čl. 21 NIS 2 · §§ 13 a 14 zákona č. 264/2025 Sb.

Požadavky NIS2: co musí vaše firma zavést

NIS2 požaduje bezpečnostní opatření v deseti oblastech, hlášení kybernetických bezpečnostních incidentů a ohlášení služby NÚKIB. Vedení absolvuje školení, zajišťuje zdroje a seznamuje se se stavem opatření. Jak daleko každé opatření sahá, závisí na velikosti a riziku vaší firmy a na režimu povinností.

Vyzkoušet 30 dní, peníze zpět

Domluvit hovor

Rozhoduje někdo jiný? Jedna stránka pro vaše vedení Bezplatné školení pro vašeho jednatele

Cory Hisey·Průběžně kontrolováno

Programy a členství

Požadavky v kostce

NIS 2 je směrnice EU. V Česku ji do práva převádí zákon č. 264/2025 Sb., o kybernetické bezpečnosti. Dotčené firmy se tam nazývají „poskytovatelé regulované služby“ a jsou v režimu vyšších, nebo nižších povinností.

Bezpečnostní opatření v deseti oblastech

Minimální seznam je níže, každá oblast s příkladem.

čl. 21 NIS 2 · § 13 a 14 zákona č. 264/2025 Sb.

Více k tomu

Hlásit významné incidenty

Až ve třech stupních přes Portál NÚKIB, první do 24 hodin.

čl. 23 NIS 2 · § 15 a 16 zákona č. 264/2025 Sb.

Více k tomu

Ohlásit službu NÚKIB

Jednou, přes Portál NÚKIB, do 60 dnů od splnění podmínek. Změny údajů nahlásíte do 14 dnů.

čl. 3 odst. 4 NIS 2 · § 6 a 11 zákona č. 264/2025 Sb.

Více k tomu

Vedení

Prokazatelně absolvuje školení, zajišťuje zdroje a prokazatelně se seznamuje se stavem opatření. Směrnice navíc vyžaduje, aby vedení opatření schválilo.

čl. 20 NIS 2 · § 4 vyhlášek č. 409/2025 a 410/2025 Sb.

Více k tomu

Deset opatření jednoduchými slovy

Čl. 21 odst. 2 NIS 2 uvádí deset oblastí; v Česku je § 14 zákona č. 264/2025 Sb. převádí do seznamu opatření pro oba režimy. To je minimální seznam. Pro každou oblast potřebujete opatření, která odpovídají vaší firmě.

1

Analýza rizik a bezpečnostní koncepce

Sepíšete, jaké IT váš provoz potřebuje a co se s ním může pokazit. Z toho vyplývá bezpečnostní politika: jak vaše firma řídí bezpečnost informací.

Například: Seznam vašich systémů s hodnocením každého rizika a politika na pár stran.

čl. 21 odst. 2 písm. a) · § 14 odst. 1 písm. a) body 4 a 6, odst. 2 písm. d)

2

Zvládání incidentů

Určíte, jak incident odhalíte, omezíte a odstraníte, a kdo rozhoduje.

Například: Plán pro incidenty s telefonními čísly a jasnými odpovědnostmi.

čl. 21 odst. 2 písm. b) · § 14 odst. 1 písm. a) bod 12, písm. b) body 5 až 7, odst. 2 písm. i) a j)

3

Zachování provozu

Zálohování, obnova po mimořádné události a krizové řízení.

Například: Záloha, jejíž obnovu jste vyzkoušeli.

čl. 21 odst. 2 písm. c) · § 14 odst. 1 písm. a) bod 13, písm. b) bod 10, odst. 2 písm. f)

4

Bezpečnost dodavatelského řetězce

Zohledníte zranitelnosti každého přímého dodavatele a kvalitu jeho produktů a bezpečnostní praxe (čl. 21 odst. 3 NIS 2). Zavádíte-li opatření přes dodavatele, patří jeho požadavky do smlouvy (§ 13 odst. 5 zákona č. 264/2025 Sb.).

Například: Ve smlouvě s vaším poskytovatelem IT služeb stojí, že vám hlásí incidenty.

čl. 21 odst. 2 písm. d) · § 13 odst. 5, § 14 odst. 1 písm. a) bod 7

5

Bezpečnost při nákupu, vývoji a údržbě

Bezpečnost platí už při nákupu IT, při vlastním vývoji a při údržbě. Patří k tomu i odstraňování zranitelností a otevřené zacházení s nimi, například s adresou, na kterou vám ostatní mohou nahlásit zranitelnosti, které najdou.

