NIS 2 a IT-Grundschutz
IT-Grundschutz je německá metodika. V Česku jeho zavedení soulad se zákonem č. 264/2025 Sb. samo neprokazuje: obdobu německé zákonné domněnky české právo nemá. Jako pomůcku ho použít lze, ve vyšším režimu za podmínek vyhlášky č. 409/2025 Sb.
Právní řetězec
IT-Grundschutz je metodika německého úřadu BSI pro bezpečnost informací. Pro českou firmu je to jen jedna z možných pomůcek. Povinnosti stanoví zákon č. 264/2025 Sb. a vyhláška pro váš režim a kontroluje je NÚKIB.
V Česku žádná metodika automaticky soulad neprokazuje. Zákon č. 264/2025 Sb. ani vyhlášky NÚKIB IT-Grundschutz ani ISO 27001 nezmiňují. Vyhláška č. 409/2025 Sb. ve vyšším režimu dovoluje vlastní stupnici hodnocení aktiv i jinou metodu hodnocení rizik, za podmínek, které sama stanoví. Vyhláška č. 410/2025 Sb. pro nižší režim stupnici aktiv ani metodu rizik nepředepisuje.
Tato stránka ukazuje řetězec od směrnice NIS 2 přes český zákon a vyhlášky po metodiku, kterou si zvolíte, a kde se IT-Grundschutz a ISO 27001 hodí. Řetězec vám řekne, který požadavek odkud pochází a jak ho doložit.
Směrnice NIS 2
Směrnice EU 2022/2555, celounijní rámec kybernetické bezpečnosti
Zákon č. 264/2025 Sb.
Český zákon o kybernetické bezpečnosti, převádí NIS 2 do českého práva; dozor vykonává NÚKIB
Vyhlášky č. 409/2025 Sb. a 410/2025 Sb.
Vyhlášky NÚKIB, stanoví obsah bezpečnostních opatření pro vyšší a nižší režim; digitální poskytovatelé se řídí prováděcím nařízením (EU) 2024/2690 (§ 18 zákona)
Metodika podle vaší volby
Způsob, jak opatření zavést: například ISO 27001 nebo německý IT-Grundschutz. Vyhláška č. 409/2025 Sb. dává výchozí postup hodnocení aktiv a rizik a připouští jiný za podmínek; nižší režim metodu nepředepisuje
V Německu je IT-Grundschutz provázán s tamním zákonem o BSI. Český zákon č. 264/2025 Sb. ani vyhlášky NÚKIB žádnou metodiku za důkaz souladu neprohlašují. Zavedení IT-Grundschutz podle německých standardů BSI 200-1 až 200-4, ISO 27001 nebo jiné metodiky tedy samo o sobě soulad v Česku neprokazuje. NÚKIB kontroluje plnění zákona a vyhlášky pro váš režim (§ 55 zákona).
Co české právo dovoluje: ve vyšším režimu můžete hodnotit aktiva na jiném počtu úrovní, než stanoví příloha č. 1 vyhlášky č. 409/2025 Sb., pokud dodržíte jednoznačné vazby na její stupnice (příloha č. 1 odst. 2). Hodnocení rizik můžete zajistit i jiným způsobem, pokud dosáhnete stejné nebo vyšší úrovně a postupujete podle přílohy č. 4 odst. 5 (§ 8 odst. 3): sloučením stupnic by neměla zaniknout schopnost rozlišit úroveň hrozby a zranitelnosti. Metodu podle německého standardu BSI 200-3, která pracuje s elementárními hrozbami, tak můžete použít, pokud tyto podmínky splníte.
V nižším režimu vyhláška č. 410/2025 Sb. stupnici aktiv ani metodu rizik nepředepisuje; ústředním dokumentem je přehled bezpečnostních opatření podle přílohy č. 1 (§ 3 odst. 2). Počítejte s tím, že kontrola NÚKIB probíhá v češtině: kontrolní řád odkazuje na správní řád (§ 28 zákona č. 255/2012 Sb.) a písemnosti v cizím jazyce se předkládají s úředně ověřeným překladem, pokud úřad nesdělí, že ho nevyžaduje (§ 16 odst. 2 zákona č. 500/2004 Sb.).
