Hodnocení účinnosti podle čl. 21 odst. 2 písm. f) NIS 2
Nestačí jen sepsat svá opatření kybernetické bezpečnosti. Čl. 21 odst. 2 písm. f) říká, že musíte průběžně kontrolovat, zda skutečně fungují. Bod 7 přílohy CIR z toho dělá pojmenované KPI, vlastníky a kadenci přezkumů.
Krátká verze
Hodnocení účinnosti je smyčka důkazu. Strávili jste rok nastavováním řízení rizik, řízení přístupu, kryptografie, přezkumů dodavatelů a zbytku. Čl. 21 odst. 2 písm. f) klade další otázku: fungují opatření, která jste sepsali, skutečně? Doložená kontrola, kterou nikdo netestuje, není totéž co fungující kontrola.
Bod 7 přílohy CIR (EU) 2024/2690 mění abstraktní povinnost na proces PDCA. Vyberete, co měřit. Vyberete jak a jak často. Pojmenujete vlastníka měření a vlastníka analýzy. Přezkoumáte výsledky. Po každém významném incidentu rámec aktualizujete.
V Česku patří hodnocení účinnosti k opatřením podle § 14 zákona č. 264/2025 Sb.: ve vyšším režimu k „systému řízení bezpečnosti informací“ a „provádění auditu kybernetické bezpečnosti“ (odst. 1 písm. a) body 1 a 14), v nižším režimu k „systému zajišťování minimální kybernetické bezpečnosti“ (odst. 2 písm. a)). V nižším režimu ho vyhláška č. 410/2025 Sb. ukládá jako aktualizaci přehledu bezpečnostních opatření alespoň jednou ročně, včetně vyhodnocení účinnosti, a každou verzi přehledu uchováváte alespoň 4 roky (§ 3 odst. 2 písm. b) a c)). Ve vyšším režimu vyhláška č. 409/2025 Sb. žádá alespoň jednou ročně vyhodnocení účinnosti systému řízení bezpečnosti informací (§ 3 písm. f)). Tato stránka prochází směrnici, navazující nařízení EU a české provedení v tomto pořadí.
Čl. 21 odst. 2 písm. f) směrnice NIS 2 (2022/2555)
Politiky a postupy za účelem posouzení účinnosti opatření k řízení kybernetických bezpečnostních rizik.
Bod f) na seznamu deseti opatření kybernetické bezpečnosti, která musí každý základní a důležitý subjekt zavést. Směrnice neříká, jak často nebo s jakými KPI. To je ponecháno na bod 7 přílohy CIR.
CIR (EU) 2024/2690, příloha, bod 7
Pro účely čl. 21 odst. 2 písm. f) směrnice (EU) 2022/2555 příslušné subjekty stanoví, zavedou a uplatňují politiku a postupy za účelem posouzení, zda jsou opatření k řízení kybernetických bezpečnostních rizik přijatá příslušným subjektem účinně prováděna a udržována.
Přímo závazné právo EU pro druhy subjektů uvedené v čl. 1 CIR. Bod 7 přílohy jmenuje šest věcí, které musí vaše politika pokrýt (co, jak, kdy, kdo měří, kdy se výsledky analyzují, kdo analyzuje). Vyžaduje také přezkum v plánovaných intervalech a při významných incidentech nebo změnách. V Česku se podle něj digitální poskytovatelé u svých služeb řídí na základě § 18 odst. 1 zákona č. 264/2025 Sb. a § 13 odst. 2 zákona se na ně nepoužije.
Vyhláška č. 410/2025 Sb., § 3 odst. 2 písm. b) a c) (Česko, nižší režim)
Povinná osoba … b) provede a dokumentuje alespoň jednou ročně aktualizaci přehledu bezpečnostních opatření, včetně vyhodnocení účinnosti zavedených bezpečnostních opatření, c) uchovává jednotlivé přehledy bezpečnostních opatření a jejich aktualizace alespoň po dobu 4 let.
