Kontinuita provozu podle NIS 2 podle čl. 21 odst. 2 písm. c)
NIS 2 říká, že musíte udržet provoz v chodu a obnovit jej, když se něco rozbije. Čl. 21 odst. 2 písm. c) je ta povinnost. Bod 4 přílohy CIR (EU) 2024/2690 rozepisuje BCP, plán záloh a krizový postup. V Česku ji provádí zákon č. 264/2025 Sb. (řízení kontinuity činností, § 14) a vyhlášky č. 410/2025 Sb. (§ 6) a č. 409/2025 Sb. (§ 15).
Stručná verze
Kontinuita provozu je v bodu c) seznamu čl. 21 odst. 2. Směrnice spojuje tři věci dohromady: udržet podnik v chodu, spravovat zálohy a obnovu a řídit krizi. Pokud se na vás NIS 2 vztahuje, musíte dělat všechny tři.
Bod 4 přílohy CIR (EU) 2024/2690 rozděluje tutéž povinnost do tří pododdílů. Bod 4.1 je samotný plán kontinuity provozu s osmibodovým seznamem obsahu. Bod 4.2 je zálohování a redundance se šestibodovým plánem plus testy integrity. Bod 4.3 je postup krizového řízení, včetně toho, jak komunikujete s regulátorem. Pokud provozujete DNS, cloud, datové centrum, MSP, služby vytvářející důvěru nebo jinou službu některého z druhů subjektů uvedených v čl. 1 CIR, toto vás zavazuje přímo.
V Česku ukládá „řízení kontinuity činností“ zákon č. 264/2025 Sb. v obou režimech (§ 14 odst. 1 písm. a) bod 13, odst. 2 písm. f)). Vyhláška č. 410/2025 Sb. ho pro nižší režim rozepisuje v § 6, vyhláška č. 409/2025 Sb. pro vyšší režim v § 15 a zálohy v § 26. Tato stránka prochází v tomto pořadí směrnici, navazující nařízení EU a české provedení.
Čl. 21 odst. 2 písm. c) směrnice NIS 2 (2022/2555)
Řízení kontinuity provozu, jako je například správa zálohování a obnova provozu po havárii, a krizové řízení.
Bod c) na seznamu deseti kybernetických opatření, která musí každý základní a důležitý subjekt zavést. Jeden řádek, tři spojené povinnosti.
CIR (EU) 2024/2690, příloha, bod 4
Kontinuita podnikání a krizové řízení (čl. 21 odst. 2 písm. c) směrnice (EU) 2022/2555).
Protože jde o nařízení (nikoli směrnici), je přímo závazným právem EU. CIR rozděluje bod 4 přílohy do tří pododdílů: 4.1 plán kontinuity provozu a obnovy po havárii, 4.2 správa zálohování a redundance, 4.3 postup krizového řízení. Vztahuje se přímo na poskytovatele DNS, registry TLD, poskytovatele cloudu a datových center, MSP a další druhy subjektů uvedené v jeho čl. 1. V Česku se podle něj tito poskytovatelé u těchto služeb řídí na základě § 18 odst. 1 zákona č. 264/2025 Sb. a § 13 odst. 2 zákona se na ně nepoužije.
Vyhláška č. 410/2025 Sb., § 6 (Česko, nižší režim)
Povinná osoba v rámci řízení kontinuity činností a) stanoví prioritu technických aktiv, pořadí a postupy jejich obnovy a zohlední přitom stanovenou prioritu relevantního primárního aktiva podle § 4 písm. f), b) stanoví povinnosti a odpovědnost konkrétních osob za jednotlivé činnosti pro zajištění kontinuity činností a k obnově podle písmene a) a c) vytváří pravidelné zálohy informací, dat, konfigurací a nastavení technických aktiv nezbytných zejména pro účely obnovy regulované služby pro případ kybernetického bezpečnostního incidentu.
