mění rychleji, než dokáže roční přezkum zachytit.; Pokud žádný zdokumentovaný proces spouštění neexistuje, cyklus řízení rizik neběží.Školení NIS2 pro vedení společnosti, Lekce 2.4: Proč je řízení rizik nepřetržité
Risk matrix: Mřížka, která zanáší pravděpodobnost proti dopadu; každé zjištěné riziko se na ni umístí a pravý horní roh je tam, kde začíná práce vedení.; Po této lekci dokážete pohlédnout na matici rizik, najít roh, na kterém záleží, a vědět, kde začíná rozhovor o rozpočtu.Školení NIS2 pro vedení společnosti, Lekce 2.1: Riziko = Pravděpodobnost x Dopad
Risk register: Formální dokument uvádějící zjištěná rizika, jejich posouzení a rozhodnutí o jejich ošetření.; Datovaný podpis schválení, záznam o školení, zápis ze zasedání, registr rizik s vaším podpisem.Školení NIS2 pro vedení společnosti, Lekce 1.7: Osobní odpovědnost podle vnitrostátního práva obchodních společností. Také v: Lekce 2.1; Lekce 3.5
Risk treatment: Rozhodnutí, co se zjištěným rizikem udělat: vyhnout se mu, zmírnit je, přenést je nebo je přijmout.; Bez ní se každé rozhodnutí o ošetření rizika stává hádkou, nikoli procesem.Školení NIS2 pro vedení společnosti, Lekce 2.3: Možnosti ošetření rizik a ochota k riziku
Risk-management measures: Pravidla, lidé a nástroje, jimiž vaše společnost řídí rizika pro své sítě a informační systémy a omezuje dopad incidentů, stanovené v článku 21.; § 13 a 14 zákona č. 264/2025 Sb.; čl. 21 odst. 2 směrnice NIS 2; Splňují naše opatření k řízení rizik požadavky zákona a jsou zdokumentována?Školení NIS2 pro vedení společnosti, Lekce 3.1: Otázky, na které musí odpovědět každý CEO
Root cause: Hlavní důvod, proč incident nastal.; Dva nebo více incidentů se stejnou zjevnou příčinou, které nastanou v průběhu šesti měsíců a které dohromady překročí finanční práh, se považují za jeden významný incident.Školení NIS2 pro vedení společnosti, Lekce 1.11: Kaskáda hlášení a významné incidenty
RPO: Recovery Point Objective: maximální přijatelná ztráta dat, měřená v čase.; RPO (Recovery Point Objective) určuje, kolik dat si můžete dovolit ztratit.Školení NIS2 pro vedení společnosti, Lekce 2.8: Opatření 3 - Kontinuita činností
RTO: Recovery Time Objective: maximální přijatelná doba pro obnovení služby po narušení.; RTO (Recovery Time Objective) určuje, jak rychle musíte být zpět v provozu.Školení NIS2 pro vedení společnosti, Lekce 2.8: Opatření 3 - Kontinuita činností

