Jak se připravit na kontrolu NÚKIB
Článek 32 NIS 2 dává každému dozorovému orgánu pevnou sadu nástrojů. V Česku je NÚKIB uplatňuje kontrolou podle § 55 zákona č. 264/2025 Sb. a kontrolního řádu (zákon č. 255/2012 Sb.). Tato stránka prochází, jak kontrola probíhá, co si NÚKIB vyžádá a na co se připravit v režimu nižších a vyšších povinností, včetně auditu kybernetické bezpečnosti ve vyšším režimu.
Stručně
Kontrola NÚKIB není jedna událost. Článek 32 NIS 2 uvádí pro základní subjekty kontroly na místě, cílené bezpečnostní audity, audity ad hoc, bezpečnostní prověrky a požadavky na informace. Český zákon tyto nástroje nedělí podle režimů: NÚKIB vykonává kontrolu v oblasti kybernetické bezpečnosti a zjišťuje, jak jsou plněny povinnosti (§ 55).
Postup kontroly upravuje kontrolní řád: kontrolující se prokáže pověřením, smí vstoupit do prostor, požadovat podklady a součinnost a výsledek zapíše do protokolu, proti kterému můžete do 15 dnů podat námitky (§§ 4, 7, 8, 12 a 13 zákona č. 255/2012 Sb.). Zjistí-li NÚKIB nedostatky, může uložit nápravné opatření (§ 56 zákona) a projednat přestupek s pokutou podle §§ 59 a 60: ve vyšším režimu až 250 mil. Kč nebo 2 % obratu, v nižším až 175 mil. Kč nebo 1,4 %.
Kontrolu nejlépe zvládne firma, která má dokumentaci průběžně v pořádku, vedení, které za ni dokáže odpovídat, a písemný plán pro známé mezery. Podle NÚKIB není při kontrole problém, když opatření nešlo zavést v plánovaném roce, je-li to racionálně a objektivně odůvodněno v plánu zvládání rizik (vyšší režim) nebo v přehledu bezpečnostních opatření (nižší režim). Tato stránka prochází postup, právní text a tři omyly, které kontrolu zhoršují.
Článek 32 směrnice NIS 2 (2022/2555)
1. Členské státy zajistí, aby byla opatření v oblasti dohledu nebo vymáhání uložená základním subjektům v souvislosti s povinnostmi stanovenými v této směrnici účinná, přiměřená a odrazující, přičemž zohlední okolnosti každého jednotlivého případu. 2. Členské státy zajistí, aby příslušné orgány měly při výkonu svých dohledových úkolů v souvislosti se základními subjekty pravomoc podrobit tyto subjekty alespoň: a) kontrolám na místě i externímu dohledu, včetně namátkových kontrol, které provádí vyškolení odborníci; b) pravidelným a cíleným bezpečnostním auditům, které provádí nezávislý subjekt nebo příslušný orgán; c) auditům ad hoc, a to i v případech odůvodněných významným incidentem nebo porušením této směrnice ze strany základního subjektu; d) bezpečnostním prověrkám na základě objektivních, nediskriminačních, korektních a transparentních kritérií posouzení rizik, které se v případě potřeby provedou ve spolupráci s dotčeným subjektem; e) požadavkům na informace nezbytné k posouzení opatření k řízení kybernetických bezpečnostních rizik přijatých dotčeným subjektem, …
Článek 32 stanoví nástroje pro základní subjekty, článek 33 pro důležité subjekty jen ex post, při indiciích porušení. Český zákon toto rozlišení nepřebírá: kontrola podle § 55 se vztahuje na oba režimy. Článek 34 stanoví minimální výši horních hranic pokut; český zákon je vyjadřuje v korunách (§ 59 odst. 4).
