Správa aktiv podle NIS 2 podle článku 21 odst. 2 písm. i)
Správa aktiv je základem pod každým dalším opatřením NIS 2. Pokud nevíte, co máte, nemůžete to chránit, klasifikovat, zálohovat ani vědět, kdo k tomu může přistupovat. Povinnost je zakotvena v článku 21 odst. 2 písm. i), bod 12 přílohy CIR (EU) 2024/2690 rozepisuje pět částí a v Česku ji nese § 12 zákona č. 264/2025 Sb.
Stručně
Správa aktiv sedí v bodě i) na seznamu deseti kybernetických povinností v článku 21 odst. 2. Text ji slučuje s personální bezpečností a řízením přístupu. Důvod je jednoduchý: všechny tři odpovídají na stejnou otázku, kdo se může čeho dotknout. Správa aktiv je ta polovina, která říká, co to „co“ vlastně je.
Bod 12 přílohy CIR (EU) 2024/2690 doplňuje detail. Rozděluje správu aktiv do pěti částí. Klasifikujte svá aktiva podle důvěrnosti, integrity, pravosti a dostupnosti. Bezpečně s nimi nakládejte po celý životní cyklus. Mějte pod kontrolou výměnná média. Veďte úplný a aktuální soupis. Zajistěte, aby se aktiva vrátila, když lidé odejdou. To je minimum.
V Česku správu aktiv nese § 12 zákona č. 264/2025 Sb.: určit primární aktiva, posoudit jejich souvislost s regulovanou službou, určit podpůrná aktiva a evidovat stanovený rozsah. Ve vyšším režimu přidává vyhláška č. 409/2025 Sb. metodiku hodnocení aktiv, garanty, vazby mezi aktivy a pravidla ochrany (§ 7). Pro praktickou mechaniku vydal NÚKIB průvodce řízením aktiv a rizik, včetně práce s typovými aktivy, díky nimž soupis zůstane zvládnutelný.
Článek 21 odst. 2 písm. i) směrnice NIS 2 (2022/2555)
Bezpečnost lidských zdrojů, postupy kontroly přístupu a správa aktiv.
Toto je bod i) na seznamu deseti opatření kybernetické bezpečnosti, která musí zavést každý základní a důležitý subjekt. Směrnice slučuje tři povinnosti: personální bezpečnost, řízení přístupu a správu aktiv. Bod 12 přílohy CIR je část, která uvádí do praxe polovinu o aktivech.
CIR (EU) 2024/2690, příloha, bod 12
Správa aktiv (čl. 21 odst. 2 písm. i) směrnice (EU) 2022/2555).
Protože jde o nařízení (nikoli o směrnici), je přímo závazným právem EU. Není potřeba žádná národní transpozice. Vztahuje se jen na poskytovatele DNS, registry TLD, poskytovatele cloudu, datová centra, poskytovatele řízených služeb a další druhy subjektů uvedené v jeho čl. 1. Bod 12 přílohy má pět pododdílů pokrývajících klasifikaci, nakládání po celý životní cyklus, výměnná média, samotný soupis a to, co se stane při ukončení zaměstnání.
§ 12 zákona č. 264/2025 Sb.; vyhláška č. 409/2025 Sb., § 7 (Česko)
§ 12 odst. 1: Součástí rozsahu řízení kybernetické bezpečnosti (dále jen „stanovený rozsah“) jsou aktiva související s poskytováním regulované služby. § 12 odst. 3: Poskytovatel regulované služby eviduje aktiva, která jsou součástí stanoveného rozsahu, a primární aktiva, která byla ze stanoveného rozsahu vyjmuta, včetně důvodů jejich vyjmutí.
Česko text směrnice nekopíruje, ale stanoví postup. V obou režimech: primární aktiva (informace a služby), posouzení jejich souvislosti s regulovanou službou, podpůrná aktiva a evidence stanoveného rozsahu (§ 12 zákona). V nižším režimu přidává vyhláška č. 410/2025 Sb. jen pravidla pro používání technických aktiv a manipulaci s nimi (§ 3 odst. 4). Ve vyšším režimu vyhláška č. 409/2025 Sb., § 7: metodika pro určování a hodnocení aktiv, garanti aktiv, hodnocení primárních aktiv podle přílohy č. 1, vazby mezi aktivy a pravidla ochrany včetně klasifikace informací, označování, správy výměnných médií a likvidace podle přílohy č. 2.
Klasifikujte podle CIA plus obchodní hodnota
Každé aktivum dostává úroveň klasifikace na základě důvěrnosti, integrity, pravosti a dostupnosti, které data na něm potřebují. CIR mapuje tyto čtyři na citlivost, kritičnost, riziko a obchodní hodnotu. Část hodnocení týkající se dostupnosti se váže zpět na cíle obnovy, které stanovíte podle bodu 4.1 přílohy CIR pro kontinuitu provozu. Takže stejný soupis řídí řízení přístupu i kontinuitu. Ve vyšším režimu v Česku hodnotíte primární aktiva z hlediska důvěrnosti, integrity a dostupnosti na stupnici Nízká, Střední, Vysoká, Kritická, posuzujete přitom oblasti z přílohy č. 1 (například osobní údaje, smluvní závazky, dopady na uživatele služby) a podpůrná aktiva hodnotíte podle vazeb na primární (vyhláška č. 409/2025 Sb., § 7 písm. d), e) a g)).