S

sanctions law: Pravidla, která zakazují platby určitým osobám a skupinám; v USA bez ohledu na úmysl, v EU se odpovědnosti zbaví jen ten, kdo nevěděl a neměl žádný důvod se domnívat, že opatření porušuje (nařízení Rady (EU) 2019/796, čl. 10 odst. 2). První právní kontrola před jakoukoli platbou výkupného.; Správná odpověď: „nyní ne, a jedině po právním přezkumu sankčního práva.“Školení NIS2 pro vedení společnosti, Lekce 3.8: Scénář - Útok ransomwaru v pátek odpoledne. Také v: Lekce 4.6
sanctions list: Zveřejněný seznam osob, skupin a organizací, kterým je zakázáno přijímat platby.; Otázka sankcí byla po celou dobu aktuální.Školení NIS2 pro vedení společnosti, Lekce 4.6: Rozhodování o zaplacení výkupného u ransomwaru
SBOM: Software Bill of Materials. Strojově čitelný soupis všech softwarových komponent v produktu: názvy, verze, dodavatelé a identifikátory. Vyžadováno pro produkty s digitálními prvky podle Přílohy I část II bod (1) CRA.; Tento kurz vás naučí, jak sestavovat, udržovat a uchovávat SBOM splňující požadavky nařízení o kybernetické odolnosti.Základy CRA SBOM, Lekce 0.1: Co je SBOM a proč jej CRA učinil povinnou
Scoping assessment: Kontrola, zda se na vás NIS2 vztahuje a do které kategorie spadáte. Můžete ji provést sami; podpořit ji může právník.; „Provedli jsme posouzení působnosti a do které kategorie spadáme?“Školení NIS2 pro vedení společnosti, Lekce 1.2: Na koho se vztahuje: subjekty zásadní a důležité
secure development: Zdokumentovaný standard pro psaní softwaru s bezpečností zabudovanou od počátku, nikoli doplněnou dodatečně.
Secured communications: Zabezpečená hlasová, obrazová a textová komunikace pro citlivé obchodní použití; článek 21 odst. 2 písm. j) ji uvádí jako opatření, které se má uplatnit, kde je to vhodné.; Druhá polovina ustanovení se týká zabezpečené komunikace.Školení NIS2 pro vedení společnosti, Lekce 2.15: Opatření 10 - Vícefaktorové ověřování a zabezpečená komunikace
security control: Technické nebo organizační opatření použité k řízení konkrétního rizika.
Sign-off: Vaše formální, osobní a datované schválení opatření kybernetické bezpečnosti společnosti, vyžadované podle článku 20 odst. 1 směrnice NIS2. České vyhlášky ukládají vedení prokazatelné seznámení se stavem opatření (vyhláška č. 410/2025 Sb., § 4 písm. d); vyhláška č. 409/2025 Sb., § 4 odst. 2); datovaný podpis je nejlepší doklad.; Pokud nemáte žádný důkaz, že jste se snažili pochopit své povinnosti, žádný záznam o školení, žádný doložený souhlas, žádný zápis z jednání ukazující, že jste kladli otázky, je to faktor, který všechny tři vrstvy překlopí špatným směrem.Školení NIS2 pro vedení společnosti, Lekce 1.3: Sankce a zákaz výkonu řídicí funkce. Také v: Lekce 0.1; Lekce 1.5; Lekce 1.7; Lekce 3.3; Lekce 3.4
Significant incident: Incident s významným dopadem podle článku 23 odst. 3, oznamovaný podle článku 23; u digitálních poskytovatelů ho upřesňují prahové hodnoty CIR 2024/2690. V Česku incident s významným dopadem podle § 15 odst. 3 zákona č. 264/2025 Sb.; § 15 a 16 zákona č. 264/2025 Sb.; vyhláška č. 410/2025 Sb., § 14; CIR 2024/2690 čl. 3; Článek 23 směrnice NIS2 vyžaduje, aby dotčené firmy hlásily významné incidenty svému národnímu CSIRT nebo příslušnému orgánu.Školení NIS2 pro vedení společnosti, Lekce 1.11: Kaskáda hlášení a významné incidenty. Také v: Lekce 3.1; Lekce 3.10; Školení cvičení tabletop NIS 2, Lekce 1.1
Size threshold: Počet zaměstnanců, roční obrat a roční bilanční suma, které rozhodují o tom, zda na společnost dopadá NIS2.; Většina firem spadá do působnosti přes jednoduchý prahový limit velikosti: padesát nebo více zaměstnanců, nebo roční obrat i roční bilanční suma vyšší než deset milionů eur.Školení NIS2 pro vedení společnosti, Lekce 1.2: Na koho se vztahuje: subjekty zásadní a důležité
SPDX: Software Package Data Exchange. Standard ISO/IEC 5962:2021 pro SBOM, který vznikl v organizaci Linux Foundation. Zaměřený na licence: postavený na dodržování licencí open source a na uvádění autorství. K dispozici ve formátech JSON, YAML, RDF a tag-value. CycloneDX i SPDX jsou běžně používané strojově čitelné formáty a BSI TR-03183-2 je přijímá. Samotná CRA v příloze I části II bodě 1 žádný formát neuvádí; Komise může jeden stanovit (čl. 13 odst. 24).; Formáty CycloneDX a SPDX tuto mezeru vyplňují.Základy CRA SBOM, Lekce 1.1: Co patří do SBOM: komponenty, verze a identifikátory. Také v: Lekce 0.1; Lekce 2.1; Lekce 2.2; Lekce 4.1
