Protokolování a monitoring NIS 2 podle čl. 21 odst. 2 písm. b)
Protokolování je vrstvou viditelnosti při zvládání incidentů. Čl. 21 odst. 2 písm. b) je místo, kde tato povinnost žije. V Česku je zaznamenávání událostí výslovnou povinností v obou režimech (vyhláška č. 410/2025 Sb., § 9; vyhláška č. 409/2025 Sb., § 22). U digitálních poskytovatelů, na které se vztahuje, jmenuje CIR bod 3.2 dvanáct typů událostí a provozní pravidla.
Stručná verze
Protokolování a monitoring nejsou podle NIS 2 samostatnou povinností. Spadají do opatření pro zvládání incidentů podle čl. 21 odst. 2 písm. b). Logika je jednoduchá: pokud nevidíte, co se děje ve vaší síti, nemůžete odhalit bezpečnostní incident a nemůžete ho zvládnout.
CIR (EU) 2024/2690 bod 3.2 doplňuje podrobnosti pro digitální poskytovatele uvedené v čl. 1 CIR (DNS, TLD, cloud, datová centra, CDN, MSP, MSSP, online tržiště, vyhledávače, sociální sítě, služby vytvářející důvěru). Protokoly podle potřeby pokrývají dvanáct druhů událostí; subjekt stanoví prahy alarmů a vlastní dobu uchovávání, udržuje synchronizované zdroje času a provozuje monitoring redundantně. Pro ostatní subjekty tyto podrobnosti CIR nejsou zákonnou povinností. V Česku ale zaznamenávání ukládají vyhlášky: v nižším režimu § 9 vyhlášky č. 410/2025 Sb. (ochrana před škodlivým kódem, záznam událostí s datem a časem, typem činnosti, aktivem a účtem, doba uchování podle vašich potřeb), ve vyšším režimu §§ 21 až 23 vyhlášky č. 409/2025 Sb. (detekční nástroje, centrální sběr záznamů, uchování alespoň 18 měsíců, synchronizace času).
V Česku jde v nižším režimu o opatření „detekce a zaznamenávání kybernetických bezpečnostních událostí“ (§ 14 odst. 2 písm. i) zákona č. 264/2025 Sb.), ve vyšším režimu o „detekci kybernetických bezpečnostních událostí“, „zaznamenávání událostí“ a „vyhodnocování kybernetických bezpečnostních událostí“ (§ 14 odst. 1 písm. b) body 5 až 7). Německá metodika IT-Grundschutz nabízí stavební kameny OPS.1.1.5 a DER.1; jsou to doporučení, nikoli zákonný základ. Tato stránka projde směrnici, navazující nařízení EU a české provedení v tomto pořadí.
Čl. 21 odst. 2 písm. b) směrnice NIS 2 (2022/2555)
Řešení incidentů.
Toto je bod b) v seznamu deseti opatření kybernetické bezpečnosti, která musí zavést každý základní a důležitý subjekt. Bod 3 přílohy CIR ho pak uvádí do praxe. Protokolování a monitoring spadají do bodu 3.2.
CIR (EU) 2024/2690, příloha, bod 3.2.1
Příslušné subjekty stanoví postupy a používají nástroje pro činnosti v rámci monitorování a vedení protokolů ve svých sítích a informačních systémech s cílem odhalit události, které by mohly být považovány za incidenty, a odpovídajícím způsobem na ně reagovat, aby bylo možné zmírnit dopad.
Protože jde o nařízení (nikoli o směrnici), je přímo závazným právem EU pro druhy subjektů uvedené v jeho čl. 1 (DNS, TLD, cloud, datová centra, CDN, MSP, MSSP, online tržiště, vyhledávače, sociální sítě, služby vytvářející důvěru). Bod 3.2 se pak člení na sedm podbodů pokrývajících typy událostí k protokolování, výstrahy, uchovávání, synchronizaci času a redundanci. Žádná národní transpozice není potřeba. V Česku se podle něj tito poskytovatelé u těchto služeb řídí na základě § 18 odst. 1 zákona č. 264/2025 Sb. a § 13 odst. 2 zákona se na ně nepoužije.
