Kybernetická hygiena a bezpečnostní školení NIS 2 podle čl. 21 odst. 2 písm. g)
Článek 21 odst. 2 písm. g) NIS 2 pokrývá vaši pracovní sílu. Článek 20 odst. 2 pokrývá váš řídicí orgán. Dvě samostatné povinnosti. Bod 8 přílohy CIR (EU) 2024/2690 stanoví, co povinnost vůči pracovní síle vlastně znamená: program povědomí pro všechny, plus školení specifické pro role pro lidi v bezpečnostně relevantních rolích.
Stručná verze
Článek 21 odst. 2 písm. g) zařazuje kybernetickou hygienu a bezpečnostní školení na seznam deseti opatření kybernetické bezpečnosti, která musí mít zavedena každý základní a důležitý subjekt. Povinnost se vztahuje na všechny v subjektu, včetně řídicího orgánu a přímých dodavatelů.
Bod 8 přílohy CIR (EU) 2024/2690 rozděluje povinnost na dvě části. Bod 8.1 je povědomí: program, který zasáhne každého zaměstnance, opakuje se periodicky, je v souladu s vaší politikou bezpečnosti informací a vaším skutečným obrazem hrozeb, pokrývá hrozby, kontaktní místa a zdroje. Bod 8.2 je školení specifické pro role: identifikujte zaměstnance v bezpečnostně relevantních rolích, vyškolte je v oblasti bezpečné konfigurace a provozu, známých hrozeb a toho, jak se chovat během bezpečnostně relevantní události.
Toto není stejná povinnost jako čl. 20 odst. 2. Článek 20 odst. 2 je školení pro samotný řídicí orgán, o kybernetických rizicích a manažerských praktikách. Článek 21 odst. 2 písm. g) je školení pro zbytek organizace. Potřebujete obojí. Auditoři kontrolují obojí.
Článek 21 odst. 2 písm. g) směrnice NIS 2 (2022/2555)
Základní postupy kybernetické hygieny a školení v oblasti kybernetické bezpečnosti.
Toto je bod g) na seznamu deseti opatření kybernetické bezpečnosti, která musí zavést každý základní a důležitý subjekt. Je to povinnost napříč celou pracovní silou, odlišná od školení řídicího orgánu podle čl. 20 odst. 2.
CIR (EU) 2024/2690, příloha, bod 8
Pro účely čl. 21 odst. 2 písm. g) směrnice (EU) 2022/2555 příslušné subjekty zajistí, aby si jejich zaměstnanci, včetně členů řídících orgánů, ale i přímí dodavatelé a poskytovatelé služeb byli vědomi rizik, byli informováni o významu kybernetické bezpečnosti a uplatňovali postupy v oblasti kybernetické hygieny.
Protože jde o nařízení (nikoli směrnici), je to přímo závazné právo EU. Bod 8.1 přílohy stanoví program povědomí. Bod 8.2 stanoví povinnost školení specifického pro role. Vztahuje se na poskytovatele DNS, registry TLD, poskytovatele cloudu a datových center, MSP, poskytovatele služeb vytvářejících důvěru a další druhy subjektů uvedené v jeho čl. 1. V Česku se podle něj tito poskytovatelé u těchto služeb řídí na základě § 18 odst. 1 zákona č. 264/2025 Sb. a § 13 odst. 2 zákona se na ně nepoužije.
Vyhláška č. 410/2025 Sb., § 5 odst. 2 (Česko, nižší režim)
Povinná osoba v souladu s pravidly rozvoje bezpečnostního povědomí zajistí a) poučení vrcholného vedení o jeho povinnostech a o bezpečnostní politice, zejména v oblasti zajišťování kybernetické bezpečnosti, formou vstupních a pravidelných školení, b) vstupní školení v oblasti kybernetické bezpečnosti, c) pravidelná školení v oblasti kybernetické bezpečnosti a d) potřebná odborná teoretická i praktická školení administrátorů a osoby pověřené kybernetickou bezpečností v souladu s jejich pracovní náplní.
