Jak vybudovat inventář aktiv podle NIS 2
Čl. 21 odst. 2 písm. i) NIS 2 jmenuje správu aktiv a § 12 zákona č. 264/2025 Sb. ji přenáší do českého práva. CIR bod 12.4 stanoví, co inventář obsahuje u digitálních poskytovatelů, na které se vztahuje. Průvodce NÚKIB pracuje s typovými aktivy, tedy se skupinami podobných aktiv, takže skončíte s krátkým seznamem seskupených záznamů, ne s jedním řádkem na zařízení.
Stručná verze
NIS 2 jmenuje správu aktiv v čl. 21 odst. 2 písm. i) jako jedno z deseti minimálních opatření řízení rizik. V Česku ji pro oba režimy nese § 12 zákona č. 264/2025 Sb.: určíte všechna primární aktiva (zpracovávané informace a poskytované služby), posoudíte, která souvisejí s regulovanou službou, k nim určíte podpůrná aktiva a evidujete aktiva ve stanoveném rozsahu i vyjmutá primární aktiva s důvodem vyjmutí. U digitálních poskytovatelů uvedených v čl. 1 prováděcího nařízení (EU) 2024/2690 to nařízení konkretizuje v bodě 12.4: úplný, přesný, aktuální inventář, který uvádí činnosti a služby a systémy a další aktiva za nimi, v granularitě odpovídající potřebám subjektu, pravidelně přezkoumávaný. Žádná pole nejmenuje.
Číslo, které lidi děsí (200 serverů, 600 notebooků, 40 SaaS nástrojů), se zmenší, jakmile začnete pracovat s typovými aktivy. Průvodce NÚKIB k řízení aktiv a rizik je popisuje jako skupiny aktiv se společnými vlastnostmi: aktiva v jedné skupině musí být natolik podobná, aby na ně působily stejné hrozby a zranitelnosti, a jejich hodnocení důvěrnosti, integrity a dostupnosti se nesmí výrazně lišit. Z 600 notebooků se tak stane jeden řádek s polem množství, ne 600 řádků. Stejné pravidlo zná i německá metodika BSI-Standard 200-2 (oddíl 8.1.1).
Výsledkem je krátký seznam seskupených záznamů, ne jeden řádek na zařízení, zahrnující IT, OT, SaaS, síťové prvky a fyzické lokality. Tento registr je základem, na který odkazují posouzení rizik, registr dodavatelů, politika přístupu i plán pro incidenty. Vybudujte jej jednou, pravidelně jej přezkoumávejte, aktualizujte, když se změní něco podstatného.
Čl. 21 odst. 2 písm. i) směrnice NIS 2 (EU) 2022/2555
[Opatření zahrnují přinejmenším] i) bezpečnost lidských zdrojů, politiky řízení přístupu a správu aktiv.
Čl. 21 odst. 2 písm. i) jmenuje správu aktiv jako jedno z deseti minimálních opatření, která musí přijmout každý základní a důležitý subjekt. Směrnice neříká, jak registr vypadá. U digitálních poskytovatelů uvedených v čl. 1 CIR je tento detail o vrstvu níže v prováděcím nařízení.
Prováděcí nařízení Komise (EU) 2024/2690, příloha bod 12.4 (inventář aktiv)
12.4.1. Příslušné subjekty vypracují a udržují úplný, přesný, aktuální a ucelený soupis svých aktiv. Dohledatelným způsobem zaznamenávají změny položek v soupisu. 12.4.2. Podrobnost soupisu aktiv by měla být na úrovni odpovídající potřebám příslušných subjektů. Soupis obsahuje: a) seznam operací a služeb a jejich popis; b) seznam sítí a informačních systémů a dalších souvisejících aktiv podporujících operace a služby příslušných subjektů. 12.4.3. Příslušné subjekty pravidelně přezkoumávají a aktualizují soupis a svá aktiva a dokumentují historii změn.
CIR 2024/2690 zavazuje jen digitální poskytovatele uvedené v jeho čl. 1 (DNS, TLD, cloud, datová centra, CDN, MSP, MSSP, online tržiště, vyhledávače, sociální sítě, služby vytvářející důvěru). Bod 12.4 od nich žádá úplný, aktuální inventář v granularitě odpovídající jejich potřebám, uvádějící činnosti a služby a systémy za nimi, pravidelně přezkoumávaný. Nejmenuje žádná pole ani interval. Ostatním poskytovatelům regulované služby v Česku ukládá § 12 zákona č. 264/2025 Sb. určit a evidovat aktiva ve stanoveném rozsahu, aniž by předepisoval formu evidence.
