Školení vedení podle čl. 20 odst. 2 NIS 2
NIS 2 říká, že v kybernetické bezpečnosti musí být proškoleno samo vedení. Ne manažer kybernetické bezpečnosti a ne vedoucí IT, ale jednatelé, představenstvo, lidé, kteří podle čl. 20 odst. 1 schvalují opatření k řízení rizik.
Krátká verze
Čl. 20 NIS 2 je článek o řízení. Odstavec 1 říká, že řídící orgány schvalují opatření k řízení kybernetických bezpečnostních rizik, dohlížejí na jejich uplatňování a mohou nést odpovědnost, poruší-li subjekt čl. 21. Odstavec 2 přidává školení: členové řídících orgánů musí absolvovat školení a subjekty jsou vybízeny, aby podobné školení pravidelně nabízely zaměstnancům.
Školení nelze delegovat. Směrnice jmenuje členy řídících orgánů. Vyslání manažera kybernetické bezpečnosti na kurz povinnost nesplní. Kdo odpovídá za opatření podle čl. 21, potřebuje dost znalostí, aby rozuměl tomu, co schvaluje.
Česko pravidlo provádí vyhláškami k zákonu č. 264/2025 Sb.: vrcholné vedení prokazatelně absolvuje vstupní a pravidelná školení (vyhláška č. 410/2025 Sb., § 4 písm. b), § 5 odst. 2 písm. a); vyhláška č. 409/2025 Sb., § 4 odst. 1 písm. a), § 10 odst. 3 písm. a)). Stránka prochází čl. 20 odst. 2, praktickou povinnost a českou úpravu v tomto pořadí.
Čl. 20 odst. 2 směrnice NIS 2 (2022/2555)
Členské státy zajistí, aby členové řídících orgánů základních a důležitých subjektů museli absolvovat školení, a vybízí základní a důležité subjekty, aby pravidelně nabízely podobné školení svým zaměstnancům, aby tak získali dostatečné znalosti a dovednosti, aby mohli identifikovat rizika a posoudit postupy řízení kybernetických bezpečnostních rizik a jejich dopad na služby poskytované subjektem.
Toto je zdrojové pravidlo. Jmenuje členy řídících orgánů a obsah školení váže na identifikaci rizik, posouzení postupů řízení kybernetických bezpečnostních rizik a jejich dopad na služby subjektu. Školení zaměstnanců směrnice jen podporuje („vybízí“); v Česku ho ale vyžadují vyhlášky (vyhláška č. 410/2025 Sb., § 5 odst. 2 písm. b) a c); vyhláška č. 409/2025 Sb., § 10 odst. 3 písm. b) až d)).
Prováděcí nařízení Komise (EU) 2024/2690, čl. 1
[…] stanovuje technické a metodické požadavky na opatření uvedená v čl. 21 odst. 2 směrnice (EU) 2022/2555 a dále upřesňuje případy, v nichž se incident považuje za významný, jak je uvedeno v čl. 23 odst. 3 směrnice (EU) 2022/2555.
Na rozdíl od čl. 21 nemá čl. 20 prováděcí nařízení. Standardem je text směrnice a národní předpisy; v Česku podrobnosti stanoví vyhlášky NÚKIB.
Vyhláška č. 410/2025 Sb., § 5 odst. 2 písm. a) (Česko)
Povinná osoba v souladu s pravidly rozvoje bezpečnostního povědomí zajistí a) poučení vrcholného vedení o jeho povinnostech a o bezpečnostní politice, zejména v oblasti zajišťování kybernetické bezpečnosti, formou vstupních a pravidelných školení,
To je česká úprava pro režim nižších povinností; vrcholné vedení školení „absolvuje prokazatelně“ (§ 4 písm. b)). V režimu vyšších povinností přidává vyhláška č. 409/2025 Sb., § 10 odst. 3 písm. a) systém řízení bezpečnosti informací, řízení rizik a kontinuitu činností a cíl školení „k získání znalostí a dovedností vedoucích k určování rizik a posouzení vhodnosti zvolených postupů při řízení rizik a jejich dopadů na regulovanou službu“. Obě vyhlášky jsou účinné od 1. listopadu 2025. Bezpečnostní opatření, včetně požadavků na vrcholné vedení, musíte začít plnit nejpozději do 1 roku od doručení rozhodnutí o registraci (§ 13 odst. 4 zákona).