Česká vyhláška řeší poučení vedení i školení zaměstnanců v jednom ustanovení. Témata povědomí vyjmenovává příloha č. 3 (například hesla, vícefaktorová autentizace, sociální inženýrství, zálohování) a přehledy o školeních se seznamy školených osob vedete podle § 5 odst. 3. Ve vyšším režimu § 10 vyhlášky č. 409/2025 Sb. žádá plán rozvoje bezpečnostního povědomí s tématy z přílohy č. 6, pravidelná školení a ověřování bezpečnostního povědomí zaměstnanců (odst. 3 písm. d)) a pravidelné hodnocení účinnosti (odst. 4 písm. c)). Interval školení žádná z obou vyhlášek nestanoví.
Program povědomí pro všechny
Program, který zasáhne každého zaměstnance, včetně řídicího orgánu a přímých dodavatelů. Opakuje se periodicky, ne jednorázově. Noví příchozí jsou zachyceni. Obsah je v souladu s vaší politikou bezpečnosti informací a vaším skutečným obrazem hrozeb. Pokrývá kybernetické hrozby, které se na vás skutečně vztahují, kontaktní místa, pokud něco vypadá špatně, a zdroje, které mohou zaměstnanci využít.
Školení specifické pro role pro bezpečnostně relevantní role
Identifikujte, které role potřebují bezpečnostně relevantní dovednosti. Pak vyškolte tyto lidi ve třech věcech: jak konfigurovat a provozovat systémy, kterých se dotýkají (včetně mobilních zařízení), známé hrozby, které se vztahují na jejich práci, a jak se chovat během bezpečnostně relevantní události. Širší než IT: helpdesk, vývojáři, HR, finance mohou všichni splňovat.
Noví příchozí a periodická aktualizace
Obě části bodu 8 přílohy CIR říkají, že program musí zasáhnout nové zaměstnance v bezpečnostně relevantních rolích a být pravidelně aktualizován. To znamená krok v nástupu uvnitř HR procesů, plus kadenci přezkumu samotného kurikula, aby obsah sledoval hrozby, kterým dnes skutečně čelíte, spíše než hrozby, kterým jste čelili před dvěma lety.
Povědomí a specifické pro role jsou dva odlišné programy
Body 8.1 a 8.2 přílohy CIR nejsou totéž jen přebalené. Povědomí jde ke všem. Specifické pro role jde k lidem, jejichž práce vytváří nebo řídí bezpečnostní expozici. Obsah je jiný, kadence je jiná, důkaz je jiný. Pokud má váš plán školení jen jeden program, jednu ze dvou povinností vám chybí.
Obsah školení odráží váš skutečný obraz rizik
Bod 8.1 přílohy CIR říká, že program povědomí se vytváří „v souladu s politikou bezpečnosti sítí a informací“ a aktualizuje se s přihlédnutím „k aktuálním hrozbám a rizikům pro příslušné subjekty“. Obecný obsah o phishingu určený pro banku se nehodí pro vodárnu nebo firmu v odpadovém hospodářství. Program musí sledovat hrozby, kterým skutečně čelíte, systémy, které skutečně provozujete, a kontaktní místa, na která mají zaměstnanci skutečně volat.
NÚKIB / vyhlášky č. 410/2025 Sb. a č. 409/2025 Sb.
Obě vyhlášky oddělují poučení vrcholného vedení (410 § 5 odst. 2 písm. a); 409 § 10 odst. 3 písm. a)) od školení zaměstnanců (410 § 5 odst. 2 písm. b) a c); 409 § 10 odst. 3 písm. b) a d)) a od odborných školení administrátorů a osob v bezpečnostních rolích (410 § 5 odst. 2 písm. d); 409 § 10 odst. 3 písm. c)). U poučení vedení NÚKIB uvádí, že uznává certifikát svého kurzu pro vrcholné vedení jako doklad o splnění požadavků zákona. Německá metodika IT-Grundschutz (modul ORP.3) může posloužit jako inspirace pro osnovu, v Česku ale závazná není.