§ 12 zákona č. 264/2025 Sb. (Česko) + průvodce NÚKIB k řízení aktiv a rizik (podpůrný materiál)
§ 12 odst. 2: Za účelem vymezení stanoveného rozsahu poskytovatel regulované služby a) určí všechna svá primární aktiva, b) posoudí, zda primární aktiva souvisí s poskytováním regulované služby, a c) u primárních aktiv podle písmene b) určí podpůrná aktiva. § 12 odst. 3: Poskytovatel regulované služby eviduje aktiva, která jsou součástí stanoveného rozsahu, a primární aktiva, která byla ze stanoveného rozsahu vyjmuta, včetně důvodů jejich vyjmutí. Průvodce NÚKIB, kap. 4: „Typová aktiva jsou uměle vytvořené skupiny aktiv, která mají společné vlastnosti, a tato aktiva z určitého důvodu nechceme nebo nemůžeme dále dělit.“
§ 12 zákona č. 264/2025 Sb. přenáší povinnost správy aktiv do českého práva pro oba režimy. Primárním aktivem je zpracovávaná informace nebo poskytovaná služba, podpůrným aktivem například zaměstnanec, dodavatel, technické aktivum nebo budova (§ 2 odst. 1 písm. d) a e)). Dokud primární aktivum neposoudíte, je součástí stanoveného rozsahu (§ 12 odst. 4), a rozsah musíte pravidelně přezkoumávat a aktualizovat (§ 12 odst. 5). V režimu vyšších povinností přidává vyhláška č. 409/2025 Sb. metodiku pro určování a hodnocení aktiv, garanty aktiv a vazby mezi aktivy (§ 7). Průvodce NÚKIB pracuje s typovými aktivy: seskupená aktiva musí být natolik podobná, aby na ně působily stejné hrozby a zranitelnosti. To je pravidlo, které mění 600 notebooků v jeden řádek registru.
Začněte od procesů, ne od síťového skenu
Sepište obchodní procesy, na kterých firma závisí (příjem objednávek, fakturace, mzdy, zákaznická podpora, výrobní linka, řízení dálkového vytápění, dispečink tras). U každého pojmenujte závislosti. V českém zákoně tomuto kroku odpovídá určení primárních aktiv, tedy poskytovaných služeb a zpracovávaných informací (§ 2 odst. 1 písm. d) a § 12 odst. 2 písm. a) zákona č. 264/2025 Sb.). Mapa procesů určuje, která aktiva jsou důležitá a jaká je jejich potřeba ochrany. Síťový sken spuštěný naslepo vám dá šum, ne registr.
Vyjmenujte aktiva, na kterých každý proces závisí, seskupeně
Projděte každý proces a zachyťte aktiva, která potřebuje: aplikace, databáze, servery, koncová zařízení, síťové prvky, cloudové a SaaS služby, komponenty OT a ICS, fyzické lokality. Zákon jim říká podpůrná aktiva (§ 12 odst. 2 písm. c) zákona č. 264/2025 Sb.). Seskupujte je do typových aktiv jako v průvodci NÚKIB: 45 shodných kancelářských notebooků je jeden záznam s polem množství, ne 45 řádků. Tři shodné PLC na téže lince jsou jeden záznam. SaaS služby se počítají, i když nejsou ve vaší síti. Výstupem je krátký seznam seskupených záznamů, ne jeden řádek na zařízení.
U každého záznamu vyplňte několik polí
U každého záznamu zapište to, co potřebujete k jeho řízení. Pokyny ENISA navrhují mimo jiné: jedinečný identifikátor (krátké ID aktiva jako ERP-01), popis (co to je a kterému procesu slouží), vlastník (jmenovaná osoba, ne oddělení), klasifikace (kolik ochrany potřebuje v důvěrnosti, integritě a dostupnosti, odvozeno z procesu, kterému slouží) a umístění (datové centrum, cloudový region, fyzická lokalita nebo dodavatel, který jej hostuje). Tato pole pocházejí z orientačního seznamu, ne ze zákona. V režimu vyšších povinností ale vyhláška č. 409/2025 Sb. žádá evidovat garanty aktiv, hodnotit primární aktiva z hlediska důvěrnosti, integrity a dostupnosti podle přílohy č. 1 (stupnice Nízká, Střední, Vysoká, Kritická) a evidovat vazby mezi aktivy (§ 7 písm. c), d) a f)).