Samo vedení absolvuje školení
Členové vedení musí absolvovat školení. Osobně. Směrnice mluví o „členech řídících orgánů“, takže se týká každého jednatele a každého člena představenstva. Česká vyhláška ukládá vrcholnému vedení školení absolvovat „prokazatelně“. Doklad o absolvování je proto minimum. Platforma ukládá zápis i doklad o dokončení.
Školení pro všechny zaměstnance
Směrnice subjekty jen vybízí, aby zaměstnancům pravidelně nabízely podobné školení. České vyhlášky jdou dál: vstupní a pravidelná školení zaměstnanců a odborná školení administrátorů a osoby pověřené kybernetickou bezpečností (vyhláška č. 410/2025 Sb., § 5 odst. 2 písm. b) až d)), v režimu vyšších povinností i pravidelné ověřování bezpečnostního povědomí (vyhláška č. 409/2025 Sb., § 10 odst. 3 písm. d)). Interval předpisy nestanoví, určíte ho sami. Osvěta pro všechny, odborné školení pro IT.
Obsah: rizika, postupy řízení, dopad na služby
Směrnice váže obsah na to, aby vedení umělo identifikovat rizika a posoudit postupy řízení kybernetických bezpečnostních rizik a jejich dopad na služby subjektu. Česká vyhláška přidává povinnosti vedení a bezpečnostní politiku firmy. Obecná phishingová simulace to nepokryje. Kurz pro vedení ano.
Osobní povinnost vedení (čl. 20 odst. 1 a 2)
Vedení tuto povinnost nemůže přenést na manažera kybernetické bezpečnosti, vedoucího IT ani pověřence pro ochranu osobních údajů. Čl. 20 odst. 1 váže schvalování na řídící orgán, čl. 20 odst. 2 školení na tytéž osoby. V Česku se vrcholné vedení prokazatelně seznamuje se stavem opatření a samo absolvuje školení (vyhlášky č. 409/2025 Sb. a č. 410/2025 Sb., § 4). Kdo za opatření odpovídá, musí rozumět tomu, s čím se seznamuje.
Přiměřenost podle čl. 21 odst. 1 NIS 2 a § 13 odst. 2 zákona
Čl. 21 odst. 1 NIS 2 žádá opatření přiměřená riziku s ohledem na velikost, vystavení rizikům, pravděpodobnost a závažnost incidentů, nejnovější technický vývoj a náklady. Český zákon žádá opatření „v míře nezbytné“ (§ 13 odst. 2); o nákladech mlčí. Školení se čte stejnou optikou. Výrobní firma s 60 zaměstnanci potřebuje poctivé, doložené školení vedení, ne několikatýdenní manažerský program. Co předpisy nepřipouštějí, je žádné školení.
NÚKIB / vyhlášky č. 409/2025 Sb. a č. 410/2025 Sb.
Česko upravuje školení vedení ve vyhláškách: vrcholné vedení prokazatelně absolvuje vstupní a pravidelná školení o svých povinnostech a o bezpečnostní politice. NÚKIB nabízí online kurzy pro vrcholné vedení, zvlášť pro režim nižších a vyšších povinností, a jejich certifikát uznává: „NÚKIB uznává certifikát jako doklad o splnění požadavků zákona na poučení vrcholného vedení.“ Akreditaci jiných poskytovatelů předpisy nezavádějí.
