Bezpečnost sítě podle NIS 2 podle článku 21 odst. 2 písm. e)

Zdokumentujte síť, řiďte vnitřní přístup

Veďte aktuální a přehledný diagram architektury vaší sítě. Definujte a uplatňujte opatření na ochranu interních domén před neoprávněným přístupem. Blokujte spojení a služby, které nejsou potřeba. Definujte samostatná opatření pro vzdálený přístup, včetně vzdáleného přístupu dodavatelů. Nedovolte, aby administrátorské systémy byly používány k čemukoli jinému. Vypněte nebo výslovně zakažte spojení a služby, které nepoužíváte. V Česku ve vyšším režimu dokumentujete topologii sítě a infrastruktury a řídíte vzdálený přístup i vzdálenou správu (vyhláška č. 409/2025 Sb., § 18 písm. c), d) a i)); v nižším režimu omezíte vzdálená připojení na nezbytně nutná, zajistíte jejich důvěrnost a integritu a máte přehled o uživatelích, kteří je používají (vyhláška č. 410/2025 Sb., § 11 písm. d)).

Hygiena na úrovni zařízení, protokolů, DNS a e-mailu

Kde je to vhodné, omezte přístup pouze na schválená zařízení. Spojení dodavatelů povolte jen po žádosti o schválení a pouze na vymezené časové okno (například údržbu). Provozujte komunikaci mezi systémy přes důvěryhodné kanály, oddělené logicky, kryptograficky nebo fyzicky, s bezpečnou identifikací koncových bodů. Naplánujte a urychlete přechod na moderní protokoly síťové vrstvy. Zaveďte moderní interoperabilní e-mailové standardy, abyste uzavřeli zranitelnosti související s e-mailem. Uplatňujte osvědčené postupy bezpečnosti DNS a hygieny směrování pro příchozí i odchozí provoz. České vyhlášky žádají aktuálně odolné a bezpečné komunikační protokoly (vyhláška č. 410/2025 Sb., § 11 písm. c)) a ve vyšším režimu důvěrnost a integritu přenosu pomocí kryptografických algoritmů podle § 25 (vyhláška č. 409/2025 Sb., § 18 písm. g)).

Segmentujte podle rizika, oddělte produkci od testu a administrace

Segmentujte své systémy do sítí nebo zón pomocí výstupu posouzení rizik z bodu 2.1 přílohy CIR, ne jen podle pohodlnosti. Zvažte funkční, logické, fyzické a lokalitní vazby mezi důvěryhodnými systémy. Přidělte přístup k zóně podle bezpečnostních požadavků dané zóny. Umístěte systémy nezbytné pro provoz nebo bezpečnost do zabezpečených zón. Provozujte DMZ na komunikačních sítích. Omezte přístup k zónám a v rámci zón na to, co provoz potřebuje. Provozujte vyhrazenou administrátorskou síť pro systémy, oddělenou od provozní sítě. Držte kanály správy sítě oddělené od ostatního provozu. Držte produkční systémy pro živé služby oddělené od vývoje a testu, včetně jejich záloh. V Česku žádá nižší režim segmentaci včetně oddělení provozního a zálohovacího prostředí (vyhláška č. 410/2025 Sb., § 11 písm. a)), vyšší režim zdokumentovanou segmentaci včetně oddělení provozního, zálohovacího, vývojového, testovacího, administrátorského a jiného specifického prostředí (vyhláška č. 409/2025 Sb., § 18 písm. a)).

Segmentujte podle rizika, ne podle pohodlnosti

Bod 6.8.1 přílohy CIR váže segmentaci zpět na bod 2.1: posouzení rizik je to, co vám říká, které zóny potřebujete a jak přísné mají být hranice mezi nimi. Plochá síť s jedním firewallem není segmentace. Zóny založené na tom, co každá část podniku skutečně dělá, a na riziku, které nese, segmentací jsou. Pokud nedokážete ukázat na řádek posouzení rizik, který zónu ospravedlňuje, podle definice standardu segmentaci nemáte.

Zdokumentujte architekturu, udržujte ji aktuální

Bod 6.7.2 písm. a) přílohy CIR je první úkon na seznamu z nějakého důvodu. Vše ostatní v bodech 6.7 a 6.8 závisí na zdokumentovaném a aktuálním diagramu sítě. Auditoři se dívají nejprve na diagram. Pokud neexistuje nebo je dva roky zastaralý, ověření každého dalšího opatření je obtížnější. Berte diagram jako živý dokument, ne jako jednorázový soubor ve Visiu. Ve vyšším režimu je dokumentace topologie v Česku přímo povinná (vyhláška č. 409/2025 Sb., § 18 písm. i)).