MFA podle článku 21(2)(j) NIS 2
NIS 2 činí z vícefaktorové autentizace samostatnou povinnost. Povinnost žije v článku 21(2)(j), bod 11.7 přílohy CIR (EU) 2024/2690 určuje kde a jak silně a české vyhlášky stanoví pořadí: vícefaktorová autentizace, do té doby klíče nebo certifikáty, do té doby hesla o délce alespoň 12, 17 a 22 znaků.
Krátká verze
MFA není volitelná a není jen příjemný doplněk. Článek 21(2)(j) ji řadí mezi deset opatření kybernetické bezpečnosti, která musí zavést každý základní a důležitý subjekt. Stejná formulace pokrývá i zabezpečenou hlasovou, video a textovou komunikaci a tam, kde na tom záleží, i zabezpečenou nouzovou komunikaci uvnitř vaší organizace.
Bod 11.7 přílohy CIR (EU) 2024/2690 doplňuje detail. Uživatelé se musí autentizovat více faktory nebo průběžnou autentizací, pokud to vyžaduje klasifikace aktiva, k němuž přistupují. Síla autentizace musí odpovídat této klasifikaci. Korunní klenoty potřebují silnější autentizaci než portál s nabídkou kávy.
Bod 11.3.2 přílohy CIR pak stanoví pevnou spodní hranici pro privilegované účty. U privilegovaných účtů a účtů pro správu systému musí být ve výchozím nastavení zavedeny silné postupy identifikace, autentizace a autorizace (CIR jako příklad uvádí vícefaktorovou autentizaci). České vyhlášky jdou dál: pro ověření identity administrátorů, uživatelů i technických aktiv žádají vícefaktorovou autentizaci s alespoň dvěma různými typy faktorů nebo aktuálně odolnou kontinuální autentizaci založenou na modelu nulové důvěry, do té doby autentizaci kryptografickými klíči nebo certifikáty a do té doby hesla, jejichž pravidla vynucuje nástroj (vyhláška č. 410/2025 Sb., § 8 odst. 2 až 4; vyhláška č. 409/2025 Sb., § 19 odst. 2 a 4).
Článek 21(2)(j) směrnice NIS 2 (2022/2555)
v příslušných případech používání vícefaktorových autentizačních řešení nebo trvalých autentizačních řešení, zabezpečené hlasové, obrazové a textové komunikace a zabezpečených systémů nouzové komunikace v rámci subjektu.
Bod (j) v seznamu deseti opatření kybernetické bezpečnosti. Dělá dvě věci najednou: jmenuje MFA (nebo průběžnou autentizaci) jako standard řízení přístupu a vtahuje zabezpečenou interní hlasovou, video, textovou a nouzovou komunikaci do téže povinnosti.
CIR (EU) 2024/2690, příloha, body 11.7 a 11.3
Příslušné subjekty zajistí, aby uživatelé byli při přístupu do sítě a informačních systémů subjektů ověřováni pomocí více autentizačních faktorů nebo mechanismů trvalé autentizace, případně v souladu s klasifikací aktiva, k němuž mají mít přístup.
Bod 11 přílohy CIR je kapitola o řízení přístupu a pokrývá články 21(2)(i) a (j) společně. Bod 11.7 je pododdíl specifický pro MFA. Bod 11.3.2 písm. a) jde u privilegovaných a administrátorských účtů dále: vyžaduje silné postupy identifikace, autentizace (jako příklad je uvedena MFA) a autorizace. Protože CIR je nařízení, je pro druhy subjektů uvedené v jeho čl. 1 přímo závazným právem EU.
