Bezpečnost personálu podle NIS 2 podle čl. 21 odst. 2 písm. i)
Lidé jsou součástí bezpečnostní hranice. Čl. 21 odst. 2 písm. i) NIS 2 jmenuje bezpečnost personálu, řízení přístupu a správu aktiv jedním dechem. Bod 10 přílohy CIR (EU) 2024/2690 rozepisuje čtyři personální části. V Česku jde o opatření „bezpečnost lidských zdrojů“ podle § 14 zákona č. 264/2025 Sb., rozepsané ve vyhláškách č. 410/2025 Sb. (§ 5) a č. 409/2025 Sb. (§ 10).
Stručná verze
Většina narušení začíná u člověka. Čl. 21 odst. 2 písm. i) staví bezpečnost personálu na seznam deseti kybernetických povinností. Text spojuje tři věci dohromady: bezpečnost personálu, řízení přístupu a správu aktiv. Jsou propojeny, protože role rozhoduje o tom, jaký přístup člověk potřebuje a kterých aktiv se může dotknout.
Bod 10 přílohy CIR (EU) 2024/2690 bere personální polovinu a rozděluje ji do čtyř částí. Ujistěte se, že lidé rozumějí své roli (bod 10.1). Prověřujte spolehlivost tam, kde to dává smysl (bod 10.2). Řešte odchody a změny rolí čistě (bod 10.3). Mějte disciplinární postup pro porušení (bod 10.4). Ne měkké HR. Provozní bezpečnost.
V Česku zákon č. 264/2025 Sb. uvádí „bezpečnost lidských zdrojů“, „řízení přístupu“ a „řízení aktiv“ jako samostatná opatření (§ 14 odst. 1 písm. a) body 5, 8 a 11, odst. 2 písm. c), e) a g)). Personální stránku rozepisuje vyhláška č. 410/2025 Sb. v § 5 (nižší režim) a vyhláška č. 409/2025 Sb. v § 10 (vyšší režim). Tato stránka prochází v tomto pořadí směrnici, navazující nařízení EU a české provedení.
Čl. 21 odst. 2 písm. i) směrnice NIS 2 (2022/2555)
Bezpečnost lidských zdrojů, postupy kontroly přístupu a správa aktiv.
Bod i) na seznamu deseti kybernetických opatření, která musí každý základní a důležitý subjekt zavést. Tři povinnosti vtěsnané do jednoho odstavce, protože fungují jen společně.
CIR (EU) 2024/2690, příloha, bod 10
Bezpečnost lidských zdrojů (čl. 21 odst. 2 písm. i) směrnice (EU) 2022/2555).
Bod 10 přílohy CIR rozděluje personální polovinu do čtyř pododdílů. Bod 10.1 role a nábor, bod 10.2 prověrky spolehlivosti, bod 10.3 ukončení a změny rolí, bod 10.4 disciplinární postup. Přímo závazné právo EU pro poskytovatele DNS, poskytovatele cloudu a datových center, MSP, poskytovatele služeb vytvářejících důvěru a další druhy subjektů uvedené v jeho čl. 1. V Česku se podle něj tito poskytovatelé u těchto služeb řídí na základě § 18 odst. 1 zákona č. 264/2025 Sb. a § 13 odst. 2 zákona se na ně nepoužije.
Vyhláška č. 410/2025 Sb., § 5 odst. 1 (Česko, nižší režim)
Povinná osoba v rámci bezpečnosti lidských zdrojů a) stanoví politiku bezpečného chování uživatelů, v jejímž rámci zohledňuje relevantní témata uvedená v příloze č. 3 k této vyhlášce, b) stanoví pravidla rozvoje bezpečnostního povědomí vrcholného vedení, uživatelů, administrátorů a osoby pověřené kybernetickou bezpečností, včetně pravidel pro tvorbu hesel, c) zajistí kontrolu dodržování bezpečnostní politiky ze strany uživatelů, administrátorů a osoby pověřené kybernetickou bezpečností a d) stanoví pravidla a postupy pro řešení případů porušení bezpečnostní politiky.