Technické implementační pokyny ENISA
TIG ENISA pro CIR (EU) 2024/2690 mapuje bod 8 přílohy na ISO/IEC 27001:2022 (A.6.3, A.7.2.2 ve starém číslování), NIST CSF 2.0 (PR.AT) a ETSI EN 319 401. Pokud již provozujete bezpečnostní povědomí podle ISO 27001, TIG vám řekne, které stávající kontroly pokrývají bod 8 a kde je mezera.
Vnitrostátní transpoziční zákony
Každý členský stát povinnost transponuje (Nizozemsko: Cyberbeveiligingswet, Rakousko: NISG, Belgie: NIS2-Wet). Základ je všude stejný, státy ale mohou jít dál (čl. 5 NIS 2). Liší se: jazyk dokumentace, ohlašovací kanály a který vnitrostátní orgán audituje záznamy o školení.
Absolvovali jsme kurz pro řídicí orgán, se školením NIS 2 jsme hotovi.
Článek 20 odst. 2 a článek 21 odst. 2 písm. g) jsou dvě samostatné povinnosti. Kurz pro řídicí orgán pokrývá čl. 20 odst. 2. Váš program pro celou pracovní sílu pokrývá čl. 21 odst. 2 písm. g). Jeden nenahrazuje druhý. České vyhlášky je také uvádějí jako samostatné body: poučení vrcholného vedení a školení zaměstnanců (410 § 5 odst. 2; 409 § 10 odst. 3). Auditor si vyžádá důkaz o obojím.
Provozujeme roční phishingovou simulaci, takže povědomí je pokryto.
Phishingová simulace je jedna taktika, ne program. Bod 8.1 přílohy CIR vyžaduje program, který pokrývá hrozby, jež se na vás vztahují, kontaktní místa pro hlášení obav a zdroje, které mohou zaměstnanci využít. Musí také zasáhnout nové příchozí a běžet periodicky. Jediná roční simulace tento test sama o sobě nesplňuje.
Školíme IT tým, to pokrývá povinnost specifickou pro role.
Bod 8.2 přílohy CIR mluví o zaměstnancích, „jejichž funkce vyžadují dovednosti a odborné znalosti v oblasti bezpečnosti“. To je širší než IT. Pracovníci helpdesku, kteří resetují hesla, vývojáři, kteří píší kód, pracovníci HR, kteří řeší nástupy a odchody, pracovníci financí, kteří řeší schvalování plateb. Všichni mohou spadat do bodu 8.2. Seznam rolí musí vyjít z vašeho skutečného obrazu rizik, ne z organizačního schématu.
Co vidíme u středně velkých firem: roční phishingová simulace plus bezpečnostní odstavec v nástupní prezentaci. To není bod 8 přílohy CIR. Bod 8 chce písemný program, s cílovou skupinou na modul, frekvencí na modul a záznamem na učícího se o tom, co a kdy dokončil.
Podoba, která obstojí při auditu: jeden vzdělávací směr povědomí pro všechny (nástupní modul plus roční obnova, hrozby a kontaktní místa) a směr specifický pro role pro bezpečnostně relevantní role, které jste identifikovali (administrátoři, vývojáři, helpdesk, plus kterékoli obchodní role, které vaše analýza rizik označila). Zdokumentujte kurikulum, publikum, frekvenci, záznamy o dokončení a datum přezkumu samotného kurikula.
- Směrnice (EU) 2022/2555 (NIS 2), čl. 21 odst. 2 písm. g). eur-lex.europa.eu/eli/dir/2022/2555/oj
- Prováděcí nařízení Komise (EU) 2024/2690 (CIR), příloha, bod 8. eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 14: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_14; vyhláška č. 410/2025 Sb. (nižší režim), § 5 a příloha č. 3: https://e-sbirka.gov.cz/sb/2025/410/2025-11-01#par_5
- Vyhláška č. 409/2025 Sb. (vyšší režim), § 10 a příloha č. 6: https://e-sbirka.gov.cz/sb/2025/409/2025-11-01#par_10
- Technické implementační pokyny ENISA pro CIR (EU) 2024/2690 (k květnu 2026)
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Kybernetická hygiena a školení
Zaznamenejte školení zaměstnanců
Kdo byl kdy o čem poučen.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
