Strategie zálohování podle NIS 2 podle článku 21 odst. 2 písm. c)
NIS 2 říká, že musíte udržet podnik v chodu během incidentu i po něm. Článek 21 odst. 2 písm. c) jmenuje správu zálohování, obnovu po havárii a krizové řízení. Bod 4.2 přílohy CIR (EU) 2024/2690 to mění ve zdokumentovaný plán zálohování, pravidelné testy obnovy a redundanci.
Stručně
Zálohování podle NIS 2 není otázka „máme zálohy?“. Každé IT oddělení střední firmy má noční páskové nebo snímkové úlohy. Otázka, kterou směrnice a CIR skutečně kladou, je, zda máte zdokumentovaný plán s časy obnovy, externím uložením, řízením přístupu, dobami uchovávání a otestovanou schopností systémy vrátit zpět.
Bod 4.2 přílohy CIR má šest částí. Plán zálohování se šesti jmenovanými body. Pravidelné testy integrity. Redundance sítě, aktiv, personálu a komunikací. Monitorování zdrojů. A pravidelné testy obnovy se zdokumentovanými výsledky. Všech šest sedí v jednom oddílu přílohy. Žádná z nich není volitelná.
V Česku nese stejné pravidlo zákon č. 264/2025 Sb. jako řízení kontinuity činností (§ 14) a podrobnosti stanoví vyhlášky. V nižším režimu pravidelné zálohy informací, dat, konfigurací a nastavení a oddělení provozního a zálohovacího prostředí (vyhláška č. 410/2025 Sb., § 6 písm. c), § 11 písm. a)). Ve vyšším režimu navíc cíle obnovy, testy záloh a jejich šifrování (vyhláška č. 409/2025 Sb., § 15 a 26). Tato stránka prochází směrnici, navazující prováděcí nařízení EU a českou úpravu v tomto pořadí.
Článek 21 odst. 2 písm. c) směrnice NIS 2 (2022/2555)
Řízení kontinuity provozu, jako je například správa zálohování a obnova provozu po havárii, a krizové řízení.
Toto je bod c) na seznamu deseti opatření kybernetické bezpečnosti, která musí zavést každý základní a důležitý subjekt. Správa zálohování je jmenována přímo v textu směrnice, nikoli jen zahrabána v prováděcím nařízení.
CIR (EU) 2024/2690, příloha, bod 4.2
4.2. Správa zálohování a redundance. 4.2.1. Příslušné subjekty uchovávají záložní kopie údajů a poskytují dostatečné dostupné zdroje, včetně zařízení, sítí a informačních systémů a zaměstnanců, aby zajistily odpovídající úroveň redundance.
Protože jde o nařízení (nikoli o směrnici), je přímo závazným právem EU. Není potřeba žádná národní transpozice. Bod 4.2 přílohy má šest číslovaných pododdílů pokrývajících plán zálohování, testy integrity, redundanci, monitorování zdrojů a testy obnovy. Vztahuje se jen na poskytovatele DNS, poskytovatele cloudu, datová centra, MSP, služby vytvářející důvěru a další druhy subjektů uvedené v čl. 1 CIR.
Vyhláška č. 410/2025 Sb., § 6 písm. c); vyhláška č. 409/2025 Sb., § 26 odst. 3 (Česko)
Vyhláška č. 410/2025 Sb., § 6: Povinná osoba v rámci řízení kontinuity činností […] c) vytváří pravidelné zálohy informací, dat, konfigurací a nastavení technických aktiv nezbytných zejména pro účely obnovy regulované služby pro případ kybernetického bezpečnostního incidentu. Vyhláška č. 409/2025 Sb., § 26 odst. 3: Povinná osoba u záloh vytvářených podle odstavce 2 zajistí a) pravidelné testování jejich integrity, dostupnosti a obnovitelnosti, b) dokumentování výsledků testů provedených podle odstavce 3 písm. a), c) ochranu ukládaných záloh a dat v nich obsažených před narušením jejich integrity a důvěrnosti, a to alespoň šifrováním těchto záloh v souladu s § 25, a d) ochranu ukládaných záloh a dat v nich obsažených před narušením jejich dostupnosti.
Česko povinnost rozepisuje ve vyhláškách podle režimu. Nižší režim: pravidelné zálohy včetně konfigurací a nastavení (vyhláška č. 410/2025 Sb., § 6 písm. c)), priorita, pořadí a postupy obnovy technických aktiv (§ 6 písm. a)) a segmentace sítě včetně oddělení provozního a zálohovacího prostředí (§ 11 písm. a)); testy záloh tato vyhláška nepředepisuje. Vyšší režim: cíle kontinuity včetně doby obnovení chodu a bodu obnovení dat (vyhláška č. 409/2025 Sb., § 15 písm. c)), pravidelně testované plány kontinuity a obnovy (§ 15 písm. e)), redundance aktiv (§ 26 odst. 1 písm. c)), testované a šifrované zálohy (§ 26 odst. 3) a oddělené zálohovací prostředí (§ 26 odst. 5).