State of the art: Aktuální úroveň osvědčených postupů, k níž přispívají uznávané normy; článek 21 odst. 1 uvádí obojí. Měřítko auditora se mění spolu s tím, jak se vyvíjejí postupy a normy.; Článek 21 odst. 1 vyžaduje opatření přijatá „s ohledem na nejnovější technický vývoj“, tedy stav techniky.Školení NIS2 pro vedení společnosti, Lekce 1.10: Přístup zohledňující všechna rizika a stav techniky
Statutory duty: Něco, co vám zákon ukládá vykonat osobně, na rozdíl od běžného obchodního rozhodnutí. Článek 20 NIS2 zakládá zákonné povinnosti pro vedení; v Česku je provádějí vyhlášky č. 409/2025 Sb. a č. 410/2025 Sb., vždy § 4.; Korporátní právo každé země EU dává společnosti mechanismus, jak od člena vedení vymáhat náhradu škody, pokud porušil zákonnou povinnost.Školení NIS2 pro vedení společnosti, Lekce 1.7: Osobní odpovědnost podle vnitrostátního práva obchodních společností. Také v: Lekce 1.8; Lekce 4.2
Sufficient knowledge: Měřítko podle článku 20 odst. 2: dostatek znalostí a dovedností k tomu, aby bylo možné identifikovat rizika a posoudit opatření i jejich dopad na služby. Zákon nevyžaduje ani zkoušku, ani certifikaci.
Supervisory board: Kontrolní orgán v dvoustupňové struktuře společnosti, který může uplatňovat nároky vůči členům vedení.; Vaše dozorčí rada zasedá hned druhý den ráno.Školení NIS2 pro vedení společnosti, Lekce 1.7: Osobní odpovědnost podle vnitrostátního práva obchodních společností. Také v: Lekce 3.6
Supplier inventory: Udržovaný seznam všech dodavatelů s tím, k čemu mají přístup, a jejich klasifikací rizik.; Za prvé: evidenci dodavatelů.Školení NIS2 pro vedení společnosti, Lekce 2.9: Opatření 4 - Bezpečnost dodavatelského řetězce
Supply chain: Síť dodavatelů a poskytovatelů služeb, na nichž je vaše společnost závislá.; Dodavatelský řetězec a systémy: (d) zabezpečení dodavatelského řetězce a (e) bezpečnost v tom, jak nakupujete, vyvíjíte a udržujete IT systémy, včetně řešení zranitelností.Školení NIS2 pro vedení společnosti, Lekce 1.9: Deset opatření: přehled. Také v: Lekce 2.9
Supply chain attack: Útok, který cílí na výrobce prostřednictvím kompromitované závislosti nebo dodavatele, nikoli přímým útokem na systémy výrobce. Příklady jsou SolarWinds a XZ Utils. SBOM je vaše mapa pro identifikaci, které komponenty dodavatelského řetězce jsou přítomny, a tedy které útoky na dodavatelský řetězec mohou dosáhnout vašeho produktu.; Dodavatel je důležitý pro posouzení rizika útoku na dodavatelský řetězec.Základy CRA SBOM, Lekce 1.1: Co patří do SBOM: komponenty, verze a identifikátory
Supply chain incident: Bezpečnostní událost u dodavatele, která může pro vaši společnost založit právní povinnost podle článků 21 a 23.
Supply chain security: Požadavek posuzovat a řídit kyberbezpečnostní rizika ve vašem dodavatelském řetězci, zejména u poskytovatelů IT služeb a cloudu a u každého dodavatele s přístupem k vašim systémům nebo datům. Zavádíte-li bezpečnostní opatření prostřednictvím dodavatele, vybíráte ho podle požadavků tohoto opatření a zahrnete je do smlouvy (§ 13 odst. 5 zákona č. 264/2025 Sb.). Co má smlouva obsahovat, uvádí příloha č. 2 vyhlášky č. 410/2025 Sb.; ve vyšším režimu příloha č. 5 vyhlášky č. 409/2025 Sb. pro významné dodavatele, které navíc evidujete a písemně o tom informujete (§ 9).; § 13 odst. 5 zákona č. 264/2025 Sb.; čl. 21 odst. 2 písm. d) a odst. 3 směrnice NIS 2
Support period: Doba, po kterou výrobce poskytuje bezpečnostní aktualizace pro produkt. Článek 13(8) CRA vyžaduje, aby doba podpory činila alespoň pět let, nebo očekávanou dobu používání, je-li produkt očekáván v používání po dobu kratší než pět let. Doba uchovávání SBOM běží 10 let nebo do konce této doby podpory, podle toho, co je delší.; nebo doba podpory, podle toho, která je delšíZáklady CRA SBOM, Lekce 1.3: Pravidlo uchovávání po dobu 10 let a kdo získá přístup
Syft: Open-source generátor SBOM od Anchore. Skenuje kontejnerové obrazy, souborové systémy a manifesty balíčků specifické pro jazyk. Vystupuje ve formátech CycloneDX nebo SPDX. Nejrychlejší způsob, jak vygenerovat počáteční SBOM pro existující produkt.; Syft od Anchore ve výchozím nastavení produkuje CycloneDX 1.6 JSON:Základy CRA SBOM, Lekce 2.1: CycloneDX: formát SBOM zaměřený na bezpečnost. Také v: Lekce 3.1; Lekce 4.1

