Dokumenty NIS2: jakou dokumentaci vaše firma potřebuje
Bezpečnostní opatření musíte zdokumentovat: obě vyhlášky žádají bezpečnostní politiku a bezpečnostní dokumentaci k opatřením (vyhláška č. 410/2025 Sb., § 3 odst. 3; č. 409/2025 Sb., § 6). V režimu nižších povinností je ústředním dokumentem přehled bezpečnostních opatření ve formě tabulky z přílohy č. 1 vyhlášky č. 410/2025 Sb. Pro mnoho dalších oblastí stačí seznam. Délku ani software předpisy nepředepisují.
Co zákon vyžaduje
Poskytovatelé regulované služby zavádějí bezpečnostní opatření podle § 14 zákona č. 264/2025 Sb., která odpovídají deseti oblastem čl. 21 odst. 2 NIS 2. Stanoví k nim bezpečnostní politiku a bezpečnostní dokumentaci (vyhláška č. 410/2025 Sb., § 3 odst. 3 písm. a); č. 409/2025 Sb., § 6 odst. 1).
Některé dokumenty vyhlášky jmenují přímo. V nižším režimu přehled bezpečnostních opatření, aktualizovaný alespoň jednou ročně a uchovávaný alespoň 4 roky (vyhláška č. 410/2025 Sb., § 3 odst. 2), a politiku bezpečného chování uživatelů (§ 5 odst. 1). Ve vyšším režimu mimo jiné zprávu o hodnocení rizik, prohlášení o aplikovatelnosti a plán zvládání rizik (vyhláška č. 409/2025 Sb., § 8), politiku řízení kontinuity činností s plány kontinuity a obnovy (§ 15) a zprávu o přezkoumání systému řízení bezpečnosti informací (§ 3 písm. g)).
Předpisy nestanoví, jak dlouhé dokumenty jsou ani v jakém softwaru je vedete; ve vyšším režimu mohou být v elektronické nebo listinné podobě (vyhláška č. 409/2025 Sb., § 6 odst. 5). Rozsah se řídí zásadou „v míře nezbytné“ (§ 13 odst. 2 zákona č. 264/2025 Sb.). Pevnou podobu má jen přehled bezpečnostních opatření v nižším režimu: tabulka se šesti sloupci podle přílohy č. 1 vyhlášky č. 410/2025 Sb.
Dokumenty v přehledu
Těchto šest dokumentů pokrývá oblasti, kde má psaný text smysl. Vedení se s každým z nich seznámí a schválí ho.
| Dokument | Co v něm stojí |
|---|---|
| Politika bezpečnosti informacívyhláška č. 410/2025 Sb., § 3 odst. 3; č. 409/2025 Sb., § 3 písm. d) a § 6 | Jak vaše firma zachází s bezpečností informací: cíle, odpovědnosti, jak se posuzují rizika. |
| Plán reakce na incidentyvyhláška č. 410/2025 Sb., § 10; č. 409/2025 Sb., § 14; § 15 a 16 zákona | Kdo při incidentu rozhoduje, komu voláte, jak se spojíte bez IT a jak hlásíte přes Portál NÚKIB. |
| Plán kontinuity provozuvyhláška č. 410/2025 Sb., § 6; č. 409/2025 Sb., § 15 | Co musí běžet dál, když IT vypadne, a jak obnovíte provoz. |
| Pravidla pro nákup, údržbu a zranitelnostivyhláška č. 410/2025 Sb., § 3 odst. 6 a § 12; č. 409/2025 Sb., § 12 a 24 | Na co se díváte při nákupu IT, jak se instalují aktualizace a kde vám ostatní mohou nahlásit zranitelnosti, které najdou. |
| Politika kryptografievyhláška č. 410/2025 Sb., § 13; č. 409/2025 Sb., § 25 | Kde a jak šifrujete, například notebooky, e-mail a vzdálený přístup. |
| Politika pro personál, přístupy a správu ITvyhláška č. 410/2025 Sb., § 5, 7 a 8; č. 409/2025 Sb., § 10, 13 a 19 | Kdo dostane jaký přístup, jak ho noví lidé získají a odcházející ztratí a jak spravujete své IT. |
Kde stačí seznam
U ostatních oblastí nepotřebujete souvislý text. Seznam, který udržujete aktuální, ukazuje, co děláte.
