RACI pro NIS 2 v šedesátičlenné organizaci
Podle čl. 20 NIS 2 je řídicí orgán ze zákona Odpovědný za opatření pro řízení rizik. RACI je nejlevnější způsob, jak zajistit, aby všichni ostatní věděli, co to v praxi znamená.
Proč RACI pro NIS 2
Většina týmů ve středně velkých firmách matici RACI vynechává, protože zní jako konzultantské divadlo. Podle NIS 2 není duchem volitelná. Čl. 20 NIS 2 klade Odpovědnost (Accountability) jmenovitě na řídicí orgán; matice je jen nejlevnější způsob, jak učinit Accountable, Responsible, Consulted a Informed pro tým srozumitelnými.
Šedesátičlenná organizace si nemůže dovolit CISO, DPO, CCO, vedoucího právního oddělení a vedoucího IT jako pět různých lidí. Jedna osoba obvykle pokrývá dvě nebo tři role a řídicí orgán drží ty povinnosti, které právo ukládá přímo vrcholnému vedení. RACI dokumentuje, jak ta konsolidace funguje, aniž by porušovala směrnici.
Matice je nejdůležitější ve dvou okamžicích: když nastoupí nový manažer a ptá se, kdo vlastní kterou povinnost NIS 2, a když NÚKIB při kontrole požaduje důkazy a vy potřebujete ukázat, že to někdo podepsal.
Čl. 20 odst. 1 NIS 2 (odpovědnost řídicího orgánu)
Členské státy zajistí, aby řídící orgány základních a důležitých subjektů schválily opatření k řízení kybernetických bezpečnostních rizik přijatá těmito subjekty za účelem dosažení souladu s článkem 21, dohlížely nad jeho uplatňováním a mohly nést odpovědnost, poruší-li subjekty uvedený článek.
„Schvalovat“ a „dohlížet“ jsou v termínech RACI činnosti Accountable. Řídicí orgán drží A bez ohledu na to, zda deleguje R. Delegování je povoleno, abdikace nikoli. Český zákon schválení vedením výslovně neukládá; vyhlášky žádají, aby se vrcholné vedení se stavem opatření prokazatelně seznamovalo (410 § 4 písm. d); 409 § 4 odst. 2).
Vyhláška č. 410/2025 Sb., § 5 odst. 2 písm. a) (poučení vrcholného vedení)
Povinná osoba v souladu s pravidly rozvoje bezpečnostního povědomí zajistí a) poučení vrcholného vedení o jeho povinnostech a o bezpečnostní politice, zejména v oblasti zajišťování kybernetické bezpečnosti, formou vstupních a pravidelných školení, …
Školení je vlastní povinnost vrcholného vedení, nedelegovatelná: podle § 4 písm. b) vyhlášky č. 410/2025 Sb. ho „absolvuje prokazatelně“, ve vyšším režimu obdobně podle § 4 odst. 1 písm. a) a § 10 odst. 3 písm. a) vyhlášky č. 409/2025 Sb. NÚKIB uznává certifikát svého kurzu pro vrcholné vedení jako doklad o splnění tohoto požadavku. RACI to ukazuje jako Responsible A ZÁROVEŇ Accountable v řádku řídicího orgánu.
Řídicí orgán
Jednatel, představenstvo, statutární ředitel. Ze zákona Accountable za opatření podle čl. 21. Responsible za školení podle čl. 20 (v Česku poučení vrcholného vedení podle vyhlášek), schválení rozpočtu, přijetí rizika nad dohodnutou prahovou hodnotou.
Vedoucí IT nebo CISO
Většina šedesátičlenných firem nemá CISO; vedoucí IT zastává dvojroli. Responsible za technické zavedení opatření, každodenní provoz, technické posouzení dodavatelů. V nižším režimu ho vrcholné vedení může určit jako osobu pověřenou kybernetickou bezpečností (410 § 4 písm. a)). Ve vyšším režimu pozor: manažer kybernetické bezpečnosti nesmí být pověřen rolemi odpovědnými za provoz technických aktiv regulované služby (409 § 5 odst. 1 písm. c)).
Pověřenec pro ochranu osobních údajů (DPO)
Již zaveden pro GDPR. Podle NIS 2 obvykle vlastní stranu oznamování zákazníkům (čl. 23 odst. 2 NIS 2, v Česku § 19 zákona č. 264/2025 Sb.) a překryv s porušením podle čl. 33 GDPR. Často na částečný úvazek nebo externí.
HR
Responsible za školení zaměstnanců (vyhláška č. 410/2025 Sb., § 5; č. 409/2025 Sb., § 10), procesy přístupu při nástupu/přesunu/odchodu, stranu osobních údajů o zaměstnancích v rámci řízení dodavatelů.
