Co je ISMS a potřebuji ho pro NIS 2?
ISMS není kus softwaru. Je to způsob, jakým vaše organizace rozhoduje o svých bezpečnostních opatřeních, provozuje je a zlepšuje. Směrnice NIS 2 to slovo nepoužívá, ale čl. 21 odst. 2 vyžaduje přesně to, co ISMS dělá. Česká vyhláška č. 409/2025 Sb. ho pro režim vyšších povinností ukládá jménem.
Proč to lidé chápou špatně
ISMS je jedno z nejvíce zneužívaných slov v konverzacích o NIS 2. Nejčastější záměnou je zacházet s ním jako s nástrojem ke koupi. Není to tak. ISMS je způsob, jakým organizace řídí informační bezpečnost: jak se rozhoduje o zásadách, jak se posuzují rizika, jak se vybírají kontroly, jak se řeší incidenty, jak se to vše přezkoumává.
Sama směrnice NIS 2 pojem „ISMS“ nepoužívá. Mluví o „politikách“, „opatřeních“, „řízení rizik“ a „správě a řízení“. Čl. 21 odst. 2 uvádí deset oblastí, které dohromady popisují přesně to, co ISMS dělá. Český zákon jmenuje „systém řízení bezpečnosti informací“ jako opatření pro režim vyšších povinností a pro nižší režim jeho jednodušší obdobu, „systém zajišťování minimální kybernetické bezpečnosti“ (§ 14 zákona č. 264/2025 Sb.). ISO 27001 i německá metodika IT-Grundschutz označují stejnou věc jako systém řízení informační bezpečnosti. Podstata je stejná.
Praktická otázka není, zda máte ISMS, ale jakou má váhu. Středně velká firma s 60 lidmi, která vystačí s jednostránkovou politikou, malým registrem rizik a roční schůzkou k přezkumu, může NIS 2 splnit. Banka se 6000 zaměstnanci ne. Obě provozují ISMS; jeden je jen těžší než druhý.
Čl. 21 odst. 1 a 2 NIS 2
Členské státy zajistí, aby základní a důležité subjekty přijaly vhodná a přiměřená technická, provozní a organizační opatření k řízení bezpečnostních rizik, jimž čelí sítě a informační systémy, jež tyto subjekty používají pro svůj provoz nebo poskytování svých služeb … Opatření uvedená v odstavci 1 … zahrnují alespoň: a) politiku analýzy rizik a politiku bezpečnosti informačních systémů; b) řešení incidentů; c) řízení kontinuity provozu, jako je například správa zálohování a obnova provozu po havárii, a krizové řízení; d) bezpečnost dodavatelského řetězce …; e) zabezpečení pořizování, vývoje a údržby sítí a informačních systémů …; f) politiky a postupy za účelem posouzení účinnosti opatření k řízení kybernetických bezpečnostních rizik; g) základní postupy kybernetické hygieny a školení v oblasti kybernetické bezpečnosti; h) politiky a postupy týkající se používání kryptografie a případně šifrování; i) bezpečnost lidských zdrojů, postupy kontroly přístupu a správa aktiv; j) v příslušných případech používání vícefaktorových autentizačních řešení …
Čteno společně, deset bodů popisuje systém řízení. „Politiky“, „postupy“, „posouzení účinnosti“: to jsou slovesa ISMS. NIS 2 nevyžaduje certifikaci ISO 27001, ale vyžaduje podstatu, kterou ISO 27001 pokrývá.
§ 13 odst. 2 a § 14 zákona č. 264/2025 Sb. (česká transpozice čl. 21)
Poskytovatel regulované služby je povinen v rámci stanoveného rozsahu zavádět a provádět bezpečnostní opatření podle § 14 v míře nezbytné pro zajištění kybernetické bezpečnosti regulované služby. … Pro poskytovatele regulované služby v režimu vyšších povinností jsou a) organizačními opatřeními 1. systém řízení bezpečnosti informací, … Pro poskytovatele regulované služby v režimu nižších povinností jsou organizačními a technickými opatřeními a) systém zajišťování minimální kybernetické bezpečnosti, …
Český zákon nepoužívá trojici „vhodná, přiměřená a účinná“, ale slova „v míře nezbytné“. Zavádět a provádět znamená, že opatření musí skutečně běžet, a to prokážete jen tehdy, když měříte a přezkoumáváte. Ve vyšším režimu je systém řízení bezpečnosti informací přímo prvním z opatření, v nižším jeho jednodušší obdoba.
Vyhláška č. 409/2025 Sb., § 2 písm. g)
systémem řízení bezpečnosti informací část systému řízení povinné osoby založená na přístupu k rizikům, zahrnující způsob ustanovení, zavádění, provozování, monitorování, přezkoumání, udržování a zlepšování bezpečnosti informací
Nejkratší právní definice ISMS v češtině, ve vyhlášce pro režim vyšších povinností. Je to část systému řízení, ne nástroj, ne projekt, ne jednorázový audit. Způsob práce. Německá metodika úřadu BSI (BSI-Standard 200-1) ho definuje podobně, jako soubor pravidel pro řízení a dohled nad informační bezpečností. V nižším režimu odpovídá ISMS systém zajišťování minimální kybernetické bezpečnosti (vyhláška č. 410/2025 Sb., § 3).