| Seznam | Co v něm stojí |
|---|---|
| Vaše aktiva§ 12 odst. 3 zákona; vyhláška č. 409/2025 Sb., § 7 | S čím vaše firma pracuje: procesy, software, zařízení, prostory, sítě a kdo je dodává. |
| Vaši dodavatelé§ 13 odst. 5 zákona; vyhláška č. 409/2025 Sb., § 9 odst. 1 písm. d) | Kdo pro vás pracuje a co jste s nimi dohodli o bezpečnosti. |
| Vaše zálohyvyhláška č. 410/2025 Sb., § 6 písm. c); č. 409/2025 Sb., § 26 odst. 2 a 3 | Co se zálohuje, čím a kdy byla naposledy vyzkoušena obnova. |
| Vaše školenívyhláška č. 410/2025 Sb., § 5 odst. 3; č. 409/2025 Sb., § 10 odst. 5 | Kdo se kdy účastnil jakého školení, zaměstnanci i vedení. |
| Druhý faktor a zabezpečená komunikacevyhláška č. 410/2025 Sb., § 8 a § 13 odst. 2; č. 409/2025 Sb., § 19 odst. 3 a § 25 odst. 2 | Kde přihlášení chrání druhý faktor a jaké kanály používáte pro zabezpečenou komunikaci. |
| Přezkum vedenímvyhláška č. 410/2025 Sb., § 3 odst. 2 a § 4 písm. d); č. 409/2025 Sb., § 3 písm. f) a g) a § 4 odst. 2 | Kdy vedení zkontrolovalo, zda opatření fungují, co rozhodlo a kdo co udělá a do kdy. |
Víc pro určité digitální poskytovatele
Na poskytovatele, jako jsou cloud, datová centra, řízené služby a některé další digitální služby, se navíc vztahuje prováděcí nařízení (EU) 2024/2690. Jeho příloha popisuje mnoho záznamů podrobněji.
Pro všechny ostatní firmy tato příloha závazná není. Může sloužit jako vodítko.
§ 18 zákona č. 264/2025 Sb. · prováděcí nařízení (EU) 2024/2690
Na koho se prováděcí nařízení vztahujeCo to znamená pro firmu s 50 až 150 zaměstnanci
Nepotřebujete sbírku šablon na každý detail. Jeden dokument na oblast, kde je text potřeba, a pro zbytek seznamy, které udržujete aktuální.
Důležitější než délka je, aby dokumenty odpovídaly vašemu provozu a aby se to, co v nich stojí, skutečně dělo.
Zákon nevyžaduje certifikát, například ISO 27001. Může ale vaše doklady podpořit; podle NÚKIB nemůže být jediným podkladem kontroly.
§ 13 odst. 2 zákona č. 264/2025 Sb. · vyhláška č. 410/2025 Sb., § 3
Příklad
Smyšlená firma: výrobce balicích strojů se 110 zaměstnanci. Výroba strojů je v příloze vyhlášky č. 408/2025 Sb. a střední podnik je v ní zařazen do režimu nižších povinností.
Vedoucí IT zapíše, s čím firma pracuje: ERP, konstrukční software, řízení výroby, e-mail, zálohování. U každé položky je uvedeno, kdo ji dodává.
Z jeho odpovědí k deseti oblastem vznikne šest dokumentů. Plán reakce na incidenty říká, že rozhoduje jednatel a hlásí vedoucí IT, kterého jednatel v Portálu NÚKIB pověřil jako zástupce.
Dodavatele, zálohy a školení firma vede jako seznamy. Stav opatření zapisuje do přehledu bezpečnostních opatření.
Jednatel dokumenty přečte, schválí a se stavem přehledu se prokazatelně seznámí. Když přibude nový poskytovatel služeb, IT ho doplní do seznamu dodavatelů.