T

tabletop exercise: Strukturované projití realistického scénáře incidentu s lidmi, kteří by na něj reagovali.; Nácvik na papíře proti scénáři se nazývá štábní cvičení.Školení NIS2 pro vedení společnosti, Lekce 2.7: Opatření 2 - Zvládání incidentů. Také v: Lekce 5.1; Školení cvičení tabletop NIS 2, Lekce 0.1
Technical and organisational measures: Univerzální zkratka souladu (TOMs) pro kombinaci nástrojů, procesů a pravidel vyžadovaných pro každé opatření.; Váš CISO jim bude říkat technická a organizační opatření neboli TOMs.Školení NIS2 pro vedení společnosti, Lekce 1.9: Deset opatření: přehled
Technical documentation: Soubor dokumentů, které musí výrobce sestavit a uchovávat podle Článku 31 CRA a Přílohy VII. Zahrnuje SBOM, posouzení rizik, rozhodnutí o zabezpečeném návrhu, výsledky testů a prohlášení EU o shodě. Musí být uchováváno 10 let po uvedení produktu na trh nebo po dobu podpory, podle toho, co je delší.; Tato lekce popisuje dobu uchovávání, místo SBOM v širším balíku technické dokumentace a kdo jej může vyžadovat za jakých podmínek.Základy CRA SBOM, Lekce 1.3: Pravidlo uchovávání po dobu 10 let a kdo získá přístup. Také v: Lekce 0.1; Lekce 4.1
The ten measures: Deset kategorií uvedených v článku 21 odst. 2, představujících minimální rozsah opatření k řízení rizik v EU, který musí mít každá dotčená společnost.
Third-party liability: Část pojistky, která vyplácí osobám mimo společnost, když je selhání společnosti poškodilo.
Top-level dependency: Komponenta, kterou váš produkt přímo importuje nebo proti níž se linkuje. Minimum CRA v Příloze I část II bod (1) vyžaduje, aby SBOM pokrýval alespoň tyto. Pokud váš kód obsahuje `import requests` nebo `<dependency>spring-boot</dependency>`, jedná se o závislosti nejvyšší úrovně.; Tato lekce vysvětluje rozdíl mezi závislostmi nejvyšší úrovně a tranzitivními závislostmi, proč toto rozlišení existuje v právním textu a proč se osvědčené postupy odchylují od právního minima.Základy CRA SBOM, Lekce 1.2: Přímé vs tranzitivní závislosti. Také v: Lekce 4.1
Training duty: Zákonná povinnost podle článku 20 odst. 2 NIS2, podle níž musí každý člen vedení osobně absolvovat školení o kybernetické bezpečnosti. V Česku vyhláška č. 410/2025 Sb., § 4 písm. b), a vyhláška č. 409/2025 Sb., § 4 odst. 1 písm. a).; Školicí povinnost je osobní a nepřenosná.Školení NIS2 pro vedení společnosti, Lekce 1.6: Vaše povinnost školení. Také v: Lekce 0.1
Transitive dependency: Komponenta stažená jednou z vašich závislostí nejvyšší úrovně, nikoli přímo vaším kódem. Log4Shell (CVE-2021-44228) byla tranzitivní závislost v tisících aplikací, o jejichž týmech neměly tušení, že tam je. Minimum CRA nevyžaduje tyto položky uvádět, ale osvědčené postupy ano.; Tato lekce vysvětluje rozdíl mezi závislostmi nejvyšší úrovně a tranzitivními závislostmi, proč toto rozlišení existuje v právním textu a proč se osvědčené postupy odchylují od právního minima.Základy CRA SBOM, Lekce 1.2: Přímé vs tranzitivní závislosti. Také v: Lekce 4.1
Transposition: Proces, při kterém každá země EU převádí směrnici EU do vlastního vnitrostátního práva.; Toto JE nařízení, takže platí přímo ve všech 27 členských státech bez transpozice, ale jen pro digitální poskytovatele uvedené v jeho článku 1: provozovatele DNS, registry domén nejvyšší úrovně, poskytovatele služeb cloud computingu, služeb datových center a sítí pro doručování obsahu (CDN), poskytovatele řízených služeb a řízených bezpečnostních služeb, poskytovatele on-line tržišť, internetových vyhledávačů a služeb platforem sociálních sítí a poskytovatele služeb vytvářejících důvěru.Školení NIS2 pro vedení společnosti, Lekce 1.1: Co je NIS2 a proč existuje. Také v: Lekce 0.1
Transposition law: Vnitrostátní zákon, který země přijímá k provedení směrnice EU.