Vyhláška č. 410/2025 Sb., § 8; vyhláška č. 409/2025 Sb., § 19 (Česko)
Vyhláška č. 410/2025 Sb., § 8: (2) Povinná osoba pro ověření identity administrátorů, uživatelů a technických aktiv využívá autentizační mechanismus, který je založený na vícefaktorové autentizaci s alespoň dvěma různými typy faktorů, nebo využívá autentizační mechanismus, který je založen na aktuálně odolné kontinuální autentizaci založené na modelu nulové důvěry. (3) Povinná osoba do doby využívání autentizačního mechanismu podle odstavce 2 využívá autentizaci pomocí kryptografických klíčů nebo certifikátů. (4) Povinná osoba do doby využívání autentizačního mechanismu podle odstavce 3 využívá nástroj založený na autentizaci pomocí identifikátoru účtu a hesla, kdy tento nástroj musí vynucovat pravidla a) délky hesla alespoň 1. 12 znaků pro účty uživatelů, 2. 17 znaků pro účty administrátorů, 3. 22 znaků pro účty technických aktiv, […] d) povinné změny hesla v intervalu alespoň jednou za 18 měsíců […]
Vyhlášky u vícefaktorové autentizace výhradu „v příslušných případech“ (směrnice) ani „případně“ (CIR) nemají: vícefaktorová nebo kontinuální autentizace je v obou režimech cílovým stavem pro ověření identity administrátorů, uživatelů i technických aktiv. Dokud ho nemáte, platí pořadí: klíče nebo certifikáty, pak hesla s délkou alespoň 12 znaků u uživatelů, 17 u administrátorů a 22 u technických aktiv, povinnou změnou alespoň jednou za 18 měsíců, zákazem jednoduchých hesel a pamětí alespoň 12 předchozích hesel (vyhláška č. 410/2025 Sb., § 8 odst. 2 až 4; vyhláška č. 409/2025 Sb., § 19 odst. 2 a 4). Vyšší režim navíc žádá evidenci technických aktiv, účtů a mechanismů, které požadavek zatím nesplňují, včetně odůvodnění (§ 19 odst. 3), a administrátorský účet pro obnovu po incidentu s náhodným heslem alespoň 22 znaků (§ 19 odst. 6).
MFA přiměřená klasifikaci aktiva
Uživatelé se autentizují více faktory nebo průběžnou autentizací pro přístup k vašim sítím a informačním systémům, kalibrovaně podle klasifikace aktiva, k němuž se dostávají. Implicitní podmínka: máte klasifikovaná aktiva. Bez klasifikace pravidlo CIR splnit nemůžete. České vyhlášky klasifikaci jako podmínku nepoužívají: vícefaktorovou autentizaci požadují pro ověření identity administrátorů, uživatelů i technických aktiv, s přechodným pořadím klíče nebo certifikáty a pak hesla (vyhláška č. 410/2025 Sb., § 8 odst. 2 až 4; vyhláška č. 409/2025 Sb., § 19 odst. 2 a 4).
Privilegované účty: MFA ve výchozím nastavení
U privilegovaných účtů a účtů pro správu systému jsou povinné silná identifikace, autentizace a autorizace. CIR uvádí vícefaktorovou autentizaci jako příklad. Toto je jediné místo v CIR, kde MFA přestává být podmíněna klasifikací a stává se výchozím stavem. V Česku musí být uživatelský a administrátorský účet jedné osoby oddělený (vyhláška č. 410/2025 Sb., § 7 odst. 1 písm. a); vyhláška č. 409/2025 Sb., § 13 odst. 2 písm. b)) a heslo administrátora, dokud nemáte MFA ani klíče či certifikáty, musí mít alespoň 17 znaků.
Síla autentizace odpovídá klasifikaci
Síla autentizace musí odpovídat klasifikaci aktiva, k němuž se přistupuje. To je druhý test. MFA není jediná věc. SMS, aplikační TOTP, schválení push, hardwarové klíče FIDO2 a autentizace na bázi certifikátů stojí na velmi odlišných příčkách. Čím vyšší klasifikace, tím vyšší příčku potřebujete. České vyhlášky žádají „alespoň dvěma různými typy faktorů“, tedy například něco, co znáte, a něco, co máte; dvě hesla nestačí.