Seskupujte shodná aktiva, nevypisujte každé zařízení
Průvodce NÚKIB pracuje s typovými aktivy: podobná aktiva seskupíte, pokud na ně působí stejné hrozby a zranitelnosti a jejich hodnocení důvěrnosti, integrity a dostupnosti se výrazně neliší. Německá metodika BSI-Standard 200-2 (8.1.1) říká totéž. Využijte to. 600 notebooků ve stejném profilu MDM se stejnou potřebou ochrany je jeden záznam registru. Tři shodné PLC čerpadel odpadní vody jsou jeden záznam. Skupina shodných pracovních stanic VDI je jeden záznam. Registr má ukázat, že rozumíte svým závislostem, ne vypisovat inventární štítky. Jen netvořte příliš široké skupiny: podle NÚKIB pak hodnocení ztrácí vypovídací hodnotu.
Inventarizujte závislosti, ne jen věci, které vlastníte
Vlastník a potřeba ochrany dávají smysl, až když víte, kterému procesu aktivum slouží. Bod 12.4.2 písm. a) CIR uvádí na prvním místě činnosti a služby a § 12 odst. 2 zákona č. 264/2025 Sb. začíná primárními aktivy, tedy službami a informacemi; podpůrná aktiva určujete až k nim. Proto nejdřív mapujte procesy a aktiva až poté. Stejné platí pro SaaS: nástroj, který nevlastníte, ale na kterém vaše fakturace závisí, patří do inventáře, hostovaný jmenovaným dodavatelem. Zákon ostatně dodavatele výslovně řadí mezi podpůrná aktiva (§ 2 odst. 1 písm. e)).
NÚKIB: stanovený rozsah podle § 12 a typová aktiva
V obou režimech určíte primární a podpůrná aktiva a evidujete stanovený rozsah včetně vyjmutých primárních aktiv a důvodů (§ 12 zákona č. 264/2025 Sb.). Vyhláška č. 410/2025 Sb. pro nižší režim hodnocení aktiv nepředepisuje, jen pravidla pro používání technických aktiv a manipulaci s nimi (§ 3 odst. 4). Vyhláška č. 409/2025 Sb. pro vyšší režim žádá metodiku, garanty aktiv, hodnocení podle přílohy č. 1 a vazby mezi aktivy (§ 7). Průvodce NÚKIB k řízení aktiv a rizik (verze 1.0 z 1. října 2026) ukazuje na modelovém příkladu, jak pracovat s typovými aktivy. Je to podpůrný materiál, ne zákon.
Technický prováděcí návod ENISA: správa aktiv oddíl 12
Technický prováděcí návod ENISA pro CIR 2024/2690 věnuje oddíl 12 správě aktiv. K bodu 12.4 navrhuje pole k zvážení (orientační seznam včetně jedinečného ID, vlastníka, popisu, umístění a klasifikace). Mapovací tabulka ENISA (CC BY 4.0, v1.2, srpen 2025) propojuje bod 12.4 s ISO/IEC 27001:2022 A.5.9, NIST CSF 2.0 ID.AM a ETSI EN 319 401 oddíl 7.3.
Ostatní členské státy: ISO/IEC 27001:2022 A.5.9 jako výchozí bod
Bod 12.4 CIR se uplatňuje přímo v každém členském státě, ale jen na digitální poskytovatele uvedené v čl. 1 CIR; vnitrostátní zákony přebírají obecnou povinnost správy aktiv z čl. 21 odst. 2 písm. i) vlastními slovy. Mapování ENISA propojuje bod 12.4 s ISO/IEC 27001:2022 A.5.9, takže registr podle ISO je dobrým výchozím bodem; ENISA uvádí, že mapování není měřítkem rovnocennosti.
Vypíšeme každé zařízení jednotlivě, aby byl registr úplný.
Ne. Průvodce NÚKIB pracuje s typovými aktivy, tedy se skupinami podobných aktiv (stejně postupuje německá metodika BSI-Standard 200-2, 8.1.1). Registr se 600 řádky notebooků se špatně čte a nepřidá žádnou informaci, kterou krátký seskupený registr už nenese.