Napište šestibodový plán zálohování
Na základě vašeho posouzení rizik a plánu kontinuity sepište: (a) časy obnovy, (b) jak zajistíte, že zálohy jsou úplné a přesné, včetně konfiguračních dat a dat uložených v cloudu, (c) kde zálohy jsou (online nebo offline) v jedné nebo více zabezpečených lokalitách, nikoli ve stejné síti jako primární systém, dostatečně daleko, aby je incident v primární lokalitě nezničil, (d) fyzické a logické řízení přístupu podle klasifikace aktiva, (e) jak obnova ze záloh skutečně probíhá, (f) doby uchovávání podle obchodních a regulačních požadavků. Ve vyšším režimu odpovídá bodu (a) doba obnovení chodu a bod obnovení dat podle vyhlášky č. 409/2025 Sb., § 15 písm. c).
Testujte integritu a obnovu v rytmu
Bod 4.2.3 přílohy CIR vyžaduje pravidelné testy integrity samotných záloh. Bod 4.2.6 jde dál: pravidelné testy skutečného procesu obnovy. Ověřte, že obnova je spolehlivá, že všechny kopie a postupy fungují a že lidé, kteří by obnovu prováděli, stále mají znalosti, jak to udělat. Výsledky zdokumentujte. Při selhání testu přijměte nápravné opatření. V Česku ve vyšším režimu: pravidelné testování integrity, dostupnosti a obnovitelnosti záloh a dokumentace výsledků (vyhláška č. 409/2025 Sb., § 26 odst. 3 písm. a) a b)); vyhláška č. 410/2025 Sb. testy nepředepisuje, jsou tam osvědčenou praxí.
Vybudujte redundanci přes čtyři zdroje
Na základě vašeho posouzení rizik a plánu kontinuity zajistěte alespoň částečnou redundanci: (a) sítí a informačních systémů, (b) aktiv a hodnot včetně lokalit, vybavení a spotřebního materiálu, (c) personálu s potřebnou odpovědností, pravomocí a kompetencí, (d) komunikačních kanálů. Zálohování je o datech. Redundance je o všem ostatním, co potřebujete k udržení provozu. Ve vyšším režimu vyhláška č. 409/2025 Sb. žádá redundanci aktiv nezbytných pro dostupnost regulované služby (§ 26 odst. 1 písm. c)).
Zálohy a redundance dohromady
Bod 4.2 přílohy CIR jmenuje obojí v názvu téhož oddílu: „Správa zálohování a redundance“. Zálohy chrání data, abyste mohli obnovit ze známé dobré kopie. Redundance chrání provoz, abyste se vůbec nezastavili. Obojí patří do plánu. Tým, který má zálohy, ale žádnou redundanci, dostane zpět data a přesto nemůže fungovat.
Otestováno, nejen pořízeno
Bod 4.2.6 přílohy CIR konkrétně vyžaduje pravidelné testy obnovy, nejen pravidelné zálohy. Záloha, ze které nikdo neobnovoval, není schopnost obnovy, je to naděje. Auditor se zeptá, kdy jste naposledy provedli úplnou obnovu, kdo ji prováděl, co selhalo a co jste poté napravili. Pokud je odpověď „při zavedení, před třemi lety“, máte zjištění.
Vyhlášky č. 410/2025 Sb. a 409/2025 Sb.
V nižším režimu vytváříte pravidelné zálohy informací, dat, konfigurací a nastavení potřebných k obnově regulované služby a oddělujete provozní a zálohovací prostředí (vyhláška č. 410/2025 Sb., § 6 písm. c), § 11 písm. a)). Ve vyšším režimu k tomu přibývá: zálohy pravidelně testujete na integritu, dostupnost a obnovitelnost, výsledky dokumentujete, každou ukládanou zálohu šifrujete v souladu s § 25 a zálohovací prostředí oddělujete od jiných prostředí (vyhláška č. 409/2025 Sb., § 26 odst. 3 a 5). Při šifrování zohledňujete doporučení a metodiky NÚKIB v oblasti kryptografických algoritmů (§ 25 odst. 1 písm. c)). Německé moduly IT-Grundschutz CON.3 a DER.2.3 mohou posloužit jako doplňková metodika.
Technické prováděcí pokyny ENISA
TIG od ENISA bere abstraktní text bodu 4.2 přílohy CIR a ukazuje vám, co dělat v praxi pro každý pododdíl. Mapuje také požadavek na ISO/IEC 27001:2022 přílohu A.8.13 (zálohování informací) a A.8.14 (redundance zařízení pro zpracování informací). Stávající opatření ISO 27001 vám dají náskok u důkazů k bodu 4.2.