Jak to probíhá v průvodci
V průvodci na nisd2.eu vznikají dokumenty z vašich odpovědí.
Z vašich odpovědí vznikne šest dokumentů: bezpečnostní politika, plán reakce na incidenty, plán kontinuity provozu, politika kryptografie, politika pro personál, přístupy a aktiva a pravidla pro nákup, údržbu a zranitelnosti.
Do každého dokumentu můžete doplnit vlastní ustanovení.
Kde stačí seznam, vedete seznam: vaše IT, vaši dodavatelé, vaše zálohy, vaše školení.
Na konci vedení schválí dokumenty v aplikaci pod vlastním účtem. Jméno a datum se pak objeví na každém dokumentu.
Export dá vše do jednoho dokumentu, který v prohlížeči uložíte jako PDF.
Časté otázky
Jaké dokumenty NIS2 vyžaduje?
Obě vyhlášky žádají bezpečnostní politiku a bezpečnostní dokumentaci k opatřením (vyhláška č. 410/2025 Sb., § 3 odst. 3; č. 409/2025 Sb., § 6). V nižším režimu navíc přehled bezpečnostních opatření podle přílohy č. 1 vyhlášky č. 410/2025 Sb.; ve vyšším režimu mimo jiné zprávu o hodnocení rizik, prohlášení o aplikovatelnosti, plán zvládání rizik a plány kontinuity (vyhláška č. 409/2025 Sb., § 8 a 15).
Existuje předepsaný formát?
Pro většinu dokumentů ne. Předpisy nestanoví délku ani software. Výjimkou je přehled bezpečnostních opatření v nižším režimu, který má podobu tabulky podle přílohy č. 1 vyhlášky č. 410/2025 Sb. Rozsah dokumentů se řídí tím, co je pro vaši firmu nezbytné.
Musí být dokumenty podepsané?
Zákon ani vyhlášky podpis nepředepisují. Vrcholné vedení se ale musí se stavem opatření prokazatelně seznamovat (vyhláška č. 410/2025 Sb., § 4 písm. d); č. 409/2025 Sb., § 4 odst. 2) a směrnice EU vyžaduje, aby řídicí orgán opatření schválil (čl. 20 odst. 1 NIS 2). Zaznamenané schválení vedením s datem je proto nasnadě.
Potřebujeme certifikaci ISO 27001?
Zákon ji nevyžaduje. Certifikát může vaše doklady podpořit, ale český zákon automaticky nepokrývá; podle NÚKIB nemůže být jediným podkladem kontroly.
Zdroje
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 12 až 14 a 18: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01; vyhlášky č. 409/2025 Sb. (https://e-sbirka.gov.cz/sb/2025/409/2025-11-01) a č. 410/2025 Sb. (https://e-sbirka.gov.cz/sb/2025/410/2025-11-01)
- Směrnice (EU) 2022/2555 (NIS 2), čl. 20 a 21, EUR-Lex
- Prováděcí nařízení (EU) 2024/2690, čl. 1 a příloha, EUR-Lex
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Řízení rizik
Napište bezpečnostní politiku
Krátký dokument zásad, který schválí vedení.
Řešení incidentů
Naplánujte, co se stane při incidentu
Kdo rozhoduje, komu voláte, jak se spojíte.
Posouzení účinnosti
Zapište přezkoumání vedením
Vedení kontroluje, zda opatření fungují, a schvaluje vaše dokumenty.
Kolik průvodce stojí
4 800 € bez DPH ročně, plus DPH
30 dní na vrácení penězNa fakturu, splatnost 30 dní. Zrušení do 30 dnů od první objednávky: faktura se stornuje nebo se peníze vrátí.
Řízené zavedení NIS 2 krok za krokem
Historie změn a schválení, kterou můžete ukázat úřadu
Termíny a upozornění ke každému požadavku
Bezpečnostní dotazník pro vaše dodavatele
Export do PDF nebo CSV kdykoli
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