SaaS je neviditelný, protože není v naší síti, takže ho přeskočíme.
Chyba. Bod 12.4.2 písm. b) CIR pokrývá sítě a informační systémy a další související aktiva, které podporují vaše činnosti a služby, a SaaS služba, na které vaše fakturace závisí, mezi ně patří. Zapište ji jako jeden záznam s dodavatelem a regionem jako umístěním (například Salesforce, eu-west) a dodavatele veďte i ve svém seznamu dodavatelů.
Registr můžeme vybudovat ze síťového skenu a vlastníky doplnit později.
Můžete, ale pole vlastníka zůstane prázdné a úroveň ochrany bude odhad. Bod 12.4.2 písm. a) CIR začíná inventář seznamem činností a služeb a § 12 odst. 2 zákona č. 264/2025 Sb. začíná primárními aktivy, tedy službami a informacemi. Bez tohoto kroku na záznam neukazuje žádný proces, takže nikdo nedokáže říct, komu patří a kolik ochrany potřebuje. A dokud primární aktivum neposoudíte, zákon ho počítá do stanoveného rozsahu (§ 12 odst. 4).
Vymyšlený příklad, ne skutečná firma. Strojírenská firma o 60 zaměstnancích zmapuje jedenáct obchodních procesů (příjem objednávek, konstrukce, nákup, výrobní linka A, výrobní linka B, kvalita, expedice, fakturace, mzdy, zákaznická podpora, vzdálený poprodejní servis). Procházka aktiv vyprodukuje dvanáct seskupených záznamů: ERP (jeden), CAD a PLM (jeden), MES na dílně (jeden), souborové a tiskové servery (jeden, tři shodné stroje), flotila 50 notebooků pod jedním profilem MDM (jeden), dvě seskupené rodiny CNC řídicích jednotek (dvě), centrální síťové prvky (jeden), Microsoft 365 (jeden), SaaS pro zákaznickou podporu (jeden), poprodejní VPN zařízení (jeden) a fyzická lokalita (jeden). Dvanáct záznamů pokrývajících IT i OT, každý se jmenovaným vlastníkem, úrovní ochrany a známým umístěním.
Týchž dvanáct záznamů je páteří registru rizik, registru dodavatelů, politiky přístupu, plánu kontinuity činností a postupu reakce na incidenty. Projekt CMDB k tomu není potřeba: bod 12.4 CIR nejmenuje žádná pole, § 12 zákona č. 264/2025 Sb. nepředepisuje formu evidence a průvodce NÚKIB pracuje se seskupenými typovými aktivy.
- Směrnice (EU) 2022/2555 (NIS 2), čl. 21 odst. 2 písm. i): minimální opatření řízení rizik zahrnují bezpečnost lidských zdrojů, politiky řízení přístupu a správu aktiv.
- Prováděcí nařízení Komise (EU) 2024/2690 ze dne 17. října 2024, příloha bod 12.4 (inventář aktiv): úplný, přesný, aktuální a konzistentní inventář v granularitě odpovídající potřebám subjektu, uvádějící činnosti a služby a podporující systémy, pravidelně přezkoumávaný. Zavazuje druhy subjektů uvedené v čl. 1 CIR.
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 12 (stanovení rozsahu řízení kybernetické bezpečnosti, evidence aktiv): https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_12; vyhláška č. 409/2025 Sb., § 7 a příloha č. 1 (řízení a hodnocení aktiv, vyšší režim): https://e-sbirka.gov.cz/sb/2025/409/2025-11-01#par_7
- NÚKIB, Průvodce řízením aktiv a rizik dle vyhlášky o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností, verze 1.0 z 1. října 2026, kap. 4 (typová aktiva): https://portal.nukib.gov.cz/storage/uploads/2026/10/07/pruvodce-rizenim-aktiv-a-rizik-dle-vyhlasky_uid_6ac61aad4f322.pdf
- ISO/IEC 27001:2022 Příloha A.5.9 (inventář informací a dalších souvisejících aktiv), propojená s bodem 12.4 CIR v mapovací tabulce ENISA (v1.2, srpen 2025); ENISA uvádí, že mapování není měřítkem rovnocennosti.
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Řízení rizik
Sepište, co vaše firma má
Seznam procesů, programů a zařízení, se kterými pracujete.
Řízení rizik
Ohodnoťte svá rizika
Umístěte do matice každý program, každé zařízení a každého dodavatele.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