Nakládejte s aktivy bezpečně po celý životní cyklus
Potřebujete písemný koncept pro každou fázi, kterou aktivum prochází: pořízení, použití, uložení, přeprava a likvidace. Bezpečné použití, bezpečné uložení, bezpečná přeprava a nevratné smazání nebo zničení na konci životnosti. Bod 12.3 přílohy CIR to rozšiřuje na výměnná média (USB flash disky, externí disky) a bod 12.5 na okamžik, kdy zaměstnanec odchází. Ve vyšším režimu v Česku stanovíte pro každou úroveň aktiv pravidla ochrany: přípustné používání, manipulaci včetně sdílení a přenášení, klasifikaci informací, označování, správu výměnných médií a likvidaci podle přílohy č. 2 (vyhláška č. 409/2025 Sb., § 7 písm. h)). V nižším režimu stačí pravidla pro používání technických aktiv a manipulaci s nimi (vyhláška č. 410/2025 Sb., § 3 odst. 4).
Veďte úplný, přesný a aktuální soupis
Soupis musí být úplný, přesný, aktuální a konzistentní, s dostatečnou granularitou pro vaše potřeby. Patří do něj dvě věci: (a) seznam vašich obchodních procesů a služeb s popisy a (b) seznam sítí a informačních systémů a dalších aktiv, která tyto procesy a služby podporují. Toto je datová struktura, ze které čte každý další oddíl CIR. Český § 12 zákona č. 264/2025 Sb. k tomu přidává evidenci primárních aktiv vyjmutých ze stanoveného rozsahu s důvodem vyjmutí a pravidelný přezkum rozsahu.
Soupis je předpokladem pro vše ostatní
Bod 12.4 přílohy CIR není jen jeden z oddílů. Je to datová struktura, na které závisí každý další oddíl. Řízení rizik (bod 2) z něj čte. Cíle obnovy pro kontinuitu provozu (bod 4) z něj čtou. Pravidla řízení přístupu (bod 11) z něj čtou. Klasifikace pro MFA (bod 11.7) z něj čte. Pokud bod 12.4 chybí nebo je špatně, každý navazující modul chybí nebo je špatně. Vybudujte ho první. Česká vyhláška č. 409/2025 Sb. to ve vyšším režimu říká přímo: řízení rizik probíhá „v návaznosti na § 7“, tedy na řízení aktiv (§ 8 odst. 1).
NÚKIB pracuje s typovými aktivy
Průvodce NÚKIB k řízení aktiv a rizik pracuje s typovými aktivy, tedy se skupinami aktiv se společnými vlastnostmi: 45 kancelářských notebooků se stejným obrazem a stejnou rolí se počítá jako jedna položka s počtem 45. Podmínka: na seskupená aktiva působí stejné hrozby a zranitelnosti a jejich hodnocení důvěrnosti, integrity a dostupnosti se výrazně neliší. Firma s 50 zaměstnanci skončí s deseti až patnácti seskupenými položkami, nikoli s deseti tisíci jednotlivých řádků. Soupis musí být úplný, ale úplnost neznamená položku na zařízení. Stejné pravidlo zná německá metodika BSI-Standard 200-2 (oddíl 8.1).
NÚKIB: § 12 zákona, vyhláška č. 409/2025 Sb., § 7 a podpůrné materiály
Primární a podpůrná aktiva a evidence stanoveného rozsahu platí v obou režimech (§ 12 zákona č. 264/2025 Sb.). Pro vyšší režim vydal NÚKIB dva podpůrné materiály: Průvodce řízením aktiv a rizik (verze 1.0 z 1. října 2026) s modelovým příkladem a typovými aktivy a materiál Bezpečná likvidace informací a dat (verze 1.0 z 25. května 2026) k likvidaci podle přílohy č. 2 vyhlášky č. 409/2025 Sb. Německé moduly IT-Grundschutz (CON.6 pro mazání a ničení, BSI-Standard 200-2 pro seskupování) mohou posloužit jako doplněk.
Technické prováděcí pokyny ENISA
TIG od ENISA rozkládá bod 12 přílohy CIR do konkrétních důkazů: exporty soupisu, klasifikační schémata, politiky výměnných médií, kontrolní seznamy pro konec zaměstnání. Mapuje také bod 12 na opatření ISO/IEC 27001:2022 A.5.9 (soupis), A.5.10 (přijatelné použití), A.5.11 (vrácení aktiv), A.5.12 (klasifikace) a A.7.10 (paměťová média). Pokud již provozujete ISO 27001, tato opatření vám dají většinu bodu 12 přílohy CIR přímo.