V

VEX: Vulnerability Exploitability eXchange. Prohlášení připojené k SBOM, které dokumentuje, zda se známá CVE skutečně týká vašeho produktu, a proč. Nativně podporováno v CycloneDX. CRA VEX nezmiňuje, ale prohlášení „není dotčeno“ s odůvodněním zaznamenává, proč známá zranitelnost nevyžadovala opravu (příloha I část II).; CycloneDX má nativní podporu VEX.Základy CRA SBOM, Lekce 2.2: SPDX a volba vašeho formátu. Také v: Lekce 1.2; Lekce 2.1; Lekce 3.2; Lekce 4.1
Vulnerability: Slabé místo v systému, které by mohlo být zneužito hrozbou.; Dodavatelský řetězec a systémy: (d) zabezpečení dodavatelského řetězce a (e) bezpečnost v tom, jak nakupujete, vyvíjíte a udržujete IT systémy, včetně řešení zranitelností.Školení NIS2 pro vedení společnosti, Lekce 1.9: Deset opatření: přehled
Vulnerability handling: Nepřetržitý proces vyhledávání, hodnocení a opravy známých zranitelností.; Článek 21(2)(e) směrnice NIS2 vyžaduje „zabezpečení pořizování, vývoje a údržby sítí a informačních systémů, včetně zveřejňování zranitelností a jejich řešení“.Školení NIS2 pro vedení společnosti, Lekce 2.10: Opatření 5 - Pořizování, vývoj a údržba

W

Without undue delay: Jakmile je to rozumně možné; právní měřítko pro rychlost oznamování zákazníkům.; Článek 23 odst. 1 směrnice NIS2 stanoví, že subjekty v příslušných případech oznámí příjemcům služeb „bez zbytečného odkladu“ významné incidenty, které by mohly negativně ovlivnit poskytování těchto služeb.Školení NIS2 pro vedení společnosti, Lekce 1.12: Povinnost informovat zákazníky

Zdroje

BSIG, zákon o Spolkovém úřadu pro bezpečnost informačních technologií a o bezpečnosti informačních technologií subjektů (znění ze dne 2. prosince 2025): https://www.gesetze-im-internet.de/bsig_2025/
Směrnice NIS2 (EU) 2022/2555, Úřední věstník Evropské unie: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
Prováděcí nařízení Komise (EU) 2024/2690, Úřední věstník Evropské unie: https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
Nařízení (EU) 2024/2847 (Cyber Resilience Act), Úřední věstník Evropské unie: https://eur-lex.europa.eu/eli/reg/2024/2847/oj
Nařízení (EU) 2016/679 (GDPR), Úřední věstník Evropské unie: https://eur-lex.europa.eu/eli/reg/2016/679/oj
BSI, standardy IT-Grundschutz BSI-200-1 až BSI-200-4
BSI, IT-Grundschutz Kompendium (aktuální vydání)

Máte se postarat o NIS2?

Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.

Vyzkoušet 30 dní, peníze zpět

Domluvit hovor

Bezplatné školení pro vašeho jednatele Ceny a podmínky

Průvodce NIS2: vaše cesta krok za krokem, první body hotové