Středně velké firmy

Zavedení NIS2: jak postupovat ve středně velké firmě

Ohlásíte svou službu NÚKIB, zavedete bezpečnostní opatření v deseti oblastech a hlásíte kybernetické bezpečnostní incidenty. Vedení na to dohlíží. Jak důkladné musí každé opatření být, závisí na velikosti a riziku vaší firmy a na režimu povinností.

Vyzkoušet 30 dní, peníze zpět

Domluvit hovor

Rozhoduje někdo jiný? Jedna stránka pro vaše vedení Bezplatné školení pro vašeho jednatele

Simon Orzel·Průběžně kontrolováno

Programy a členství

Čtyři povinnosti

NIS 2 je směrnice EU. V Česku ji do práva převádí zákon č. 264/2025 Sb., o kybernetické bezpečnosti. Firma, na kterou se vztahuje, se tam nazývá „poskytovatel regulované služby“. Každý poskytovatel má čtyři povinnosti.

Ohlásit službu

Svou službu jednou ohlásíte NÚKIB přes Portál NÚKIB, do 60 dnů ode dne, kdy splňuje podmínky. NÚKIB pak rozhodne o registraci.

Předpis: čl. 3 odst. 4 NIS 2 · § 6 zákona č. 264/2025 Sb.
Kdo: Statutární orgán nebo jím pověřený zástupce s identitou občana (NIA)

Více k tomu

Zavést opatření a zapsat je

Chráníte své IT v deseti oblastech, od plánu pro incidenty po přihlášení s druhým faktorem. Co rozhodnete, zapíšete.

Předpis: čl. 21 NIS 2 · § 13 a 14 zákona č. 264/2025 Sb.
Kdo: Kdo odpovídá za IT, interně nebo jako externí poskytovatel

Více k tomu

Hlásit významné incidenty

Kybernetický bezpečnostní incident hlásíte přes Portál NÚKIB, prvotní hlášení do 24 hodin po zjištění: ve vyšším režimu NÚKIB, v nižším Národnímu CERT. V nižším režimu hlásíte jen incident s významným dopadem, například když vážně naruší váš provoz.

Předpis: čl. 23 NIS 2 · § 15 a 16 zákona č. 264/2025 Sb.
Kdo: Kdo rozhoduje v případě nouze

Více k tomu

Vedení řídí

Vedení prokazatelně absolvuje školení, zajišťuje zdroje a prokazatelně se seznamuje se stavem opatření. Tyto povinnosti dopadají přímo na vedení.

Předpis: čl. 20 NIS 2 · § 4 vyhlášek č. 409/2025 a 410/2025 Sb.
Kdo: Vedení, osobně

Více k tomu

Co to znamená pro 50 až 150 zaměstnanců

Nepotřebujete vlastní bezpečnostní tým. V nižším režimu stačí osoba pověřená kybernetickou bezpečností (vyhláška č. 410/2025 Sb., § 4 písm. a)). Ve vyšším režimu vedení navíc zřizuje výbor pro řízení kybernetické bezpečnosti a určuje čtyři bezpečnostní role (vyhláška č. 409/2025 Sb., § 4 odst. 3 a 4).

Nepotřebujete certifikát jako ISO 27001. Zákon ho nepředepisuje, ale jako doklad může pomoci.

Opatření musí odpovídat vaší firmě: zavádíte je v míře nezbytné pro zajištění kybernetické bezpečnosti regulované služby (§ 13 odst. 2 zákona č. 264/2025 Sb.), v nižším režimu přiměřeně bezpečnostním potřebám (vyhláška č. 410/2025 Sb., § 3 odst. 1).

Co zavádíte, zdokumentujete; v nižším režimu v přehledu bezpečnostních opatření, který alespoň jednou ročně aktualizujete i s vyhodnocením účinnosti (vyhláška č. 410/2025 Sb., § 3 odst. 2). Opatření navíc musí skutečně fungovat.

Práci odvedou lidé, které už máte: vedení, ten, kdo odpovídá za IT, a oddělení, která vědí, co provoz potřebuje.

V jakém pořadí

Každý krok navazuje na ten předchozí.

1Ověřit, zda se na vás NIS2 vztahuje. Záleží na vaší službě, počtu zaměstnanců a obratu (§ 4 zákona č. 264/2025 Sb., vyhláška č. 408/2025 Sb.).
2Ohlásit službu NÚKIB přes Portál NÚKIB.
3Nechat vedení proškolit.
4Sepsat, jaké IT váš provoz používá a kdo pro vás pracuje. Potom ohodnotit rizika.
5Rozhodnout o opatřeních a zachytit je v dokumentech: bezpečnostní politika, nouzové plány a pravidla pro přístupy, aktualizace a šifrování.
6Vedení dokumenty přečte a schválí.
7Potom pravidelně kontrolovat, zda vše stále odpovídá.