Národní transpoziční zákony
Každý členský stát transponuje článek 21 odst. 2 písm. c) do vlastního zákona (Nizozemsko: Cyberbeveiligingswet, Rakousko: NISG, Belgie: NIS2-Wet). Směrnice stanoví minimum a státy mohou jít dál (čl. 5 NIS 2): Česko například ve vyšším režimu žádá šifrování všech ukládaných záloh. Liší se také to, kterému národnímu úřadu se zodpovídáte a jak provádí kontroly.
Provádíme noční zálohy, takže jsme krytí.
Noční zálohy jsou nutné, nikoli dostatečné. Bod 4.2.2 písm. c) přílohy CIR je chce uložené mimo lokalitu, nikoli ve stejné síti jako primární systém, a dostatečně daleko, aby jediný incident nemohl vyřadit obojí. Bod 4.2.2 písm. f) chce zdokumentované doby uchovávání, nikoli „držíme je, dokud se nezaplní disk“. Bod 4.2.6 chce pravidelný rytmus testů obnovy se zdokumentovanými výsledky. Auditor se zeptá na všechny tři. „Máme zálohy“ odpovídá na jednu z nich. V Česku ve vyšším režimu přibývá šifrování každé ukládané zálohy (vyhláška č. 409/2025 Sb., § 26 odst. 3 písm. c)).
Obnovu jsme otestovali jednou, když jsme systém zaváděli.
Bod 4.2.6 přílohy CIR říká pravidelné testy, nikoli jednorázové testy. Test z doby před třemi lety nedokazuje, že dnešní formát zálohy, dnešní postup obnovy a dnešní lidé stále fungují dohromady. Zvolte rytmus (čtvrtletně nebo pololetně u kritických systémů, ročně u zbytku), zapište ho do plánu, proveďte ho, každý test zdokumentujte. Ve vyšším režimu v Česku žádá pravidelné testy obnovitelnosti záloh i plánů obnovy vyhláška č. 409/2025 Sb. (§ 26 odst. 3 písm. a), § 15 písm. e)); pevný interval nestanoví.
Zálohujeme data, konfigurace umíme znovu vybudovat od nuly.
Ne. Bod 4.2.2 písm. b) přílohy CIR výslovně vyžaduje ujištění, že záložní kopie jsou úplné a správné, „včetně konfiguračních dat a údajů uložených v prostředí služby cloud computingu“. Obě české vyhlášky také výslovně jmenují konfigurace a nastavení technických aktiv (vyhláška č. 410/2025 Sb., § 6 písm. c); vyhláška č. 409/2025 Sb., § 26 odst. 2). Databáze bez konfigurace aplikace, pravidel firewallu a nastavení poskytovatele identity není obnovitelný systém, je to hromada záznamů, ke kterým se nedostanete. Plán musí pokrýt konfigurace a data uložená v cloudu, nikoli jen produkční tabulky.
Co vidíme v praxi: většina středních firem má zálohy. Většina má noční úlohy běžící na NAS nebo do cloudového úložiště. Co jim typicky chybí, je zdokumentovaný plán podle bodu 4.2.2 přílohy CIR s časy obnovy pro každý systém, jmenovaná externí lokalita uložení, písemně popsané fyzické a logické řízení přístupu, doby uchovávání podle systému a předpisů a harmonogram testů obnovy. Zálohovací úloha existuje, plán kolem ní ne.
Náprava je malá. Napište šestibodový plán podle bodu 4.2.2 přílohy CIR jednou, schvalte ho a dejte test obnovy do kalendáře (čtvrtletně u kritických systémů, pololetně nebo ročně u zbytku). Po prvním cyklu testů máte balíček důkazů, který nařízení žádá. Těžká část není technologie. Těžká část je mít plán na papíře a test v kalendáři.
- Směrnice (EU) 2022/2555 (NIS 2), článek 21 odst. 2 písm. c). eur-lex.europa.eu/eli/dir/2022/2555/oj
- Prováděcí nařízení Komise (EU) 2024/2690 (CIR), příloha, bod 4.2. eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 14 (řízení kontinuity činností jako bezpečnostní opatření): https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_14
- Vyhláška č. 410/2025 Sb., § 6 písm. c) a § 11 písm. a) (zálohy a oddělení zálohovacího prostředí, nižší režim): https://e-sbirka.gov.cz/sb/2025/410/2025-11-01#par_6
- Vyhláška č. 409/2025 Sb., § 15 a 26 (kontinuita činností, zálohy, vyšší režim): https://e-sbirka.gov.cz/sb/2025/409/2025-11-01#par_26
- Technické prováděcí pokyny ENISA k CIR (EU) 2024/2690 (k květnu 2026)
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Kontinuita podnikání
Zaznamenejte své zálohy
Jak často zálohujete a kdy naposledy fungovala obnova.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
