Řízení přístupu podle NIS 2 podle článku 21 odst. 2 písm. i) + j)
Článek 21 odst. 2 písm. i) jmenuje zásady řízení přístupu. Článek 21 odst. 2 písm. j) jmenuje vícefaktorové ověřování. Bod 11 přílohy CIR je pokrývá společně v sedmi pododdílech. Tato stránka prochází širší povinnosti zásad, privilegovaných účtů a identity. Vyhrazená stránka o MFA pokrývá bod 11.7.
Stručně
Řízení přístupu sedí v bodech i) a j) článku 21 odst. 2. Bod i) jmenuje „bezpečnost lidských zdrojů, postupy kontroly přístupu a správa aktiv“. Bod j) jmenuje „v příslušných případech používání vícefaktorových autentizačních řešení nebo trvalých autentizačních řešení, zabezpečené hlasové, obrazové a textové komunikace“. Obojí platí pro každý základní a důležitý subjekt v celé EU.
Bod 11 přílohy CIR (EU) 2024/2690 pokrývá obě písmena společně, pod nadpisem „Kontrola přístupu (čl. 21 odst. 2 písm. i) a j) směrnice (EU) 2022/2555)“. Rozděluje povinnost do sedmi pododdílů: samotné zásady, správa práv, privilegované účty, systémy správy systémů, identifikace, ověřování a vícefaktorové ověřování. Tato stránka prochází body 11.1 až 11.6. Konkrétně k bodu 11.7 viz vyhrazená stránka o MFA.
V Česku je řízení přístupu bezpečnostním opatřením v obou režimech (§ 14 zákona č. 264/2025 Sb.). Podrobnosti stanoví vyhláška č. 410/2025 Sb. pro nižší režim (§ 7 řízení přístupu, § 8 řízení identit a jejich oprávnění) a vyhláška č. 409/2025 Sb. pro vyšší režim (§ 13 řízení přístupu, § 19 správa a ověřování identit, § 20 řízení přístupových práv a oprávnění). Německý modul IT-Grundschutz ORP.4 od BSI může posloužit jako doplňková metodika, ne jako zákonný základ.
Článek 21 odst. 2 písm. i) + j) směrnice NIS 2 (2022/2555)
i) bezpečnost lidských zdrojů, postupy kontroly přístupu a správa aktiv; j) v příslušných případech používání vícefaktorových autentizačních řešení nebo trvalých autentizačních řešení, zabezpečené hlasové, obrazové a textové komunikace a zabezpečených systémů nouzové komunikace v rámci subjektu.
Body i) a j) jsou dvě z deseti opatření článku 21 odst. 2. Bod i) slučuje tři věci, z nichž řízení přístupu je prostřední položka. Bod j) sedí vedle něj na seznamu. CIR bod 11 pokrývá obojí společně.
CIR (EU) 2024/2690, příloha, bod 11
Kontrola přístupu (čl. 21 odst. 2 písm. i) a j) směrnice (EU) 2022/2555).
Bod 11 přílohy CIR má sedm pododdílů: 11.1 zásady řízení přístupu, 11.2 správa přístupových práv, 11.3 privilegované účty a účty správy systémů, 11.4 systémy správy systémů, 11.5 identifikace, 11.6 ověřování, 11.7 vícefaktorové ověřování. Toto nařízení váže jen druhy subjektů uvedené v jeho čl. 1 (DNS, TLD, cloud, datová centra, CDN, MSP, MSSP, online tržiště, vyhledávače, sociální sítě, služby vytvářející důvěru).
§ 14 zákona č. 264/2025 Sb.; vyhláška č. 410/2025 Sb., § 7 a 8; vyhláška č. 409/2025 Sb., § 13, 19 a 20 (Česko)
Vyhláška č. 410/2025 Sb., § 7 odst. 1: Povinná osoba řídí přístup k aktivům a v rámci něj a) přidělí každému uživateli a administrátorovi přistupujícímu k aktivům přístupová práva a oprávnění na úroveň nezbytně nutnou k výkonu jejich práce a jedinečný identifikátor daného typu účtu, přičemž od sebe odděluje uživatelské a administrátorské účty jedné osoby […] Vyhláška č. 409/2025 Sb., § 13 odst. 2: Povinná osoba dále při řízení přístupu k aktivům a) řídí přístup na základě skupin nebo rolí […]
Česko nečlení povinnost podle písmen směrnice, ale podle opatření v § 14 zákona: řízení přístupu, řízení identit a jejich oprávnění (nižší režim), správa a ověřování identit a řízení přístupových práv a oprávnění (vyšší režim). V obou režimech platí jedinečný identifikátor pro každého uživatele a administrátora, oddělené uživatelské a administrátorské účty, pravidelné přezkoumání práv a bezodkladné odebrání nebo změna práv při změně pozice nebo ukončení smluvního vztahu (vyhláška č. 410/2025 Sb., § 7 odst. 1; vyhláška č. 409/2025 Sb., § 13 odst. 2). Vyšší režim navíc žádá řízení přístupu podle skupin nebo rolí, dokumentaci přidělování a odebírání práv a centralizovaný nástroj pro přístupová práva (§ 13 odst. 2 písm. a) a k), § 20).