Národní transpoziční zákony
Každý členský stát má vlastní transpoziční zákon (Nizozemsko: Cyberbeveiligingswet, Rakousko: NISG, Belgie: NIS2-Wet). Směrnice stanoví minimum a státy mohou jít dál (čl. 5 NIS 2): Česko například ukládá evidovat i primární aktiva vyjmutá ze stanoveného rozsahu s důvodem vyjmutí. Liší se také to, u kterého národního úřadu se registrujete a jak v praxi soupis kontroluje.
Máme stránku v Confluence, která uvádí naše systémy.
Blízko, ale bod 12.4 přílohy CIR chce víc než seznam systémů. Žádá, aby byl soupis úplný, přesný, aktuální a konzistentní a aby pokrýval dvě věci: vaše obchodní procesy a služby s popisy a systémy a aktiva, která je podporují. Plochý seznam serverů je polovina práce. Mapování procesů na systémy je ta druhá polovina, a je to ta polovina, kterou auditoři kontrolují jako první. V Česku zákon navíc žádá rozlišit primární aktiva (služby a informace) a podpůrná aktiva a evidovat i vyjmutá primární aktiva s důvodem (§ 12 zákona č. 264/2025 Sb.).
Staré notebooky skartujeme, takže máme offboarding pokrytý.
Dobré pro hardware, ale bod 12.5 přílohy CIR pokrývá víc. Žádá zdokumentovaný postup, který zajistí vrácení, předání nebo smazání aktiv při ukončení zaměstnání, a pokud to není možné, že daná osoba již nemůže přistupovat k sítím a informačním systémům. Co cloudové účty, přihlášení k SaaS, tokeny MFA, mobilní zařízení a VPN profily odcházejícího? Skartovačka je nezachytí. České vyhlášky žádají při ukončení smluvního vztahu deaktivaci účtu a bezodkladné odebrání práv (vyhláška č. 410/2025 Sb., § 7 odst. 1 písm. f); vyhláška č. 409/2025 Sb., § 13 odst. 2 písm. j)) a ve vyšším režimu likvidaci dat a nosičů podle úrovně aktiva (příloha č. 2).
Klasifikujeme data, ne aktiva. Aktivum je jen schránka.
Bod 12.1 přílohy CIR výslovně klasifikuje aktivum podle požadavků CIA na data, se kterými nakládá. Klasifikace žije na aktivu, protože aktivum je to, co nese řízení přístupu, politiky zálohování a cíle obnovy. Klasifikujte obojí: data vám řeknou proč, aktivum je místo, kde podle toho jednáte. Česká vyhláška č. 409/2025 Sb. postupuje ve vyšším režimu stejně: hodnotíte primární aktiva, tedy informace a služby, a podpůrná aktiva podle vazeb na ně (§ 7 písm. d) a g)).
Bod 12.4 přílohy CIR je základní artefakt celého zavedení NIS 2. Vybudujete ho jednou, pořádně, se seskupením do typových aktiv. Poté z něj každý další modul čte, místo aby se znovu ptal na stejné otázky. Registr rizik, cíle obnovy pro kontinuitu, pravidla řízení přístupu, klasifikace pro MFA, rozsah dodavatelů. Všechny ukazují zpět na soupis.
Naše orientační pravidlo ze středních firem v Německu: firma s 50 až 250 zaměstnanci skončí s deseti až patnácti seskupenými položkami na straně aktiv a zhruba stejně na straně dodavatelů. Přidejte mapu procesů (osm až dvanáct obchodních procesů u většiny firem) a soupis je hotov. Zabere to soustředěný týden s vedoucím IT a vlastníky procesů, nikoli šestiměsíční projekt.
- Směrnice (EU) 2022/2555 (NIS 2), článek 21 odst. 2 písm. i). eur-lex.europa.eu/eli/dir/2022/2555/oj
- Prováděcí nařízení Komise (EU) 2024/2690 (CIR), příloha, bod 12. eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 12 (stanovený rozsah, primární a podpůrná aktiva, evidence): https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_12
- Vyhláška č. 409/2025 Sb., § 7 a přílohy č. 1 a 2 (řízení aktiv, hodnocení aktiv, likvidace informací a dat, vyšší režim): https://e-sbirka.gov.cz/sb/2025/409/2025-11-01#par_7
- NÚKIB, Průvodce řízením aktiv a rizik dle vyhlášky o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností, verze 1.0 z 1. října 2026 (typová aktiva): https://portal.nukib.gov.cz/storage/uploads/2026/10/07/pruvodce-rizenim-aktiv-a-rizik-dle-vyhlasky_uid_6ac61aad4f322.pdf
- Technické prováděcí pokyny ENISA k CIR (EU) 2024/2690 (k květnu 2026)
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Řízení rizik
Sepište, co vaše firma má
Seznam procesů, programů a zařízení, se kterými pracujete.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