Vyhláška č. 410/2025 Sb., § 9 odst. 2 (Česko, nižší režim)
Povinná osoba za účelem detekce kybernetických bezpečnostních událostí zaznamenává a) bezpečnostní a relevantní provozní události detekované podle odstavce 1 a bezpečnostní a relevantní provozní události technických aktiv na základě svých bezpečnostních potřeb a b) u událostí podle písmene a) následující informace o události: 1. datum a čas, včetně specifikace časového pásma, 2. typ činnosti, 3. jednoznačnou identifikaci technického aktiva a identifikaci účtu původce a 4. úspěšnost nebo neúspěšnost činnosti.
Dobu uchování záznamů si v nižším režimu stanovíte sami podle svých bezpečnostních potřeb (410 § 9 odst. 3). Ve vyšším režimu je § 22 vyhlášky č. 409/2025 Sb. podrobnější: výčet zaznamenávaných událostí včetně přihlášení, privilegovaných činností a manipulace se záznamy (odst. 3), centralizovaný nástroj pro sběr a uchovávání záznamů a uchování alespoň po dobu 18 měsíců (odst. 5) a nepřetržitá synchronizace jednotného času (odst. 6).
Protokolujte dvanáct typů událostí
Seznam aktiv k protokolování sestavte z posouzení rizik. Kde je to vhodné, zachyťte: příchozí a odchozí síťový provoz, změny uživatelů a oprávnění, přístup k systémům a aplikacím, ověřovací události, veškerou privilegovanou a administrátorskou činnost, přístup ke kritické konfiguraci nebo záložním souborům, protokoly bezpečnostních nástrojů (AV, IDS, firewall), využití systémových zdrojů, fyzický přístup, využití síťových zařízení, aktivaci nebo pozastavení samotných protokolů a okolní události.
Přezkum, alarm, kvalifikovaná reakce
Sbírat protokoly nestačí. Kontrolujte je v pravidelné kadenci kvůli neobvyklým nebo nežádoucím trendům. Kde je to vhodné, nastavte prahy. Když je práh překročen, spusťte automatizovaný alarm. A zajistěte, aby skutečně včas zareagoval někdo kvalifikovaný. Ukládání bez přezkumu není protokolování podle bodu 3.2 přílohy CIR.
Chraňte, uchovávejte, synchronizujte čas, redundance
Samotné protokoly jsou důkazem. Uchovávejte je po vymezenou dobu, chraňte je před neoprávněným přístupem a změnami, synchronizujte čas všech systémů, aby šly události korelovat, a provozujte monitorovací systém redundantně. Monitoring monitorovacího systému je sám nezávislý na systémech, které sleduje.
Protokoly jsou aktivum, ne vedlejší produkt
Bod 3.2.5 přílohy CIR zachází s protokoly jako s kritickými daty. Vymezená doba uchovávání, ochrana před manipulací, ochrana před neoprávněným přístupem. Pokud útočník může smazat protokoly, které ukazují, co udělal, povinnost protokolování není splněna. Také proto bod 3.2.3 písm. k) uvádí jako protokolovanou událost „aktivace, zastavení a pozastavení různých protokolů“.
Přezkum protokolů je podstatou, ne příjemným bonusem
U digitálních poskytovatelů, na které se CIR vztahuje, chce bod 3.2.4 pravidelné kontroly neobvyklých trendů, prahy tam, kde je to vhodné, automatizované alarmy při překročení prahu a včasnou kvalifikovanou reakci. SIEM, na který se nikdo nedívá, toto nesplňuje. Veďte záznam o tom, kdo které výstrahy kdy přezkoumal a co s nimi udělal.
NÚKIB / vyhlášky č. 410/2025 Sb. a č. 409/2025 Sb.
Nižší režim (410 § 9): nástroj pro nepřetržitou a automatickou ochranu před škodlivým kódem na serverech a koncových stanicích, kontrola přenášených dat na perimetru sítě, nepřetržité informování o detekovaných událostech s včasným varováním a záznam událostí s předepsanými údaji. Vyšší režim: centrálně spravovaný detekční nástroj (409 § 21), zaznamenávání událostí podle § 22 a nástroj pro nepřetržité vyhodnocování událostí (409 § 23). Německá metodika IT-Grundschutz (OPS.1.1.5, DER.1) může posloužit jako inspirace, v Česku ale závazná není.