Zabezpečená komunikace, nejen MFA (článek 21(2)(j))
Bod (j) je širší než autentizace. Jmenuje zabezpečenou hlasovou, video a textovou komunikaci a systémy nouzové komunikace uvnitř subjektu, je-li to vhodné. Samotné zavedení MFA povinnost neuzavírá. Interní videokonference, posílání zpráv a jakýkoli záložní nouzový kanál mimo hlavní cestu spadají do téže povinnosti. V Česku obě vyhlášky žádají zabezpečenou hlasovou, audiovizuální a textovou komunikaci včetně e-mailu a nouzovou komunikaci v rámci organizace (vyhláška č. 410/2025 Sb., § 13 odst. 2; vyhláška č. 409/2025 Sb., § 25 odst. 2).
Hloubku určuje klasifikace aktiva (článek 21(1))
Článek 21(1) vyžaduje, aby opatření byla vhodná a přiměřená. CIR z toho dělá konkrétní test pro MFA: klasifikace aktiva určuje sílu. Malá městská teplárna nepotřebuje hardwarové klíče FIDO2 pro každý interní portál. Jump host k řídicímu systému je jiná diskuse. Pákou je klasifikace, nikoli jen velikost společnosti. V Česku je ale vícefaktorová autentizace cílovým stavem bez ohledu na klasifikaci; klasifikace pak pomáhá určit, kde začít a jak silné faktory zvolit.
Vyhlášky č. 410/2025 Sb. (§ 8) a 409/2025 Sb. (§ 19)
Obě vyhlášky stanoví stejné pořadí: vícefaktorová autentizace s alespoň dvěma různými typy faktorů nebo kontinuální autentizace založená na modelu nulové důvěry; dokud ji nemáte, klíče nebo certifikáty; dokud nemáte ani ty, hesla s délkou alespoň 12 znaků u uživatelů, 17 u administrátorů a 22 u účtů technických aktiv a se změnou alespoň jednou za 18 měsíců (vyhláška č. 410/2025 Sb., § 8 odst. 2 až 4; vyhláška č. 409/2025 Sb., § 19 odst. 2 a 4). Vyšší režim přidává evidenci výjimek s odůvodněním (§ 19 odst. 3), možnost zadat heslo o délce alespoň 64 znaků a nejméně 30 minut mezi dvěma změnami hesla (§ 19 odst. 4 písm. b) a d)). Německý modul IT-Grundschutz ORP.4 může posloužit jako doplňková metodika.
Technické implementační pokyny ENISA
TIG od ENISA k CIR prochází bod 11 přílohy v prostém provozním jazyce a mapuje jej na ISO/IEC 27001:2022, NIST CSF 2.0, ETSI EN 319 401 a CEN/TS 18026:2024. Pokud již provozujete ISO 27001 (kontroly A.5.16, A.5.17, A.8.5), máte většinu hotovou. TIG také uvádí důkazy, které auditoři očekávají: politika MFA, klasifikace účtů, záznamy o zapojení, registr výjimek.
Národní transpoziční zákony
Každý členský stát má vlastní transpozici NIS 2 (Nizozemsko: Cyberbeveiligingswet, Rakousko: NISG, Belgie: NIS2-Wet). Základ povinnosti MFA je ve směrnici a v CIR, státy ale mohou jít dál (čl. 5 NIS 2), jako Česko s pořadím mechanismů a délkami hesel. Co se mezi zeměmi liší: referenční katalog (Grundschutz v Německu, BIO v Nizozemsku, jinde žádný formální katalog), ohlašovací kanál a dozorový orgán.
Máme MFA na VPN, takže máme hotovo.
MFA na VPN je jedna přístupová cesta. Bod 11.7 přílohy CIR je o přístupu k aktivům v souladu s jejich klasifikací, nikoli o jednom perimetrovém zařízení. Pokud se privilegovaný uživatel může bez MFA dostat na řadič domény, konzoli zálohování, cloudovou administrátorskou konzoli nebo SaaS prostředí, povinnost není splněna. Testem je klasifikace aktiva za dveřmi, nikoli dveře, kterými jste přišli. České vyhlášky žádají vícefaktorovou autentizaci pro ověření identity administrátorů, uživatelů i technických aktiv, ne pro jedno zařízení na perimetru.