Například: Bezpečnostní aktualizace se instalují automaticky.

čl. 21 odst. 2 písm. e) · § 14 odst. 1 písm. a) bod 10, písm. b) bod 8, odst. 2 písm. l)

6

Hodnocení účinnosti

Určíte, jak ověříte, zda opatření fungují. V nižším režimu alespoň jednou ročně aktualizujete přehled bezpečnostních opatření s vyhodnocením účinnosti; audit kybernetické bezpečnosti alespoň jednou za 2 roky žádá jen vyhláška pro vyšší režim (vyhláška č. 410/2025 Sb., § 3 odst. 2; č. 409/2025 Sb., § 16).

Například: Jednou ročně vedení projde, co fungovalo a co ne.

čl. 21 odst. 2 písm. f) · § 14 odst. 1 písm. a) body 1 a 14, odst. 2 písm. a)

7

Základní školení a povědomí o bezpečnosti

Všichni zaměstnanci se naučí základy: poznat podezřelé e-maily, volit dobrá hesla, hlásit incidenty.

Například: Krátké školení při nástupu a jednou ročně opakování.

čl. 21 odst. 2 písm. g) · § 14 odst. 1 písm. a) bod 8, odst. 2 písm. e)

8

Kryptografie

Určíte, kde a jak šifrujete.

Například: Notebooky se šifrovaným diskem a e-mail jen přes šifrovaná spojení.

čl. 21 odst. 2 písm. h) · § 14 odst. 1 písm. b) bod 9, odst. 2 písm. m)

9

Personál, přístupy a správa IT

Kdo smí co? Jak noví lidé dostanou své přístupy a jak o ně odcházející přijdou? Patří sem i přehled vašeho IT.

Například: Poslední pracovní den se zablokují všechny přístupy.

čl. 21 odst. 2 písm. i) · § 14 odst. 1 písm. a) body 5, 8 a 11, písm. b) bod 4, odst. 2 písm. c), e), g) a h)

10

Druhý faktor a bezpečná komunikace

Přihlášení s druhým faktorem vedle hesla, nebo s průběžnou kontrolou, že stále pracuje tatáž osoba. K tomu zabezpečená hlasová, video a textová komunikace a zabezpečená nouzová komunikace v rámci organizace (vyhláška č. 410/2025 Sb., § 13 odst. 2; č. 409/2025 Sb., § 25 odst. 2).

Například: Kód z aplikace při přihlášení k e-mailu a ke vzdálenému přístupu.

čl. 21 odst. 2 písm. j) · § 14 odst. 1 písm. b) body 2 a 3, odst. 2 písm. h) a k)

Kolik stačí?

Zákon požaduje zavádět opatření „v míře nezbytné pro zajištění kybernetické bezpečnosti regulované služby“ (§ 13 odst. 2 zákona č. 264/2025 Sb.); v nižším režimu opatření „přiměřená bezpečnostním potřebám“ (vyhláška č. 410/2025 Sb., § 3 odst. 1). Směrnice k tomu jmenuje míru rizika, velikost, náklady, pravděpodobnost a závažnost incidentů a jejich dopady na ostatní (čl. 21 odst. 1 NIS 2); český zákon náklady nezmiňuje.

Co zavádíte, zdokumentujete: bezpečnostní politiku a dokumentaci k opatřením, v nižším režimu i přehled bezpečnostních opatření (vyhláška č. 410/2025 Sb., § 3; č. 409/2025 Sb., § 6). Certifikát jako ISO 27001 zákon nevyžaduje. Jako doklad vám ale může pomoci; podle NÚKIB nemůže být jediným podkladem kontroly.

Co přesně znamená „přiměřené“

Příklad

Smyšlená firma: výrobce pečiva se 120 zaměstnanci, který zásobuje obchody. Průmyslová výroba potravin je v příloze vyhlášky č. 408/2025 Sb. a střední podnik je v ní zařazen do režimu nižších povinností. Takto vypadá její odpověď na tři z deseti oblastí:

Dodavatelský řetězec: firma vede seznam svých poskytovatelů služeb, například pro řízení zásob, sledování chlazení a IT. Ve smlouvě s poskytovatelem IT stojí, že hlásí incidenty.