Shoda nebo právní oddělení
Často outsourcováno. Responsible za smluvní doložky s dodavateli podle čl. 21 odst. 2 písm. d) (v Česku § 13 odst. 5 zákona č. 264/2025 Sb.), oznámení příjemcům podle čl. 23 odst. 2, korespondenci s NÚKIB.
| Matice RACI | Řídicí orgán | Vedoucí IT nebo CISO | Pověřenec pro ochranu osobních údajů (DPO) | HR | Shoda nebo právní oddělení |
|---|---|---|---|---|---|
| Ohlášení služby NÚKIB podle § 6 odst. 1 zákona č. 264/2025 Sb. | A | R | C | I | C |
| Zásady informační bezpečnosti podle čl. 21 odst. 2 písm. a) | A | R | C | C | C |
| Řešení incidentů podle čl. 21 odst. 2 písm. b) | A | R | C | I | C |
| Kontinuita provozu podle čl. 21 odst. 2 písm. c) | A | R | I | C | I |
| Bezpečnost dodavatelského řetězce podle čl. 21 odst. 2 písm. d) | A | C | C | I | R |
| Poučení vrcholného vedení podle čl. 20 odst. 2 NIS 2 a vyhlášek (410 § 5 odst. 2 písm. a); 409 § 10 odst. 3 písm. a)) | A a R | I | C | C | C |
| Školení povědomí pro všechny zaměstnance podle čl. 21 odst. 2 písm. g) | A | C | C | R | I |
| Hlášení incidentu podle čl. 23 NIS 2 a §§ 15 a 16 zákona č. 264/2025 Sb. | A | R | C | I | C |
| Informování příjemců podle čl. 23 odst. 2 NIS 2 (v Česku § 19 zákona č. 264/2025 Sb.) | A | C | R | I | C |
| Hlášení změn údajů podle § 11 odst. 2 zákona č. 264/2025 Sb. (do 14 dnů) | A | R | I | C | C |
RACI selhává, když týmy zacházejí s A a R jako se stejnou věcí. Podle čl. 20 NIS 2 drží řídicí orgán A ze zákona. Nemůže A delegovat. Může a musí delegovat R, často na vedoucího IT nebo DPO, ale konečná odpovědnost stále zůstává u řídicího orgánu.
Praktický důsledek: když se audit ptá „kdo podepsal toto přijetí rizika?“, odpověď nemůže být „vedoucí IT“. Musí to být člen řídicího orgánu, jmenovitě, s datem. Vedoucí IT vykonává; řídicí orgán podepisuje. České vyhlášky podpis vedení výslovně nežádají; žádají, aby se vedení prokazatelně seznámilo, ve vyšším režimu mimo jiné se zprávou o hodnocení rizik a s plánem zvládání rizik (409 § 4 odst. 2 písm. b) a c)).
Uspořádání s MSP nepřesouvá A na MSP. Čl. 20 zůstává u vašeho řídicího orgánu. Odpovědnost za vykonání může spočívat u MSP, ale pouze uvnitř smlouvy, která definuje, co dělají podle čl. 21 odst. 2 písm. d). V Česku musí taková smlouva obsahovat požadavky bezpečnostních opatření, která MSP pro vás provádí (§ 13 odst. 5 zákona č. 264/2025 Sb.).
Matice RACI dostává šestý sloupec: externí MSP. Sedí jako R v technických řádcích, jako Consulted v řádcích zásad. Sloupec Accountable nikdy neopustí váš řídicí orgán.
- Směrnice (EU) 2022/2555 (NIS 2), čl. 20, čl. 21, čl. 23, www.eur-lex.europa.eu
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, §§ 6, 11, 13, 15, 16 a 19: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_6
- Vyhláška č. 410/2025 Sb. (nižší režim), § 4 a § 5: https://e-sbirka.gov.cz/sb/2025/410/2025-11-01#par_4; vyhláška č. 409/2025 Sb. (vyšší režim), § 4, § 5 a § 10: https://e-sbirka.gov.cz/sb/2025/409/2025-11-01#par_4
- Společné oznamovací šablony skupiny pro spolupráci (přijaté 26. května 2026) k pracovním postupům hlášení
Tato stránka poskytuje strukturovaný návod na základě veřejně dostupných zdrojů (směrnice NIS 2, zákon č. 264/2025 Sb., vyhlášky č. 409/2025 Sb. a č. 410/2025 Sb., šablony skupiny pro spolupráci). Nepředstavuje právní poradenství. Pro konkrétní návrh RACI ve vašem subjektu se obraťte na kvalifikovaného poradce. Stav k 4. červnu 2026, české právní odkazy ověřeny 15. října 2026.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