Česká vyhláška žádá politiku bezpečného chování uživatelů, rozvoj povědomí, kontrolu dodržování politiky a postup pro případy jejího porušení. Prověrky spolehlivosti nepožaduje žádná z obou vyhlášek. Ve vyšším režimu § 10 vyhlášky č. 409/2025 Sb. přidává plán rozvoje bezpečnostního povědomí, hodnocení jeho účinnosti a plynulost činností při odchodu administrátorů a osob v bezpečnostních rolích (odst. 4 písm. f)); mlčenlivost relevantních osob zajišťuje vrcholné vedení (§ 4 odst. 1 písm. m)).
Role, povědomí a nábor
Ujistěte se, že lidé vědí, jaké jsou jejich kybernetické odpovědnosti. Personál obecně, uživatelé s administrátorským nebo privilegovaným přístupem a zejména statutární orgán. Najímejte cíleně na role relevantní pro kybernetickou bezpečnost: kontrola referencí, ověření kvalifikací, písemné testy tam, kde je to vhodné.
Prověrky spolehlivosti tam, kde je to vhodné
Prověrky personálu a v příslušných případech přímých dodavatelů a poskytovatelů služeb „v proveditelném rozsahu“, pokud to vyžadují jejich úkoly, povinnosti a oprávnění. Sepište, které role mohou zastávat pouze lidé, jejichž spolehlivost byla ověřena. Závisí to na roli, není to univerzální. Typickými kandidáty jsou role s administrátorským a privilegovaným přístupem.
Ukončení, změna role a disciplína
Když někdo odchází nebo mění roli, bezpečnostní povinnosti, které přetrvávají po skončení zaměstnání, musí být písemně zakotveny ve smlouvě a skutečně vymáhány. Doložky o mlčenlivosti trvají i po skončení zaměstnání. A musí existovat disciplinární postup pro porušení bezpečnostních zásad.
Prověrky spolehlivosti závisí na roli, nejsou univerzální
Bod 10.2 přílohy CIR žádá prověrky jen „v proveditelném rozsahu“ a pouze u rolí, jejichž úkoly, povinnosti a oprávnění to vyžadují. Neprověřujete každou pokladní. Prověřujete osobu, která drží doménového administrátora. Kritéria pro to, které role potřebují prověrku spolehlivosti, patří písemně, ještě před náborem, ne až poté.
Mlčenlivost přetrvává pracovní poměr
Bod 10.3 přílohy CIR chce, aby bezpečnostní povinnosti, které musí platit po odchodu člověka, byly smluvně zakotveny. Mlčenlivost je ta zjevná. Nezveřejňování detailů incidentů, dat zákazníků, architektury systémů. Doložka jde do smlouvy první den, nikoli v poslední den odcházejícího.
NÚKIB / vyhlášky č. 410/2025 Sb. a č. 409/2025 Sb.
Odchody a změny rolí: obě vyhlášky žádají bezodkladné odebrání nebo změnu přístupových práv při změně pozice a deaktivaci účtu při ukončení smluvního vztahu (410 § 7 odst. 1 písm. e) a f); 409 § 13 odst. 2 písm. i) a j)). Obě žádají pravidla a postupy pro případy porušení bezpečnostní politiky (410 § 5 odst. 1 písm. d); 409 § 10 odst. 4 písm. e)). Prověrky spolehlivosti podle bodu 10.2 přílohy CIR české vyhlášky nevyžadují; pokud je děláte, musí obstát podle pracovního práva a GDPR. Německá metodika IT-Grundschutz (modul ORP.2) může posloužit jako inspirace.
Technické prováděcí pokyny ENISA
TIG od ENISA pro CIR (EU) 2024/2690 mapuje bod 10 přílohy na kontroly přílohy A ISO/IEC 27001:2022 A.6.1 až A.6.6 (prověřování, podmínky zaměstnání, povědomí, disciplinární proces, ukončení, mlčenlivost). Pokud již provozujete ISO 27001, většina bodu 10 je zavedena. TIG jmenuje důkazy, které auditoři očekávají.