Stručná verze pro vedení

Příklad

Smyšlená firma: výrobce dopravníkových systémů s 90 zaměstnanci. O IT se stará jeden zaměstnanec spolu s externím poskytovatelem služeb.

Ověření ukáže: výroba strojů (oddíl 28 CZ-NACE) je v příloze vyhlášky č. 408/2025 Sb. S 90 zaměstnanci je firma středním podnikem a patří do režimu nižších povinností.

Jednatel se přihlásí do Portálu NÚKIB svou identitou občana (NIA) a službu ohlásí. Do 30 dnů od doručení rozhodnutí o registraci doplní kontaktní a doplňující údaje.

Absolvuje školení pro vrcholné vedení, například kurz NÚKIB.

Zaměstnanec pro IT sepíše, na čem provoz závisí: ERP, e-mail, konstrukční software, řízení výroby, zálohy. K tomu dodavatelé, například poskytovatel IT služeb a dodavatel ERP.

Společně u každé položky ohodnotí, co se může stát. Nejvíc váží výpadek řízení výroby.

Z toho vzniknou dokumenty: bezpečnostní politika, plán reakce na incidenty, plán kontinuity provozu a pravidla pro přístupy, aktualizace a šifrování.

Jednatel je přečte a schválí. V plánu reakce na incidenty stojí, kdo při incidentu rozhoduje.

Jak to probíhá v průvodci

Průvodce na nisd2.eu vás zavedením provede v tomto pořadí, krok za krokem.

20 kroků. Subjekty kritické infrastruktury mají o jeden krok víc.

U každého kroku je předpis, vysvětlený jednoduchými slovy.

Z vašich odpovědí vznikne šest dokumentů, mezi nimi bezpečnostní politika a oba nouzové plány.

Co ještě nejde, odložíte stranou a pokračujete dál.

Pokud se rozhodnete některý bod vědomě nezavést, zapíšete proč. Vedení toto rozhodnutí podepíše také.

Na konci vedení schválí dokumenty v aplikaci pod vlastním účtem. Jméno a datum se pak objeví na každém dokumentu.

Začít prvním krokem

Časté chyby

Čekat na konečný návod

Zákon č. 264/2025 Sb. je účinný od 1. listopadu 2025. Službu máte ohlásit do 60 dnů od splnění podmínek a se zaváděním opatření začít nejpozději do 1 roku od doručení rozhodnutí o registraci (§ 6 odst. 1, § 13 odst. 4).

Plánovat příliš ve velkém

Zákon požaduje opatření v míře nezbytné, ne co největší. Mnoho podrobných technických požadavků, například audit kybernetické bezpečnosti alespoň jednou za 2 roky, platí jen v režimu vyšších povinností (vyhláška č. 409/2025 Sb.).

Nechat NIS2 jen na IT

Vedení musí prokazatelně absolvovat školení, zajistit zdroje a prokazatelně se seznamovat se stavem opatření (vyhláška č. 410/2025 Sb., § 4). Zapojte ho od začátku.

Zapomenout na dodavatele

Bezpečnost dodavatelského řetězce je jednou z deseti oblastí (čl. 21 odst. 2 písm. d) NIS 2). Zavádíte-li opatření přes dodavatele, patří požadavky do smlouvy (§ 13 odst. 5 zákona č. 264/2025 Sb.). Patří sem všichni přímí dodavatelé a poskytovatelé služeb, nejen IT.

Jen papír

Zákon požaduje opatření zavádět a provádět (§ 13 odst. 2 zákona č. 264/2025 Sb.). Dokument, o kterém nikdo neví, nic nechrání.

Zdroje

Směrnice (EU) 2022/2555 (NIS 2), čl. 3, 20, 21 a 23 (eur-lex.europa.eu)
Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 4, 6, 13, 14, 15 a 16, účinný od 1. listopadu 2025: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01; vyhláška č. 410/2025 Sb.: https://e-sbirka.gov.cz/sb/2025/410/2025-11-01
Vyhláška č. 408/2025 Sb., příloha, služba 7.3 Výroba strojů a zařízení jinde nezařazených (oddíl 28 CZ-NACE): https://e-sbirka.gov.cz/sb/2025/408/2025-11-01
NÚKIB, Portál NÚKIB a Často kladené otázky (přihlášení identitou občana přes NIA): https://portal.nukib.gov.cz

V praxi

Kde se to objevuje v průvodci

Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.

Registrace a hlášení
Ohlásit službu NÚKIB
Vaše firma ohlásí regulovanou službu NÚKIB, ten pak rozhodne o registraci.
Řízení rizik
Sepište, co vaše firma má
Seznam procesů, programů a zařízení, se kterými pracujete.
Posouzení účinnosti
Zapište přezkoumání vedením
Vedení kontroluje, zda opatření fungují, a schvaluje vaše dokumenty.