Co je aktivum podle NIS 2?
Aktivum je podle českého zákona „fyzický nebo digitální prostředek, osoba nebo činnost související se zpracováváním informací a dat v elektronické podobě“ (§ 2 odst. 1 písm. c) zákona č. 264/2025 Sb.). Směrnice NIS 2 aktivum nedefinuje a správu aktiv jen jmenuje (čl. 21 odst. 2 písm. i)), český zákon ale evidenci aktiv ukládá přímo (§ 12). Sedm z deseti oblastí čl. 21 odst. 2 dává smysl až tehdy, když máte seznam.
Proč jde inventář jako první
Většina zavádění NIS 2 uvázne na stejném místě: někdo začne s řízením rizik, aniž by nejprve věděl, co posuzovat. Inventář aktiv je předpokladem. Bez něj je analýza rizik hádáním, mapování dodavatelů je neúplné, reakce na incidenty nemůže vymezit rozsah a audity nenajdou nic, proti čemu by testovaly.
Směrnice slovo aktivum v čl. 21 použije jen ve „správě aktiv“ (odst. 2 písm. i)) a nedefinuje ho. Mluví o „sítích a informačních systémech“, jejich bezpečnosti a o rizicích. Český zákon je konkrétní: rozlišuje primární aktiva (zpracovávané informace a poskytované služby), podpůrná aktiva (například zaměstnance, dodavatele, technická aktiva a budovy) a technická aktiva (technické a programové prostředky) (§ 2 odst. 1 písm. c) až f)). Prakticky jde o všechno, co zpracovává, ukládá nebo přenáší informace, na nichž závisí váš provoz.
Pro středně velkou firmu s 60 lidmi není evidence aktiv excelovou tabulkou o 200 řádcích. Je to jednostránkový seznam zhruba 10 až 15 seskupených položek; seskupení výslovně dovoluje například německá metodika IT-Grundschutz. Jde o to ji mít, udržovat aktuální a nechat ji ukotvit každé další rozhodnutí podle NIS 2.
Čl. 21 odst. 2 písm. a) a b) NIS 2
Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň: a) politiku analýzy rizik a politiku bezpečnosti informačních systémů; b) řešení incidentů.
Analýza rizik a zvládání incidentů jsou uvedeny jako první, ale obojí vyžaduje objekt k analýze a ke zvládání: inventář toho, co skutečně máte. Směrnice to považuje za předpoklad, ne za samostatné opatření.
CIR 2024/2690, příloha, bod 12.4.1
Příslušné subjekty vypracují a udržují úplný, přesný, aktuální a ucelený soupis svých aktiv. Dohledatelným způsobem zaznamenávají změny položek v soupisu.
Prováděcí nařízení činí povinnost soupisu aktiv výslovnou pro druhy subjektů, které pokrývá (poskytovatelé digitálních služeb). Pro všechny ostatní české poskytovatele ukládá evidenci aktiv přímo zákon (§ 12), takže ji nemusíte z čl. 21 odst. 2 dovozovat.
§ 12 odst. 2 a 3 zákona č. 264/2025 Sb.
(2) Za účelem vymezení stanoveného rozsahu poskytovatel regulované služby a) určí všechna svá primární aktiva, b) posoudí, zda primární aktiva souvisí s poskytováním regulované služby, a c) u primárních aktiv podle písmene b) určí podpůrná aktiva. (3) Poskytovatel regulované služby eviduje aktiva, která jsou součástí stanoveného rozsahu, a primární aktiva, která byla ze stanoveného rozsahu vyjmuta, včetně důvodů jejich vyjmutí.
Zákon ukládá evidenci aktiv oběma režimům a postup je pevný: nejdřív služby a informace (primární aktiva), pak to, na čem stojí (podpůrná aktiva). Formu evidence zákon nepředepisuje. Seskupení stejných položek výslovně dovoluje například německá metodika BSI-Standard 200-2 (kap. 8.1): středně velká firma s 60 lidmi nepotřebuje 45 řádků pro notebooky, stačí jedna položka „notebooky zaměstnanců, 45 kusů“, pokud mají stejné požadavky na ochranu.
Podnikové aplikace
ERP, CRM, účetnictví, HR, projektové řízení, sektorově specifický software (laboratorní systém ve farmacii, fakturační platforma u energetické nebo vodárenské společnosti, MES ve výrobní hale). Jeden řádek na aplikaci, i když ji hostuje poskytovatel SaaS.
Úložiště dat
Produkční databáze, sdílené disky, správa dokumentů, zálohy, archivní systémy. Seskupujte podle citlivosti, ne podle fyzického umístění.
Síťová a výpočetní infrastruktura
Servery (vlastní nebo hostované), firewally, switche, routery, VPN koncentrátory, poskytovatelé identit, hypervizory, cloudové účty. Jeden řádek na shluk se stejným účelem.
Koncové body
Notebooky zaměstnanců, stolní počítače, mobilní zařízení, tablety. Seskupujte podle role a rodiny OS. Přidejte zvlášť: privilegované administrátorské pracovní stanice, kiosky, pokladní terminály.