MFA přes SMS stačí pro každého.
Bod 11.7.2 přílohy CIR říká, že síla autentizace musí odpovídat klasifikaci. SMS a hlasové OTP jsou nejslabší faktor: výměna SIM, odposlech SS7 i phishing je porazí. Pro běžný interní přístup to auditor může přijmout. Pro korunní klenoty (administrátorské konzole, řídicí systémy, poskytovatelé identity) potřebujete autentizaci odolnou proti phishingu (FIDO2 / WebAuthn / čipová karta). Síla musí růst s klasifikací.
Servisní a systémové účty MFA nepotřebují.
Bod 11.3.2 písm. a) přílohy CIR výslovně pokrývá privilegované účty a účty pro správu systému. Servisní účty jsou mimo působnost lidské MFA jen tehdy, jsou-li řádně klasifikovány a používají jinou silnou kontrolu (spravované identity, krátkodobé přihlašovací údaje, podepsané certifikáty, tajemství vydávaná trezorem s rotací). „Servisní účet, nelze MFA, výjimka“ není obhajoba. Buď je řízen člověkem (pak MFA), nebo je řízen strojem (pak zdokumentovaný model strojových přihlašovacích údajů). V Česku vyhlášky zahrnují do ověřování identity i technická aktiva: dokud pro ně nemáte vícefaktorový nebo kontinuální mechanismus, použijete klíče nebo certifikáty a teprve potom heslo o délce alespoň 22 znaků (vyhláška č. 410/2025 Sb., § 8 odst. 2 až 4; vyhláška č. 409/2025 Sb., § 19 odst. 2 a 4; ve vyšším režimu z náhodného řetězce, § 19 odst. 5 písm. c)).
Většina týmů ve středních firmách v Německu začíná na stejném místě: nejprve MFA na každém administrátorském účtu (cloudové administrátorské konzole, doménový administrátor, hypervizor, zálohování, síťové prvky, SaaS prostředí), pak MFA na e-mail, pak MFA na poskytovateli identity pro všechny lidské uživatele. To pokrývá spodní hranici bodu 11.3.2 přílohy CIR i řádky s vysokou klasifikací jedním tahem. Zbytek se během prvního roku zavádí ke všem lidským uživatelům na klasifikovaných aktivech. V Česku je tentýž postup cestou k cílovému stavu z vyhlášek; ve vyšším režimu po dobu přechodu vedete evidenci účtů a mechanismů, které požadavek ještě nesplňují (vyhláška č. 409/2025 Sb., § 19 odst. 3).
Co auditoři skutečně otevírají: seznam klasifikace aktiv, zprávu o zapojení do MFA od vašeho poskytovatele identity a registr výjimek. Pokud se tyto tři srovnají, povinnost je splněna. Nejhlubší jednotlivá díra, kterou vidíme, není technická, ale dokumentační: chybí klasifikace aktiv, takže neexistuje pravidlo, která aktiva si zaslouží jakou sílu autentizace. Nejprve opravte klasifikaci, pak se zavádění MFA samo přečte ze seznamu.
- Směrnice (EU) 2022/2555 (NIS 2), článek 21(2)(j) (eur-lex.europa.eu/eli/dir/2022/2555/oj)
- Prováděcí nařízení Komise (EU) 2024/2690 (CIR), příloha, body 11.3 a 11.7 (eur-lex.europa.eu/eli/reg_impl/2024/2690/oj)
- Vyhláška č. 410/2025 Sb., § 8 (řízení identit a jejich oprávnění, nižší režim): https://e-sbirka.gov.cz/sb/2025/410/2025-11-01#par_8
- Vyhláška č. 409/2025 Sb., § 19 (správa a ověřování identit, vyšší režim): https://e-sbirka.gov.cz/sb/2025/409/2025-11-01#par_19
- Technické implementační pokyny ENISA k CIR (EU) 2024/2690 (stav květen 2026)
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Autentizace a komunikace
Zaznamenejte, kde chrání druhý faktor
U každého programu ze seznamu: jen heslo, nebo i druhý faktor.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