Technické prováděcí pokyny ENISA
TIG od ENISA pokrývá opatření podle čl. 21. Čl. 20 stojí mimo rozsah TIG, protože zde není žádné CIR, které by bylo třeba provést. ENISA sice cituje čl. 20 ve svých širších materiálech k NIS 2, ale formální kritéria pro školení nevydala.
Národní transpoziční zákony
Čl. 20 odst. 2 provádějí ve svém právu i ostatní členské státy. Podstata je stejná, liší se dozorové orgány, kanály hlášení a podrobnosti, například zda úřad uznává konkrétní kurz, jak to dělá NÚKIB.
Tohle jsme delegovali na manažera kybernetické bezpečnosti.
To nejde. Čl. 20 odst. 2 jmenuje „členy řídících orgánů“ a česká vyhláška ukládá školení samotnému vrcholnému vedení. Vyslání manažera na kurz povinnost nesplní. Manažer může školení organizovat, vybrat poskytovatele, připravit obsah. Absolvovat ho musí vedení.
Spustili jsme modul osvěty o bezpečnosti, takže vedení je pokryto.
Uživatelská osvěta není školení vedení. Čl. 20 odst. 2 míří na identifikaci rizik, posouzení postupů řízení rizik a jejich dopad na služby; česká vyhláška na povinnosti vedení a bezpečnostní politiku. „Neklikejte na phishingové odkazy“ mezi tím není. Vedení potřebuje školení v řízení, ne v chování uživatelů.
Naše pojištění D&O kryje osobní odpovědnost, takže školení je nepovinné.
Tak to není: školení povinné zůstává. Zákon č. 264/2025 Sb. vlastní ustanovení o odpovědnosti vedení nemá, členové statutárního orgánu ale odpovídají společnosti podle péče řádného hospodáře (§ 159 občanského zákoníku, §§ 51 až 53 zákona o obchodních korporacích). O tom, kdo této péče není schopen, ač to musel zjistit, a nevyvodí z toho důsledky, se má za to, že jedná nedbale (§ 159 odst. 1). Pojištění je doplněk. Povinnost neruší a právě školení snižuje riziko porušení. Vynechání školení odpovědnost zvyšuje, nesnižuje.
Akreditační orgán pro školení vedení neexistuje. Předpisy nevyžadují akreditaci poskytovatele ani certifikaci. Vyhláška žádá, aby vedení školení prokazatelně absolvovalo. To je právní minimum. Nejjistější cestou je kurz NÚKIB, jehož certifikát NÚKIB výslovně uznává. Cokoli nad to je volba podle rizika, ne podle zákona.
Co funguje: strukturovaný kurz o rizicích, postupech řízení, dopadu na služby a povinnostech vedení, k tomu výklad vlastní bezpečnostní politiky firmy; zápis jmenovitě u každého člena vedení; doklad o absolvování v přehledu školení (vyhláška č. 410/2025 Sb., § 5 odst. 3; vyhláška č. 409/2025 Sb., § 10 odst. 5); opakování v intervalu, který si firma stanoví. To odpovídá čl. 20 odst. 2 i textu českých vyhlášek.
- Směrnice (EU) 2022/2555 (NIS 2), čl. 20: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Vyhláška č. 410/2025 Sb., §§ 4 a 5: https://e-sbirka.gov.cz/sb/2025/410/2025-11-01#par_4
- Vyhláška č. 409/2025 Sb., §§ 4 a 10: https://e-sbirka.gov.cz/sb/2025/409/2025-11-01#par_10
- Materiály ENISA k NIS 2 o odpovědnostech vedení: https://www.enisa.europa.eu
- NÚKIB, Kurz vrcholné vedení, režim nižších povinností: https://osveta.nukib.gov.cz/course/view.php?id=271; režim vyšších povinností: https://osveta.nukib.gov.cz/course/view.php?id=272
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Řízení a odpovědnost
Zajistit školení vedení
Každý člen vrcholného vedení, vstupně a pak pravidelně.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