Přehled bezpečnostních opatření je jedna tabulka podle přílohy č. 1: každé opatření se stavem, popisem, termínem, prioritou a odpovědnou osobou. Vrcholné vedení se se stavem plnění v přehledu prokazatelně seznamuje (§ 4 písm. d)). Ve vyšším režimu vyhláška č. 409/2025 Sb. žádá roční vyhodnocení účinnosti systému řízení bezpečnosti informací se sedmi povinnými částmi (§ 3 písm. f)), zprávu o přezkoumání (§ 3 písm. g)), se kterou se vedení prokazatelně seznamuje (§ 4 odst. 2 písm. a)), a audit kybernetické bezpečnosti alespoň jednou za 2 roky (§ 16 odst. 4).
CO měříte
Pojmenujte opatření k řízení rizik kybernetické bezpečnosti, která sledujete. Počítají se postupy i kontroly. Nemusíte měřit vše. Musíte však vybrat sadu, sepsat ji a propojit ji s výsledky posouzení rizik a s vašimi předchozími významnými incidenty.
JAK a KDY měříte
Pro každé opatření pojmenujte metodu monitorování a měření, přístup k analýze a kadenci. Čtvrtletní metriky s ročním hloubkovým rozborem jsou běžným tvarem. Metoda musí poskytovat platné výsledky, takže „máme z toho pocit“ neprojde.
KDO je odpovědný
Dvě pojmenované role. Jedna osoba vlastní měření (vytahuje čísla, provádí test, exportuje log). Druhá osoba vlastní analýzu (čte data, posuzuje, zda kontrola funguje, eskaluje). V menší firmě může obojí dělat stejná osoba, ale dokument je musí jmenovat.
Propojte účinnost s registrem rizik
Bod 7.2 přílohy CIR říká, že politika musí zohledňovat výsledky posouzení rizik a předchozí významné incidenty. Volně plovoucí KPI se nepočítají. Pokud měříte shodu s opravami, ale vaše tři hlavní rizika jsou narušení u dodavatelů, phishing a expozice OT, vaše KPI míjejí podstatu. Vyberte KPI, která testují kontroly pokrývající vaše nejvyšší rizika.
Reportujte nahoru k řídícímu orgánu
Čl. 20 odst. 1 NIS 2 ukládá řídícímu orgánu schvalovat opatření k řízení rizik kybernetické bezpečnosti a dozorovat jejich zavádění. Nemohou dozorovat to, co nevidí. Data o účinnosti se před ně musí periodicky dostat. V Česku vyhlášky žádají, aby se vrcholné vedení prokazatelně seznamovalo se stavem plnění opatření v přehledu (410 § 4 písm. d)), ve vyšším režimu se zprávou o přezkoumání systému řízení bezpečnosti informací (409 § 4 odst. 2 písm. a)). Čtvrtletně je běžnou kadencí. Na formátu nezáleží, pokud je doložen.
NÚKIB / vyhlášky č. 410/2025 Sb. a č. 409/2025 Sb.
V nižším režimu je hlavním nástrojem přehled bezpečnostních opatření; vyhláška č. 410/2025 Sb. ho v příloze č. 1 popisuje jako „nástroj k vyhodnocení účinnosti zavedených bezpečnostních opatření za stanovené období“. Ve vyšším režimu vstupují do ročního vyhodnocení mimo jiné cíle systému řízení bezpečnosti informací, plnění plánu zvládání rizik, výsledky auditů a kontrol a dopady incidentů (409 § 3 písm. f)). Německá metodika IT-Grundschutz (vrstva DER.1) pokrývá provozní monitorování; jako vstup posloužit může, bod 7 přílohy CIR ani české vyhlášky ale sama nesplní.
Technický prováděcí pokyn od ENISA
TIG od ENISA pro CIR (EU) 2024/2690 jmenuje důkazy, které auditoři podle bodu 7 přílohy očekávají: doloženou politiku, seznam KPI s cíli a skutečnostmi, pojmenované vlastníky, zápisy z přezkumů, úkoly z analýzy. ENISA také mapuje bod 7 na kontroly ISO/IEC 27001:2022 9.1 (monitorování) a 5.36 (přezkum shody).