Vyhláška č. 410/2025 Sb., § 3 odst. 2 (režim nižších povinností)
Povinná osoba a) stanoví přehled bezpečnostních opatření podle přílohy č. 1 k této vyhlášce, který obsahuje přehled všech bezpečnostních opatření, která 1. byla povinnou osobou zavedena, včetně popisu jejich zavedení, 2. budou povinnou osobou zavedena, včetně termínů pro jejich zavedení, priority jejich zavedení a určení osoby odpovědné za jejich zavedení, a 3. nebyla zavedena, včetně odůvodnění jejich nezavedení, b) provede a dokumentuje alespoň jednou ročně aktualizaci přehledu bezpečnostních opatření, včetně vyhodnocení účinnosti zavedených bezpečnostních opatření, c) uchovává jednotlivé přehledy bezpečnostních opatření a jejich aktualizace alespoň po dobu 4 let.
Přehled bezpečnostních opatření je v nižším režimu ústředním dokladem: ukazuje, co je zavedeno, co a kdy bude a proč něco zavedeno není. Ve vyšším režimu plní obdobnou roli plán zvládání rizik a další dokumentace podle vyhlášky č. 409/2025 Sb. Prováděcí nařízení (EU) 2024/2690 se uplatní přímo u poskytovatelů služeb vyjmenovaných v § 18 zákona, například cloud computingu, datových center nebo řízených služeb.
§ 55 zákona č. 264/2025 Sb. a kontrolní řád (Česko)
Úřad vykonává kontrolu v oblasti kybernetické bezpečnosti. Při výkonu kontroly Úřad zjišťuje, jak jsou plněny povinnosti stanovené tímto zákonem nebo na jeho základě a přímo použitelnými předpisy Evropské unie v oblasti kybernetické bezpečnosti.
Postup kontroly se řídí kontrolním řádem: kontrolující smí vstupovat do staveb a prostor (§ 7), požadovat údaje, dokumenty a věci, provádět prohlídky a zkoušky a po předchozím projednání s vámi užívat vaše technické prostředky (§ 8). Pokuty stanoví §§ 59 a 60 zákona. Ve vyšším režimu musíte navíc sami provádět audit kybernetické bezpečnosti nejméně jednou za 2 roky (vyhláška č. 409/2025 Sb., § 16 odst. 4).
Zahájení kontroly a vyžádání podkladů
Kontrola začíná prvním kontrolním úkonem: předložením pověření na místě nebo doručením oznámení o zahájení kontroly (§ 5 kontrolního řádu). Už předtím může NÚKIB opatřovat podklady pro rozhodnutí, zda kontrolu zahájit (§ 3). Kontrolující si vyžádá podklady (§ 8 písm. c)). Zákon a vyhlášky po vás chtějí mít: stanovený rozsah a evidenci aktiv (§ 12 zákona), v nižším režimu přehled bezpečnostních opatření, ve vyšším bezpečnostní politiku, zprávu o hodnocení rizik a plán zvládání rizik, a doklad o školení vedení.
Kontrola na místě
Kontrolující smí vstoupit do vašich prostor, je-li to nezbytné (§ 7 kontrolního řádu), provádět prohlídky, měření a zkoušky, pořizovat záznamy a po předchozím projednání s vámi užívat vaše technické prostředky (§ 8). Bude chtít vidět, jak se pravidla promítají do praxe: zálohy skutečně běží, přístupy jsou skutečně omezené, postup při incidentu lidé znají. Máte právo účastnit se kontrolních úkonů na místě a požadovat předložení pověření (§ 9 písm. e), § 10 odst. 1). Řešením není dobrý výkon v den kontroly, ale nemít nic, co by dokumentace už neukázala.
Protokol, námitky a nápravná opatření
Výsledek kontrolující zapíše do protokolu do 30 dnů od posledního kontrolního úkonu, ve zvlášť složitých případech do 60 dnů (§ 12 odst. 2 kontrolního řádu). Proti kontrolním zjištěním můžete do 15 dnů od doručení protokolu podat písemné a odůvodněné námitky (§ 13). Zjistí-li NÚKIB nedostatky, může vám rozhodnutím uložit jejich odstranění ve lhůtě (§ 56 zákona) a projednat přestupek (§§ 59, 60 a 62). Ve vyšším režimu může při nesplnění nápravného opatření pozastavit certifikát nebo dočasně zakázat výkon funkce členovi statutárního orgánu (§§ 57 a 58).