Nižší režim žádá tři věci: pořadí a postupy obnovy podle priority, kterou pro primární aktiva stanoví vrcholné vedení (§ 4 písm. f)), odpovědné osoby a pravidelné zálohy. Testování plánů vyhláška č. 410/2025 Sb. nepožaduje. Ve vyšším režimu § 15 vyhlášky č. 409/2025 Sb. přidává analýzu dopadů, minimální úroveň služeb, dobu obnovení chodu a bod obnovení dat, politiku kontinuity a plány kontinuity a obnovy, které povinná osoba „vypracuje, aktualizuje a pravidelně testuje“ (písm. e)).
Plán kontinuity provozu a obnovy po havárii
Písemný plán s osmi body: účel a rozsah, role a odpovědnosti, seznam kontaktů, podmínky spouštějící aktivaci, sled obnovy, plán obnovy pro každý kritický proces, potřebné zdroje a způsob restartu a obnovení běžného provozu. Ne tři věty ve wordovém dokumentu. Skutečný dokument, který lidé mohou následovat, když je síť mimo provoz a telefony zvoní.
Správa zálohování a redundance
Šestibodový plán záloh: cílové doby obnovy, úplnost záloh, ukládání mimo lokalitu, kontroly fyzického a logického přístupu, samotný postup obnovy a doby uchovávání. Plus pravidelné testy integrity, abyste ještě před incidentem zjistili, zda se zálohy skutečně obnoví. Plus redundance (N+1) pro aktiva, personál a komunikační kanály.
Postup krizového řízení
Písemný postup s pojmenovanými rolemi, komunikačním kanálem k příslušnému orgánu, způsobem udržení bezpečnosti během krize a seznamem povinných sdělení, včetně hlášení incidentů podle článku 23. Krizové řízení není „sejdeme se na hovoru“. Je to kdo je na hovoru, co rozhodují a komu to oznamují.
Zálohování je správa, nejen IT
Plán záloh podle bodu 4.2 přílohy CIR je auditovatelná dokumentace, nikoli zaškrtávací políčko ve vašem zálohovacím nástroji. Doby uchovávání se schvalují. Umístění úložiště mimo lokalitu se dokumentuje. Doby obnovy se stanoví podle podniku, nikoli podle toho, co nástroj zvládne. Pokud vaše zálohování existuje výhradně uvnitř IT týmu, chybí vám vrstva správy, kterou CIR požaduje.
Testujte v kadenci, nikoli „až budeme mít čas“
Bod 4.1 přílohy CIR očekává, že BCP bude pravidelně testován. Bod 4.2 očekává testy integrity záloh v kadenci. Neotestovaný BCP je papír. Neotestovaná záloha je naděje. Jednou ročně pro stolní cvičení BCP, častěji pro testy obnovy záloh. Zdokumentujte test, zdokumentujte, co selhalo, zdokumentujte, co jste opravili. V Česku testy výslovně žádá jen vyšší režim: plány kontinuity a obnovy (409 § 15 písm. e)) a integritu, dostupnost a obnovitelnost záloh (409 § 26 odst. 3 písm. a)). Vyhláška č. 410/2025 Sb. testy nepožaduje; osvědčená praxe je ale stejná.
NÚKIB / vyhlášky č. 410/2025 Sb. a č. 409/2025 Sb.
Nižší režim (410 § 6): priorita technických aktiv, pořadí a postupy obnovy, odpovědné osoby, pravidelné zálohy informací, dat, konfigurací a nastavení. Prioritu obnovy primárních aktiv stanoví vrcholné vedení (410 § 4 písm. f)). Vyšší režim (409 § 15 a § 26): analýza dopadů, na které se podílí vrcholné vedení (409 § 4 odst. 1 písm. h)), pravidelně testované plány, pravidelné testy integrity, dostupnosti a obnovitelnosti záloh, šifrování ukládaných záloh a oddělené zálohovací prostředí. Německá metodika IT-Grundschutz (DER.4) může posloužit jako inspirace, v Česku ale závazná není.