OT a fyzické systémy
SCADA, PLC, správa budov, řízení přístupu, CCTV, čtečky fyzického přístupu, sektorově specifické průmyslové řízení. Často opomíjeno; pro energetiku, vodárenství, výrobu a nemocnice je to největší jednotlivá kategorie. Ve vyšším režimu je jejich zabezpečení samostatným opatřením (§ 14 odst. 1 písm. b) bod 11 zákona č. 264/2025 Sb.).
Služby poskytované dodavateli
Outsourcované IT, hostovaný e-mail, řízený firewall, mzdy, cloudová kancelář, identity-as-a-service. Zaznamenejte jméno dodavatele a typ závislosti podle čl. 21 odst. 2 písm. d) NIS 2 a § 13 odst. 5 zákona č. 264/2025 Sb. Dodavatel je podle zákona sám podpůrným aktivem.
Stejný požadavek na ochranu
Seskupte 45 notebooků zaměstnanců jen tehdy, pokud všechny mají stejnou úroveň z hlediska důvěrnosti, integrity a dostupnosti (ve vyšším režimu ji určuje hodnocení aktiv podle vyhlášky č. 409/2025 Sb., § 7). Pokud 5 z nich nese mzdová data, těch 5 je samostatná skupina.
Stejná provozní role
Produkční databázový server a vývojářský sandbox nemohou být jednou skupinou, ani na totožném hardwaru. Liší se role, liší se expozice, liší se opatření.
Počítejte výslovně
Napište množství. „45 notebooků zaměstnanců“ sděluje auditorovi rozsah. „1 shluk notebooků“ je k ničemu. Číslo je mostem z evidence do analýzy rizik.
Krok 1. Začněte poskytovanými službami (15 min)
Co váš subjekt pro zákazníky vlastně dělá? Vypište 3 až 8 hlavních služeb. Pro městskou společnost dodávající teplo a vodu: dodávka tepla, dodávka vody, vyúčtování zákazníkům. Zákon tyto služby a zpracovávané informace nazývá primární aktiva (§ 2 odst. 1 písm. d)). Každé další aktivum musí vést zpět ke službě, jinak je to režie.
Krok 2. Namapujte aplikace a data na služby (25 min)
Pro každou službu pojmenujte aplikace, na nichž běží, a data, kterých se dotýká. SAP pro fakturaci, platforma pro odečet měřidel pro distribuci, archiv dokumentů pro právní oddělení. Jeden řádek na aplikaci.
Krok 3. Podložte infrastrukturu pod to (25 min)
Servery, síť, koncová zařízení, identity, cloudové účty. Seskupujte důsledně, například podle BSI-Standard 200-2 (kap. 8.1). Subjekt s 60 lidmi jen zřídka překročí 10 seskupených řádků infrastruktury.
Krok 4. Přidejte služby poskytované dodavateli (25 min)
Jakákoli outsourcovaná služba, která se dotýká výše uvedených aktiv, je sama aktivem, plus dodavatelská závislost. SaaS e-mail je jeden řádek; MSP, který spravuje váš firewall, je jeden řádek. Toto napájí povinnosti v dodavatelském řetězci podle čl. 21 odst. 2 písm. d) NIS 2 a § 13 odst. 5 zákona č. 264/2025 Sb.
Chybí OT a technické zázemí budov
Výrobní linky, přístup do budov, CCTV, klimatizace. Snadno se vynechají, protože neleží na stole IT týmu. Podle českého zákona jsou podpůrnými nebo technickými aktivy ve chvíli, kdy zajišťují fungování vaší služby (§ 2 odst. 1 písm. e) a f) zákona č. 264/2025 Sb.).
Nezmapované datové toky
Nestačí vypsat aplikace. Zaznamenejte, která data tečou odkud kam. Mzdový soubor putující z HR systému do banky přes SFTP je sám tokem, který je třeba chránit.
Neodhalené stínové IT
Oddělení často provozují vlastní předplatné SaaS (tvorba formulářů, dotazníkové nástroje, sdílení souborů). Ptejte se, nepředpokládejte. Stínové IT se stává dodavatelskou závislostí podle čl. 21 odst. 2 písm. d) NIS 2 bez ohledu na to, kdo za něj zaplatil.
- Směrnice (EU) 2022/2555 (NIS 2), čl. 21 odst. 2, www.eur-lex.europa.eu
- Prováděcí nařízení Komise (EU) 2024/2690 (CIR), čl. 2 a příloha, bod 12.4, www.eur-lex.europa.eu
- BSI-Standard 200-2, kap. 8.1 (Strukturanalyse): německá metodika úřadu BSI, v Česku bez zákonného postavení
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 2 a § 12: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_12
Tato stránka poskytuje strukturované pokyny založené na veřejně dostupných zdrojích (směrnice NIS 2, CIR 2024/2690, zákon č. 264/2025 Sb. a jeho vyhlášky, německá metodika BSI IT-Grundschutz). Nejde o právní poradenství. V konkrétních případech se obraťte na advokáta. Stav k 15. říjnu 2026.
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Řízení rizik
Sepište, co vaše firma má
Seznam procesů, programů a zařízení, se kterými pracujete.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