Datované a podepsané vítězí nad vyčerpávajícím
Kontrolující nechce dokonalou politiku. Chce politiku, která je datovaná, má jmenovaného vlastníka, je pravidelně přezkoumávaná a dohledatelná ve verzích. Krátká politika, se kterou se vedení prokazatelně seznámilo před dvěma měsíci, má větší cenu než čtyřicetistránková, za kterou nikdo neodpovídá. Známé mezery s písemným plánem a cílovým datem jsou v pořádku, jsou-li odůvodněné v přehledu bezpečnostních opatření nebo v plánu zvládání rizik. Neznámé mezery a nezdokumentovaná rozhodnutí ne.
Vedení musí být u toho
Článek 20 NIS 2 ukládá řídícím orgánům schvalovat opatření k řízení kybernetických bezpečnostních rizik a dohlížet nad jejich uplatňováním. Česká vyhláška to vyjadřuje jinak: vrcholné vedení prokazatelně absolvuje školení a prokazatelně se seznamuje se stavem opatření (vyhláška č. 410/2025 Sb., § 4 písm. b) a d)), ve vyšším režimu i se zprávou o hodnocení rizik, plánem zvládání rizik a výsledky auditů a kontrol (vyhláška č. 409/2025 Sb., § 4 odst. 2). Chybějící podpora vedení patří podle NÚKIB k nejčastějším zjištěním z kontrol. Řešením není scénář, ale pravidelné projednání, kterého se jednatel skutečně účastní.
Kontrola NÚKIB + audit ve vyšším režimu
NÚKIB kontroluje poskytovatele v obou režimech podle § 55 zákona a kontrolního řádu. Poskytovatel v režimu vyšších povinností musí navíc sám provádět audit kybernetické bezpečnosti: při významných změnách a pravidelně alespoň jednou za 2 roky, v odůvodněných případech po celcích tak, aby celý rozsah prošel alespoň jednou za 5 let. Audit provádí osoba, která nezávisle hodnotí správnost a účinnost opatření (vyhláška č. 409/2025 Sb., § 16). Audit se řídí kalendářem, nečeká na kontrolu NÚKIB. V nižším režimu vyhláška audit nevyžaduje; žádá roční aktualizaci přehledu bezpečnostních opatření včetně vyhodnocení jejich účinnosti (vyhláška č. 410/2025 Sb., § 3 odst. 2).
ENISA + skupina pro spolupráci NIS
ENISA, agentura EU pro kybernetickou bezpečnost, vydává technické pokyny k implementaci (TIG), které mapují článek 21 NIS 2 na zavedené standardy jako ISO/IEC 27001:2022 a NIST CSF 2.0. Skupina pro spolupráci podle článku 14 NIS 2 slaďuje praxi mezi členskými státy. Pokud působíte v několika zemích, základ, tedy článek 21 NIS 2, je stejný. Podrobnosti a mechanika (vyhlášky, formuláře, lhůty) se liší.
Sektorové příslušné orgány
Kde přímo použitelný předpis EU nebo zákon, který ho zapracovává, stanoví povinnosti k bezpečnostním opatřením nebo hlášení incidentů s alespoň srovnatelným účinkem, příslušná ustanovení zákona o kybernetické bezpečnosti se neuplatní, včetně dozoru nad nimi (§ 70 odst. 1). Týká se to například finančního trhu a nařízení DORA. Pravomoci podle článku 32 se tím nemění. Mění se, který orgán přijde ke dveřím.
Pokud máme politiky napsané, jsme připraveni.
Napsané politiky jsou první krok. O výsledku rozhoduje, zda je odpovědné osoby umějí vysvětlit a používat. Neschválené, neřízené nebo nedodržované bezpečnostní politiky patří podle NÚKIB k nejčastějším zjištěním z kontrol. Lékem nejsou lepší politiky, ale to, že je odpovědná osoba skutečně používá a vedení se s nimi skutečně seznamuje.