Definovaný rozsah
Které části organizace ISMS pokrývá, jaké jsou hranice, co je výslovně mimo. Bez rozsahu se každá konverzace rozplyne. V Česku to zákon ukládá přímo: stanovený rozsah tvoří aktiva související s poskytováním regulované služby (§ 12 zákona č. 264/2025 Sb.).
Zdokumentovaná politika
Písemná bezpečnostní politika, kterou schválí řídicí orgán. Pro malý subjekt stačí jedna stránka. Zavazuje organizaci ke konkrétním zásadám a přiděluje odpovědnost.
Rozhodnutí založená na riziku
Kontroly se vybírají, protože řeší identifikovaná rizika, nikoli protože se objevují na seznamu. Registr rizik je spojnicí od inventáře ke kontrole.
Pravidelný přezkum
Alespoň jednou ročně; v Česku to ukládají obě vyhlášky (vyhláška č. 410/2025 Sb., § 3 odst. 2 písm. b); č. 409/2025 Sb., § 3 písm. f)). Řídicí orgán se dívá na to, co fungovalo, co ne a co se změnilo v hrozbách. Statický ISMS není ISMS, je to momentka.
Není softwarový nástroj
Nástroje ISMS podporují, nenahrazují ho. Přiměřený ISMS můžete provozovat v pořadači; nemůžete nahradit rozhodnutí o správě a řízení předplatným SaaS.
Není jednorázový projekt
Nastavení ISMS je projekt. Jeho provoz je průběžná práce. Roční přezkum je okamžik, který mění projektový výstup na systém.
Není totéž co audit
Audity testují, zda ISMS funguje. Netvoří ISMS. Audit bez podkladového systému řízení nemá co testovat.
Pokud je vaše služba v působnosti zákona č. 264/2025 Sb., podstata ISMS je vyžadována bez ohledu na to, jak ji nazýváte. Ve vyšším režimu je systém řízení bezpečnosti informací přímo opatřením (§ 14 odst. 1 písm. a) bod 1), v nižším jeho obdoba, systém zajišťování minimální kybernetické bezpečnosti (§ 14 odst. 2 písm. a)). Bez zdokumentované politiky, rozhodnutí založených na riziku a cyklu přezkumu neprokážete, že opatření zavádíte a provádíte v míře nezbytné (§ 13 odst. 2).
Vyžadována není certifikace ISO 27001. Mnoho auditorů ji očekává, protože je to nejuznávanější doklad; NÚKIB uvádí, že certifikovaný ISMS je na dobré cestě ke splnění vyhlášky pro vyšší režim, ale není zákonem vyžadovanou povinností. Vlastní ISMS postavený podle vyhlášky, sladěný třeba s ISO 27001, německou metodikou IT-Grundschutz nebo odvětvovým standardem, je stejně platný. Zvolte standard, který udržíte, nikoli ten, který vypadá nejtěžší na snímku.
1. Stanovený rozsah
Které právní subjekty, lokality a služby jsou pokryty a která primární aktiva jste z rozsahu vyjmuli a proč (§ 12 zákona č. 264/2025 Sb.). Jeden odstavec schválený řídicím orgánem.
2. Bezpečnostní politika
Pět až sedm zásad. Příklady: klasifikovat data podle citlivosti, omezit administrátorský přístup na jmenované osoby, školit veškerý personál každoročně, hlásit incidenty v dohodnutých lhůtách, přezkoumávat rizika každoročně.
3. Registr rizik
Jeden řádek na identifikované riziko. Popis, pravděpodobnost, dopad, rozhodnutí o ošetření, vlastník, datum přezkumu. Deset až dvacet řádků pro malý subjekt.
4. Harmonogram přezkumu
Dokument, který říká, že řídicí orgán přezkoumává ISMS jednou ročně, kdo se účastní, jaké důkazy se předkládají. Bez toho je ISMS jen dekorace.
- Směrnice (EU) 2022/2555 (NIS 2), čl. 21 odst. 1 a 2, www.eur-lex.europa.eu
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 12 až 14: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_13
- Vyhláška č. 409/2025 Sb., § 2 písm. g) a § 3: https://e-sbirka.gov.cz/sb/2025/409/2025-11-01#par_2; vyhláška č. 410/2025 Sb., § 3: https://e-sbirka.gov.cz/sb/2025/410/2025-11-01#par_3
- ISO/IEC 27001:2022 (mezinárodní standard ISMS, podle NIS 2 dobrovolný)
Tato stránka poskytuje strukturovaný návod na základě veřejně dostupných zdrojů (směrnice NIS 2, zákon č. 264/2025 Sb., vyhlášky č. 409/2025 a 410/2025 Sb., ISO/IEC 27001, německá metodika BSI IT-Grundschutz). Nejde o právní poradenství. V konkrétních případech se obraťte na advokáta. Stav k 15. říjnu 2026.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