Národní transpoziční zákony
Každý členský stát má vlastní transpoziční zákon (Nizozemsko: Cyberbeveiligingswet, Rakousko: NISG, Belgie: NIS2-Wet). Základ povinnosti je všude stejný, státy ale mohou jít dál (čl. 5 NIS 2), jako Česko s ročním vyhodnocením a auditem alespoň jednou za 2 roky ve vyšším režimu. Co se liší: komu reportujete, jak vypadá auditní cyklus, který odvětvový regulátor má ve vaší zemi slovo.
Provádíme roční audit, to je naše hodnocení účinnosti.
Audit je kontrola v jednom okamžiku. Bod 7 přílohy CIR žádá průběžné monitorování a měření plus periodickou analýzu. Audit je jedním vstupem, ne celou odpovědí. Pokud je vaším jediným důkazem účinnosti zpráva z auditu jednou ročně, nemáte koncept podle bodu 7. V Česku to ve vyšším režimu platí také: audit kybernetické bezpečnosti (409 § 16) a roční vyhodnocení účinnosti (409 § 3 písm. f)) jsou dvě samostatné povinnosti.
Máme SIEM, takže máme monitorování pokryté.
SIEM je jeden z nástrojů mezi vstupy, na které váš koncept hodnocení odkazuje. Bod 7 přílohy CIR se neptá „máte SIEM“. Ptá se „kterou kontrolu testujete, jaké KPI proti ní měříte, jaká cílová hodnota definuje účinnost“. Samotné dashboardy SIEM na to neodpovídají.
Náš CISO ví, zda opatření fungují.
Písmena d) a f) bodu 7.2 přílohy CIR žádají pojmenované vlastníky a doloženou analýzu. Kmenové znalosti v hlavě jedné osoby selhávají ve dvou bodech: žádná auditní stopa, žádná kontinuita, pokud tato osoba odejde. Koncept musí být sepsán, analýza zaznamenána a řídící orgán musí výsledky vidět.
Většina středně velkých firem už měří dvě věci: dostupnost systému a shodu s opravami. Obojí jsou dobrá KPI, ale pokrývají jen dvě z deseti opatření čl. 21 odst. 2. Čl. 21 odst. 2 písm. f) se týká všech opatření, takže v praxi potřebujete víc, například: počty incidentů proti cílům, průměrnou dobu do detekce, průměrnou dobu do reakce, míry dokončení školení, výsledky phishingových testů, míry dokončení přezkumů dodavatelů.
Co vidíme v praxi: vyberte šest až osm KPI, která se mapují na vaše hlavní rizika. Čtvrtletní výstup pro řídící orgán. Roční hloubkový rozbor, který přezkoumá výběr KPI proti aktualizovanému registru rizik. Po každém významném incidentu se spustí spouštěč podle bodu 7.3 přílohy CIR a vy přezkoumáte příslušná opatření bez ohledu na kalendář. To obstojí v rámci přiměřenosti podle čl. 21 odst. 1 pro provozovatele se 60 až 250 lidmi.
- Směrnice (EU) 2022/2555 (NIS 2), čl. 21 odst. 2 písm. f). eur-lex.europa.eu/eli/dir/2022/2555/oj
- Prováděcí nařízení Komise (EU) 2024/2690 (CIR), příloha, bod 7. eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 14: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_14; vyhláška č. 410/2025 Sb. (nižší režim), § 3 a příloha č. 1: https://e-sbirka.gov.cz/sb/2025/410/2025-11-01#par_3
- Vyhláška č. 409/2025 Sb. (vyšší režim), § 3, § 4 a § 16: https://e-sbirka.gov.cz/sb/2025/409/2025-11-01#par_3
- Technický prováděcí pokyn od ENISA pro CIR (EU) 2024/2690 (stav k květnu 2026)
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Posouzení účinnosti
Zapište přezkoumání vedením
Vedení kontroluje, zda opatření fungují, a schvaluje vaše dokumenty.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