Dokumentaci dáme do pořádku, jakmile přijde oznámení o kontrole.
Kontrola může začít i předložením pověření přímo na místě (§ 5 odst. 2 písm. a) kontrolního řádu) a lhůty k předložení podkladů určuje kontrolující. Vybudovat registr rizik, evidenci aktiv a postup pro incidenty od nuly za pár týdnů není reálné. Navíc to vytvoří pro kontrolujícího nejhorší možný doklad: čerstvý dokument bez historie verzí, bez předchozího seznámení vedení a bez stopy používání. Dokumenty je třeba provozovat, ne vyrábět kvůli dopisu.
Odpovídáme jen za to, co provozujeme sami, ne za své dodavatele.
Kdo zavádí nebo provádí opatření přes dodavatele, musí dodavatele vybírat v souladu s požadavky opatření a zahrnout je do smluv (§ 13 odst. 5 zákona); v nižším režimu stanoví relevantní smluvní ujednání příloha č. 2 vyhlášky č. 410/2025 Sb. (§ 3 odst. 5). Odpověď „to řeší náš poskytovatel řízených služeb“ je zjištěním. Smlouvy, které nerespektují zákonné požadavky, patří podle NÚKIB k nejčastějším zjištěním z kontrol. Provoz můžete outsourcovat, odpovědnost ne.
Smyšlený příklad: regionální dodavatel energie Příklad energie s.r.o. je poskytovatelem regulované služby v režimu vyšších povinností. Poslední audit kybernetické bezpečnosti proběhl před rokem, další je nejpozději za rok (vyhláška č. 409/2025 Sb., § 16 odst. 4). Přípravu vede průběžně: každé čtvrtletí projde manažer kybernetické bezpečnosti s jednatelem jednu oblast opatření z § 14 odst. 1 zákona, zachytí doklady (verze politiky, seznámení vedení, poslední přezkum, otevřená nápravná opatření) a mezeru uzavře do dalšího čtvrtletí. Když přijde kontrola, nic se kvůli ní nevyrábí. Vše je datované.
Audit provádí osoba, která nezávisle hodnotí správnost a účinnost opatření (§ 16 odst. 6). Výsledky auditu firma zahrne do řízení rizik a do plánu rozvoje bezpečnostního povědomí a stanoví nápravná opatření, která přijme bez zbytečného odkladu (§ 16 odst. 3). Vrcholné vedení se s výsledky auditů a kontrol prokazatelně seznamuje (§ 4 odst. 2 písm. e)). Seznam zjištění z auditu bere firma jako stálý program jednání na další dvě čtvrtletí.
- Směrnice (EU) 2022/2555 (NIS 2), články 20, 32, 33 a 34: https://eur-lex.europa.eu/eli/dir/2022/2555/oj; prováděcí nařízení Komise (EU) 2024/2690: https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 13 odst. 5, §§ 14, 18, 55 až 60 a 70: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_55
- Zákon č. 255/2012 Sb., o kontrole (kontrolní řád), §§ 3 až 14: https://e-sbirka.gov.cz/sb/2012/255
- Vyhláška č. 409/2025 Sb. (vyšší režim), §§ 4 a 16: https://e-sbirka.gov.cz/sb/2025/409/2025-11-01#par_16; vyhláška č. 410/2025 Sb. (nižší režim), §§ 3 a 4: https://e-sbirka.gov.cz/sb/2025/410/2025-11-01#par_3
- NÚKIB, časté otázky k novému zákonu o kybernetické bezpečnosti: https://portal.nukib.gov.cz/informacni-servis/faq/faq-novy-zakon-o-kyberneticke-bezpecnosti; NÚKIB, prezentace na konferenci ISSS 19. května 2026 (nejčastější zjištění z kontrol)
- ENISA, Technical Implementation Guidance k prováděcímu nařízení (EU) 2024/2690 (stav k květnu 2026); referenční dokumenty skupiny pro spolupráci NIS k praxi dohledu: https://digital-strategy.ec.europa.eu
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