Technické prováděcí pokyny ENISA
TIG od ENISA převádí bod 4 přílohy CIR do konkrétních kroků a mapuje jej na ISO/IEC 27001:2022 (ustanovení kolem A.5.29, A.5.30, A.8.13, A.8.14) a NIST CSF 2.0 (funkce Recover). Pokud již provozujete ISO 27001 nebo NIST CSF, TIG vám řekne, co můžete znovu použít a kde stále zůstávají mezery.
Vnitrostátní transpoziční zákony
Každý členský stát má vlastní transpozici (Nizozemsko: Cyberbeveiligingswet, Rakousko: NISG, Belgie: NIS2-Wet). Základ povinnosti kontinuity je všude stejný, státy ale mohou jít dál (čl. 5 NIS 2), jako Česko s testováním plánů a šifrováním záloh ve vyšším režimu. Co se liší: který vnitrostátní orgán v krizi uvědomíte a na jakém kanálu.
Máme zálohy na pásce, takže jsme v pořádku.
Zálohy nestačí. Bod 4.2 přílohy CIR chce zdokumentovaný úplný šestibodový plán: cílové doby obnovy, úplnost, ukládání mimo lokalitu, řízení přístupu, postup obnovy, doby uchovávání. Plus pravidelné testy integrity. Rotace pásek bez písemného plánu je polovina požadavku.
BCP je problémem IT týmu.
Není. Bod 4.3 přílohy CIR výslovně pokrývá krizové řízení s úrovní vedení: komunikační kanály s příslušným orgánem, povinná hlášení incidentů podle článku 23, rozhodnutí o tom, které služby udržet a které pozastavit. To je povinnost vedení, nikoli povinnost IT.
Vyřešíme to v krizi.
Nevyřešíte. Bod 4.3 přílohy CIR vyžaduje písemný krizový postup s pojmenovanými rolemi a předem definovanými komunikačními kanály. Smyslem jeho předchozího sepsání je, abyste si jej nevymýšleli ve tři ráno v neděli. Auditor si vyžádá dokument. „Máme dobré lidi“ není ten dokument.
Co vidíme v praxi: většina středně velkých firem má zálohy. Páska, cloud, druhá lokalita, něco. Co téměř nikdy nemají, je zdokumentovaný plán podle bodu 4.2 přílohy CIR kolem těchto záloh: cílové doby obnovy stanovené podle podniku, schválené doby uchovávání, pojmenované umístění úložiště mimo lokalitu, testy integrity v kalendáři. Zálohy existují. Správa ne.
Dva kroky, které práci splní: zaprvé, sepište BCP podle bodu 4.1 přílohy CIR. Použijte osmibodový seznam z CIR jako svůj obsah. Zadruhé, proveďte test jednou ročně. Stolní cvičení, kde tým vedení projde BCP pro reálný scénář, předčí šest měsíců leštění dokumentu. Test je to, co vytváří auditní důkaz.
- Směrnice (EU) 2022/2555 (NIS 2), čl. 21 odst. 2 písm. c), eur-lex.europa.eu/eli/dir/2022/2555/oj
- Prováděcí nařízení Komise (EU) 2024/2690 (CIR), příloha, bod 4, eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 14: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_14; vyhláška č. 410/2025 Sb. (nižší režim), § 6: https://e-sbirka.gov.cz/sb/2025/410/2025-11-01#par_6
- Vyhláška č. 409/2025 Sb. (vyšší režim), § 15 a § 26: https://e-sbirka.gov.cz/sb/2025/409/2025-11-01#par_15
- Technické prováděcí pokyny ENISA pro CIR (EU) 2024/2690 (stav k květnu 2026)
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Kontinuita podnikání
Sepište plán kontinuity činností
Jak pracujete dál, když něco selže, a kdo pak rozhoduje.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