Vnitrostátní transpoziční zákony
Každý členský stát má vlastní transpozici (Nizozemsko: Cyberbeveiligingswet, Rakousko: NISG, Belgie: NIS2-Wet). Povinnost podle čl. 21 odst. 2 písm. i) je stejná. Co se místně liší: omezení, která pracovní právo a ochrana osobních údajů kladou na prověřování zaměstnanců.
Neděláme prověrky. Ochrana osobních údajů to zakazuje.
Příliš široké. Bod 10.2 přílohy CIR žádá prověrky spolehlivosti jen „v proveditelném rozsahu“ a jen u rolí, jejichž úkoly, povinnosti a oprávnění to vyžadují. U uživatelů s administrátorským nebo privilegovaným přístupem je zdokumentovaná prověrka spolehlivosti podle GDPR obvykle v pořádku, pokud máte jasný právní základ a vymezený rozsah. Úkolem není „neprověřovat nikoho“. Úkolem je „sepsat, které role to vyžadují, a provést to pro tyto role“.
Když někdo odejde, vezmeme mu kartu a zablokujeme účet. Hotovo.
Dobré pro část fyzického a IT přístupu. Nestačí pro bod 10.3. CIR chce povinnosti, které přetrvávají zaměstnání, písemně zakotvené ve smlouvě. Mlčenlivost, nezveřejňování, vrácení aktiv, pokračující ohlašovací povinnosti k incidentům, o kterých osoba ví. Kontrolní seznam odcházejícího bez smluvního ukotvení je polovina práce.
Nemáme disciplinární postup pro narušení IT bezpečnosti.
Ano, máte, jen jste si jej pro IT konkrétně nesepsali. Bod 10.4 přílohy CIR chce disciplinární postup pro porušení bezpečnostních zásad. Nemusí to být samostatný proces. Zapojte jej do svého obecného disciplinárního postupu HR: pojmenujte spouštěč („porušení zásady bezpečnosti informací“), odkažte na zásadu, zdokumentujte eskalační cestu. České vyhlášky žádají totéž: pravidla a postupy pro případy porušení bezpečnostní politiky (410 § 5 odst. 1 písm. d); 409 § 10 odst. 4 písm. e)).
Většina středně velkých firem již dělá polovinu bodu 10 přílohy CIR, aniž by to nazývala NIS 2. HR provádí kontrolu referencí při náboru. Existuje kontrolní seznam odcházejícího. Doložky o mlčenlivosti jsou ve standardní pracovní smlouvě. Školení povědomí probíhá jednou ročně. To pokrývá hlavní část bodu 10.1 a část bodu 10.3.
Mezery v § 10, které vidíme, jsou užší, než si lidé myslí. Zaprvé: smluvní doložky o mlčenlivosti, které výslovně pokrývají povinnosti související s IT a přetrvávají skončení zaměstnání, nejen obecný text NDA. Zadruhé: písemný seznam rolí, kde je prověrka spolehlivosti před náborem povinná, s vypsanými kritérii. Zatřetí: výslovný disciplinární postup pro narušení IT bezpečnosti, i kdyby šlo o jeden odstavec odkazující na obecný postup HR. Uzavřete tyto tři a § 10 je hotov.
- Směrnice (EU) 2022/2555 (NIS 2), čl. 21 odst. 2 písm. i), eur-lex.europa.eu/eli/dir/2022/2555/oj
- Prováděcí nařízení Komise (EU) 2024/2690 (CIR), příloha, bod 10, eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 14: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_14; vyhláška č. 410/2025 Sb. (nižší režim), § 5 a § 7: https://e-sbirka.gov.cz/sb/2025/410/2025-11-01#par_5
- Vyhláška č. 409/2025 Sb. (vyšší režim), § 10 a § 13: https://e-sbirka.gov.cz/sb/2025/409/2025-11-01#par_10
- Technické prováděcí pokyny ENISA pro CIR (EU) 2024/2690 (stav k květnu 2026)
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Řízení přístupu a personální bezpečnost
Sepište politiku zaměstnanců, přístupů a aktiv
Kdo má kam přístup a co se stane, když někdo odejde.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