Zásady a správa práv
Sepište, jak funguje přístup (logický a fyzický) pro personál, návštěvy, poskytovatele a poskytovatele služeb. Udělujte, měňte a odebírejte práva na základě provozní potřeby: need-to-know, minimální oprávnění, oddělení povinností. Každé právo je přiřazeno jmenované osobě. Odebrání běží při změně zaměstnání, nikoli v týdenním cyklu. Přístup třetích stran (návštěvy, poskytovatelé) se sleduje. České vyhlášky žádají bezodkladné odebrání nebo změnu práv při změně pozice a deaktivaci účtu při ukončení smluvního vztahu (vyhláška č. 410/2025 Sb., § 7 odst. 1 písm. e) a f); vyhláška č. 409/2025 Sb., § 13 odst. 2 písm. i) a j)).
Privilegované a administrátorské účty
Administrátorské účty dostávají silnou identifikaci, ověřování a autorizaci. Pouze vyhrazené administrátorské účty, používané výhradně k instalaci, konfiguraci, správě a údržbě. Administrátorská práva jsou nastavena individuálně a omezena. Systémy správy systémů se používají jen ke správě, jsou logicky odděleny od aplikačního softwaru, který ke správě neslouží, a chráněny ověřováním a šifrováním. Obě české vyhlášky žádají oddělit uživatelský a administrátorský účet jedné osoby (vyhláška č. 410/2025 Sb., § 7 odst. 1 písm. a); vyhláška č. 409/2025 Sb., § 13 odst. 2 písm. b)); vyšší režim navíc oddělené administrátorské prostředí (vyhláška č. 409/2025 Sb., § 12 odst. 1 písm. e), § 18 písm. a)).
Identita a ověřování
Životní cyklus identity: jedinečné identifikátory, každý identifikátor navázaný na jednu osobu, monitorování a zaznamenávání po celý životní cyklus. Postupy ověřování odpovídají zásadám řízení přístupu: síla ověřování podle klasifikace aktiv, postupy změny, zablokování po neúspěšných pokusech, časové limity relací, samostatné přihlašovací údaje pro privilegované účty. V Česku vyhlášky navíc stanoví pořadí způsobů ověřování a minimální délky hesel (viz stránka o MFA). Ve vyšším režimu se zaznamenávají přihlášení, odhlášení i manipulace s účty a záznamy se uchovávají alespoň 18 měsíců (vyhláška č. 409/2025 Sb., § 22 odst. 3 písm. a) a c), odst. 5 písm. c)).
Need-to-know, minimální oprávnění, oddělení povinností
Bod 11.2.2 písm. a) CIR jmenuje všechny tři. České vyhlášky vyjadřují minimální oprávnění slovy „na úroveň nezbytně nutnou k výkonu jejich práce“ (vyhláška č. 410/2025 Sb., § 7 odst. 1 písm. a)). Need-to-know: data dostanou jen lidé, kteří je potřebují. Minimální oprávnění: práva odpovídají úkolu, nikoli titulu. Oddělení povinností: žádná jediná osoba by neměla být schopna udělit, použít a auditovat stejné právo. Pokud jsou vaše skupiny v AD „IT“ a „všichni ostatní“, nezavedli jste ani jedno z těch tří.
Privilegovaný není jen běžný s více právy
U digitálních poskytovatelů, na které se CIR vztahuje, zvyšují body 11.3 a 11.4 laťku konkrétně pro administrátorské účty. Silná identifikace. MFA jmenované v samotném bodě 11.3, nikoli jen v bodě 11.7. Vyhrazené účty používané pouze pro administrátorskou práci. Systémy správy systémů logicky oddělené od aplikačního softwaru. Smysl: kompromitovaný administrátorský účet kompromituje vše, takže administrátorské účty dostávají vlastní režim.
NÚKIB: vyhlášky č. 410/2025 Sb. a 409/2025 Sb.
Řízení přístupu je bezpečnostním opatřením v obou režimech. Nižší režim (vyhláška č. 410/2025 Sb., § 7 a 8): práva na úroveň nezbytně nutnou, jedinečný identifikátor, oddělený administrátorský účet, pravidelné přezkoumání, bezodkladné odebrání práv a nástroj, který řídí neúspěšné pokusy o přihlášení a opětovné ověření po nečinnosti. Vyšší režim (vyhláška č. 409/2025 Sb., § 13, 19 a 20) přidává řízení podle skupin nebo rolí, dokumentaci přidělování a odebírání práv, centralizovanou správu identit a centralizovaný nástroj pro přístupová práva. Německý modul IT-Grundschutz ORP.4 může posloužit jako doplňková metodika; zákonné minimum v Česku určují vyhlášky.