Technické prováděcí pokyny ENISA
TIG od ENISA dává pro bod 3.2 pokyny a příklady důkazů, včetně vzorových prahů alarmů, a uvádí, že doba uchovávání se stanoví podle potřeb podniku, posouzení rizik a právních požadavků. Mapovací tabulka propojuje bod 3.2 s ISO/IEC 27001:2022 A.5.28, A.8.15, A.8.16 a A.8.17; ENISA uvádí, že mapování není měřítkem rovnocennosti.
Národní transpoziční zákony
Každý členský stát má vlastní transpozici (Nizozemsko: Cyberbeveiligingswet; Rakousko: NISG 2026; Belgie: vlastní zákon NIS2). Bod 3.2 CIR se uplatňuje přímo v každém členském státě, ale jen na digitální poskytovatele uvedené v čl. 1 CIR. Liší se: se kterým národním úřadem mluvíte a jak se místně provádí hlášení a dohled.
Uchováváme všechny protokoly navždy, takže jsme krytí.
U digitálních poskytovatelů, na které se CIR vztahuje, chce bod 3.2.5 předem stanovenou dobu uchovávání, ne nekonečnou. Pro všechny platí, že uchovávat vše navždy je problém ochrany údajů (čl. 5 odst. 1 písm. e) GDPR, omezení uložení) a problém nákladů. V Česku ve vyšším režimu vyhláška žádá uchování alespoň 18 měsíců (409 § 22 odst. 5 písm. c)), v nižším režimu dobu stanovíte sami (410 § 9 odst. 3). Rozhodněte o okně uchovávání pro každý typ protokolu, zapište ho, zdůvodněte ho oproti svému obrazu rizik a držte se ho.
SIEM to má, takže jsme v pořádku.
Blízko, ale ne úplně. U digitálních poskytovatelů, na které se CIR vztahuje, nechce bod 3.2.4 jen ukládání. Chce pravidelný přezkum, prahy tam, kde je to vhodné, automatizované alarmy při překročení a kvalifikovanou osobu, která skutečně reaguje. SIEM, který běží bez pravidel nebo s pravidly, která nikdo neladí, nesplňuje bod 3.2.4.
Protokolujeme činnost uživatelů, ale ne činnost administrátorů.
U digitálních poskytovatelů, na které se CIR vztahuje, je bod 3.2.3 písm. e) výslovný: veškerý privilegovaný přístup k systémům a aplikacím plus činnost administrátorských účtů. V Česku to ve vyšším režimu platí pro všechny poskytovatele: § 22 odst. 3 písm. b) vyhlášky č. 409/2025 Sb. žádá zaznamenávat provedení i neúspěšné pokusy o provedení privilegované činnosti. Administrátoři jsou uživatelé s nejvyšším dopadem ve vaší síti, proto jejich činnost patří do protokolů.
Nejlevnější začátek: seznam aktiv k protokolování sestavte z posouzení rizik, pošlete protokoly na jedno místo (centrální úložiště protokolů nebo malý SIEM), nastavte prahy na nejdůležitější události a pravidelně je přezkoumávejte. První den nepotřebujete spravované SOC. Potřebujete někoho, kdo se dívá na výstrahy a ví, co dělat.
- Směrnice (EU) 2022/2555 (NIS 2), čl. 21 odst. 2 písm. b), eur-lex.europa.eu/eli/dir/2022/2555/oj
- Prováděcí nařízení Komise (EU) 2024/2690 (CIR), příloha, bod 3.2, eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 14: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_14; vyhláška č. 410/2025 Sb. (nižší režim), § 9: https://e-sbirka.gov.cz/sb/2025/410/2025-11-01#par_9
- Vyhláška č. 409/2025 Sb. (vyšší režim), §§ 21 až 23: https://e-sbirka.gov.cz/sb/2025/409/2025-11-01#par_21
- Technické prováděcí pokyny ENISA pro CIR (EU) 2024/2690 (verze 1.0, červen 2025)
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
