Jak provést hodnocení rizik podle NIS 2

Identifikovat

Vezměte svou evidenci aktiv: v Česku stanovený rozsah podle § 12 zákona č. 264/2025 Sb., u digitálních poskytovatelů i soupis podle bodu 12 CIR. Pro každé aktivum (nebo typové aktivum, tedy skupinu shodných aktiv) vyjmenujte hrozby a zranitelnosti, které se ho týkají. Použijte referenční katalog, abyste nezačínali z prázdné stránky. Ve vyšším režimu musíte zvážit alespoň kategorie z přílohy č. 3 vyhlášky č. 409/2025 Sb. (17 zranitelností, 21 hrozeb). Jako doplněk poslouží německý katalog elementárních ohrožení BSI (47 položek: požár, krádež, sociální inženýrství, malware, dodavatelský řetězec, ztráta klíčové osoby a další) nebo příloha A normy ISO/IEC 27005:2022. Výstupem je trojice aktivum, hrozba a zranitelnost pro každé riziko.

Analyzovat

Pro každou trojici ohodnoťte, jak vážný by byl dopad a jak je pravděpodobné, že nastane. Matice 3x3 (nízká / střední / vysoká) stačí pro většinu středních firem. Matice 5x5 vám dá lepší rozlišení, pokud potřebujete porovnávat podobná rizika. Ve vyšším režimu vyhláška č. 409/2025 Sb. počítá riziko z hodnoty aktiva, hrozby a zranitelnosti (Riziko = hodnota aktiva × hrozba × zranitelnost, případně jiná funkce obdobného významu) se čtyřmi úrovněmi Nízká až Kritická (příloha č. 4); jiný počet úrovní připouští, pokud zůstane rozlišitelná úroveň hrozby i zranitelnosti (příloha č. 4 odst. 5). Dopad pokrývá důvěrnost, integritu a dostupnost, plus jakýkoli obchodní nebo bezpečnostní následek. Pravděpodobnost je úsudek opřený o to, co jste již viděli, o odvětvová data a o stav vašich opatření. Hodnocení zapište s jednořádkovým zdůvodněním.

Vyhodnotit a ošetřit

Porovnejte každé ohodnocené riziko s vašimi akceptačními kritérii, která jste stanovili před začátkem hodnocení. Nad prahem riziko zvládáte: snížíte ho (zavedete opatření), vyhnete se mu (přestanete činnost provádět), sdílíte ho (pojištění nebo smlouva, s limity, viz níže), nebo ho výjimečně akceptujete se zdokumentovaným důvodem. Ve vyšším režimu ale vyhláška č. 409/2025 Sb. žádá riziko nad hranicí akceptovatelnosti snížit nebo eliminovat (příloha č. 4 odst. 6) a opatření zapsat do plánu zvládání rizik (§ 8 odst. 1 písm. g)). Pod prahem zaznamenáte, že riziko akceptujete. Každé rozhodnutí o zvládání má jmenovaného vlastníka a termín. Zbytková rizika, se kterými je firma ochotna žít, by mělo přijmout vedení (u digitálních poskytovatelů to žádá bod 2.1.1 přílohy CIR, jinak je to osvědčená praxe). Český zákon schválení vedením nežádá; ve vyšším režimu se vedení prokazatelně seznamuje se zprávou o hodnocení rizik a s plánem zvládání rizik (vyhláška č. 409/2025 Sb., § 4 odst. 2).

Písemná metoda se schválením vedením

Bod 2 přílohy CIR mluví o rámci, nikoli o workshopu. Metoda (jak hodnotíte, jak vypadá matice, kdo rozhoduje, jaké jsou vaše akceptační prahy) musí být na papíře. Ve vyšším režimu to výslovně žádá vyhláška č. 409/2025 Sb.: metodika pro určování a hodnocení rizik včetně kritérií pro akceptovatelnost (§ 8 odst. 1 písm. a)); kritéria by podle průvodce NÚKIB mělo stanovit vrcholné vedení. Schválení metody vedením český zákon nežádá, je to osvědčená praxe. Nepotřebujete složitou metodu. Potřebujete zdokumentovanou. Hloubku smíte držet úměrnou riziku a velikosti (čl. 21 odst. 1 NIS 2; v Česku opatření „v míře nezbytné“ podle § 13 odst. 2 zákona č. 264/2025 Sb.). V nižším režimu vyhláška č. 410/2025 Sb. metodiku nepředepisuje a roli řízení rizik plní přehled bezpečnostních opatření; jednoduchá metodika je tam osvědčená praxe.

Revize v plánovaných intervalech a při významných změnách

Bod 2.1.4 přílohy CIR je výslovný: výsledky posouzení rizik a plán ošetření rizik přezkoumáte v plánovaných intervalech, nejméně jednou ročně a při výskytu významných incidentů nebo významných změn. Ve vyšším režimu provádíte hodnocení rizik alespoň jednou ročně a při významných změnách podle vyhlášky č. 409/2025 Sb., která vyjmenovává, co hodnocení zohlední, mimo jiné incidenty, výsledky auditů, penetračních testů a skenování zranitelností (§ 8 odst. 1 písm. c)). V nižším režimu interval nestanoví, přehled bezpečnostních opatření ale aktualizujete alespoň jednou ročně (vyhláška č. 410/2025 Sb., § 3 odst. 2 písm. b)). Nová linie podnikání, nový klíčový dodavatel, závažný incident, regulatorní změna, to vše se počítá jako významné. Roční revize je spodní hranicí, nikoli stropem. Berte hodnocení jako živý dokument vázaný na vaši evidenci aktiv, nikoli jako pořadač, který napíšete jednou.