Technické prováděcí pokyny ENISA
Technické prováděcí pokyny ENISA k CIR (EU) 2024/2690 procházejí každý pododdíl bodu 11 přílohy v provozním jazyce a mapují ho na ISO/IEC 27001:2022 (mimo jiné A.5.15 až A.5.18, A.8.2, A.8.3 a A.8.5) a NIST CSF 2.0 (PR.AA). ENISA uvádí, že mapování není měřítkem rovnocennosti, proto stávající zavedení ISO 27001 ověřte vůči každému bodu.
Národní transpoziční zákony
Každý členský stát transponuje článek 21 odst. 2 písm. i) a j) do vlastního zákona (Nizozemsko: Cyberbeveiligingswet; Rakousko: NISG 2026; Belgie: vlastní zákon NIS2). Směrnice stanoví minimum a členské státy mohou jít dále (čl. 5 NIS 2), takže rozhoduje národní text. Liší se také to, na který základní standard národní regulátor ukazuje.
Máme skupiny v AD, takže máme řízení přístupu.
Začátek, nikoli konec. U digitálních poskytovatelů, na které se CIR vztahuje, chtějí body 11.1 a 11.2 zdokumentované zásady přístupových práv, práva přiřazená jmenovaným osobám, postup odebrání navázaný na změnu zaměstnání a auditní záznam udělení a odebrání. V Česku vyšší režim žádá totéž výslovně: přidělování a odebírání práv v souladu s politikou řízení přístupu a jeho dokumentaci (vyhláška č. 409/2025 Sb., § 13 odst. 2 písm. g) a k)). Skupiny v AD vám dají mechanismus. Nedají vám zásady, registr jmenovaných osob ani postup nástupů, přesunů a odchodů.
Naši administrátoři používají na administrátorskou práci svůj běžný účet, se sudo nebo „spustit jako správce“.
U digitálních poskytovatelů, na které se CIR vztahuje, vyžaduje bod 11.3.2 písm. b) zvláštní účty používané výhradně ke správě systémů, například k instalaci, konfiguraci, správě nebo údržbě. V Česku je oddělení povinné v obou režimech: vyhlášky žádají oddělit uživatelské a administrátorské účty jedné osoby (vyhláška č. 410/2025 Sb., § 7 odst. 1 písm. a); vyhláška č. 409/2025 Sb., § 13 odst. 2 písm. b)). Běžný účet administrátora je na e-mail, kalendář a Excel; samostatný administrátorský účet, s vlastním druhým faktorem, je na privilegovanou práci. Smíchání obou znamená, že phishingový e-mail se může dostat k administrátorské roli.
Přístupová práva synchronizujeme každé pondělí ráno.
Blízko, ale ne to, co žádá bod 11.2.2 písm. b) CIR: práva se mění při ukončení nebo změně zaměstnání, nikoli v kalendářním cyklu. U přezkumu práv říká bod 11.2.3 „v plánovaných intervalech“ a interval nestanoví žádný text. (Obojí zavazuje digitální poskytovatele, na které se CIR vztahuje.) České vyhlášky to mají pro oba režimy stejně: bezodkladné odebrání nebo změna práv při změně pozice nebo ukončení smluvního vztahu a pravidelné přezkoumání bez pevného intervalu (vyhláška č. 410/2025 Sb., § 7 odst. 1 písm. d) až f); vyhláška č. 409/2025 Sb., § 13 odst. 2 písm. h) až j)).
Typické nastavení: Active Directory nebo Entra ID pro identity, skupiny v AD pro přístup k aplikacím, HR systém, který vystavuje IT onboardingové tikety. To vám dá mechanismus. Práce na zásadách sedí na třech místech.
Tři místa ke kontrole jako první: písemné zásady řízení přístupu, které jsou aktuální a schválené, vyhrazené administrátorské účty a postup nástupů, přesunů a odchodů řízený HR, a ne jen IT (jinak účet externisty přetrvává, protože HR nikdy IT neřeklo, že odešel).
- Směrnice (EU) 2022/2555 (NIS 2), článek 21 odst. 2 písm. i) a j). eur-lex.europa.eu/eli/dir/2022/2555/oj
- Prováděcí nařízení Komise (EU) 2024/2690 (CIR), příloha, bod 11. eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 14: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_14; vyhláška č. 410/2025 Sb., § 7 a 8 (řízení přístupu a identit, nižší režim): https://e-sbirka.gov.cz/sb/2025/410/2025-11-01#par_7
- Vyhláška č. 409/2025 Sb., § 13, 19 a 20 (řízení přístupu, správa a ověřování identit, přístupová práva, vyšší režim): https://e-sbirka.gov.cz/sb/2025/409/2025-11-01#par_13
- Technické prováděcí pokyny ENISA k CIR (EU) 2024/2690 (verze 1.0, červen 2025)
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Řízení přístupu a personální bezpečnost
Sepište politiku zaměstnanců, přístupů a aktiv
Kdo má kam přístup a co se stane, když někdo odejde.
Autentizace a komunikace
Zaznamenejte, kde chrání druhý faktor
U každého programu ze seznamu: jen heslo, nebo i druhý faktor.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