Prováděcí nařízení Komise (EU) 2024/2690 ze dne 17. října 2024 stanoví technické a metodické požadavky na opatření podle čl. 21 NIS 2. Platí přímo, bez transpozice, ale jen pro vybrané digitální poskytovatele. Pro ostatní je to užitečný výklad, ne závazný text.
Přímo zavazuje 11 typů digitálních subjektů: poskytovatele služeb DNS, registry domén nejvyšší úrovně, cloud computing, datová centra, sítě pro doručování obsahu, řízené služby, řízené bezpečnostní služby, on-line tržiště, internetové vyhledávače, platformy sociálních sítí a poskytovatele služeb vytvářejících důvěru. V Česku na něj odkazuje § 18 zákona: ve vyšším režimu platí jeho pravidla pro základní subjekty, v nižším pro důležité. Ostatní poskytovatelé se řídí vyhláškou č. 409/2025 Sb., nebo č. 410/2025 Sb.; NÚKIB k oběma zveřejnil mapovací tabulky k nařízení.
IT-Grundschutz Kompendium (německá metodika úřadu BSI) rozpracovává oblasti opatření do modulů (Bausteine) s konkrétními požadavky, například ORP.4 pro správu identit a přístupů. Jako pomůcka k zavedení může posloužit. Rozhodují ale požadavky vyhlášky pro váš režim: kde vyhláška žádá něco konkrétního, například minimální délku hesel nebo audit alespoň jednou za 2 roky, musíte splnit ji.
Postoj NÚKIB
Podle NÚKIB požadavky vyššího režimu „v zásadě vycházejí z požadavků norem řady ISO 27000“. S certifikovaným systémem podle ISO 27001 je firma podle NÚKIB „na dobré cestě“, certifikát ale „nemůže být jediným podkladem kontroly“ a zákon certifikaci nevyžaduje. IT-Grundschutz zákon ani vyhlášky nezmiňují.
Pokrytí požadavků
ISO 27001 i IT-Grundschutz pokrývají řízení bezpečnosti informací obecně. Ani jeden ale neobsahuje česká specifika: ohlášení služby a údaje pro NÚKIB (§§ 6 a 11 zákona), lhůty hlášení incidentů (§§ 15 a 16), stanovený rozsah s evidencí aktiv (§ 12) a podrobné požadavky vyhlášek, například pořadí způsobů ověřování a minimální délky hesel. Ty doplníte v každém případě.
Jazyk a metodika
IT-Grundschutz vyvíjí německý úřad BSI v němčině a jeho pojmy odpovídají německému právu, ne českému. ISO 27001 je mezinárodní norma, ze které podle NÚKIB vyšší režim v zásadě vychází. Pro českou firmu se 100 zaměstnanci je nejpraktičtější vyjít přímo z vyhlášky pro svůj režim a z podpůrných materiálů NÚKIB, které jsou v češtině.
Kontrola NÚKIB
NÚKIB kontroluje plnění zákona a vyhlášky pro váš režim, ne soulad s IT-Grundschutz nebo ISO 27001. Ať použijete jakoukoli metodiku, mějte doklady k jednotlivým ustanovením vyhlášky: ve vyšším režimu prohlášení o aplikovatelnosti (vyhláška č. 409/2025 Sb., § 8 odst. 1 písm. f)), v nižším přehled bezpečnostních opatření (vyhláška č. 410/2025 Sb., § 3 odst. 2).
Materiály NÚKIB
NÚKIB vydává podpůrné materiály k zákonu a vyhláškám, mapovací tabulky k prováděcímu nařízení (EU) 2024/2690 a minimální požadavky na kryptografické algoritmy, které obě vyhlášky žádají zohlednit (vyhláška č. 410/2025 Sb., § 13 odst. 1 písm. c); č. 409/2025 Sb., § 25 odst. 1 písm. c)). Pro výklad českých požadavků jsou bližší než německá metodika.
Právní jistota
Zákonnou domněnku souladu, jakou zná Německo, české právo nemá. Nejsilnější pozici máte, když u každého opatření ukážete ustanovení vyhlášky, které plní, a doložíte, jak. Odchylky od výchozího postupu vyhlášky č. 409/2025 Sb. zdůvodněte podle jejích podmínek (příloha č. 1 odst. 2, příloha č. 4 odst. 5).
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