Druhý faktor: pro e-mail a vzdálený přístup potřebují všichni kód z aplikace.

Zachování provozu: receptury a výrobní plány se zálohují denně. Jednou ročně IT vyzkouší obnovu.

Jak to probíhá v průvodci

V průvodci na nisd2.eu se z každé z deseti oblastí stane alespoň jeden krok, který vyplníte.

U každého kroku je předpis, vysvětlený jednoduchými slovy.

Kde je potřeba dokument, vznikne z vašich odpovědí: bezpečnostní politika, plán reakce na incidenty, plán kontinuity provozu, politika kryptografie, politika pro personál, přístupy a IT a pravidla pro nákup, údržbu a zranitelnosti.

Kde stačí seznam, vedete seznam: vaše IT, vaši dodavatelé, vaše zálohy, vaše školení.

Pokud se rozhodnete některý bod vědomě nezavést, zapíšete proč. Vedení toto rozhodnutí podepíše také.

Na konci vedení schválí dokumenty v aplikaci pod vlastním účtem. Jméno a datum se pak objeví na každém dokumentu.

Pustit se v průvodci do první oblasti

Hlášení významných incidentů

Kybernetický bezpečnostní incident hlásíte přes Portál NÚKIB až ve třech stupních (§ 15 a 16 zákona č. 264/2025 Sb., čl. 23 NIS 2). Ve vyšším režimu hlásíte NÚKIB každý incident ve stanoveném rozsahu, který má původ v kybernetickém prostoru a u něhož nelze vyloučit úmyslné zavinění; v nižším režimu hlásíte Národnímu CERT jen ty z nich, které mají navíc významný dopad na poskytování služby. Lhůty pro prvotní hlášení a oznámení běží od zjištění incidentu, lhůta pro závěrečnou zprávu od oznámení.

24 hodin

Prvotní hlášení

Vaše identifikační údaje, základní údaje o incidentu a zda se domníváte, že ho způsobil nezákonný zásah, nebo že by mohl mít přeshraniční dopad (§ 16 odst. 1).

72 hodin

Oznámení incidentu

Jen u incidentu s významným dopadem: aktualizace prvotního hlášení, prvotní posouzení incidentu, jeho dopad a indikátory kompromitace, pokud jsou k dispozici (§ 16 odst. 3 písm. a)).

30 dnů

Závěrečná zpráva

Nejpozději do 30 dnů od oznámení: závěrečná zpráva o vyřešení incidentu. Pokud incident stále trvá, podáte průběžnou zprávu a závěrečnou zprávu do 30 dnů od jeho vyřešení (§ 16 odst. 3 písm. c)).

Oznamovací povinnost podrobně

Kdo kontroluje a kdy?

Subjekty kritické infrastruktury

Jejich služba je vždy v režimu vyšších povinností (§ 5 písm. d) a § 8 odst. 3 zákona č. 264/2025 Sb.). Audit kybernetické bezpečnosti provádějí při významných změnách a alespoň jednou za 2 roky, a to auditorem, který hodnotí nezávisle (vyhláška č. 409/2025 Sb., § 16 odst. 4 a 6). Při detekci a vyhodnocování kybernetických bezpečnostních událostí používají nástroje podle vyhlášky (§ 14 odst. 2).

Režim vyšších povinností

Audit kybernetické bezpečnosti při významných změnách a alespoň jednou za 2 roky; nelze-li to v odůvodněných případech, po systematických celcích tak, aby byl celý rozsah pokryt alespoň jednou za 5 let (vyhláška č. 409/2025 Sb., § 16 odst. 4 a 5). Výsledky auditu promítáte do řízení rizik a vrcholné vedení se s nimi prokazatelně seznamuje (§ 16 odst. 3, § 4 odst. 2). NÚKIB může plnění kontrolovat (§ 55 zákona č. 264/2025 Sb.).

Režim nižších povinností

Pevný cyklus auditů vyhláška nestanoví. Alespoň jednou ročně aktualizujete přehled bezpečnostních opatření s vyhodnocením účinnosti a každou verzi uchováváte alespoň 4 roky (vyhláška č. 410/2025 Sb., § 3 odst. 2). NÚKIB může plnění kontrolovat i v tomto režimu (§ 55 zákona č. 264/2025 Sb.).

Co může sloužit jako doklad

Interní nebo externí zprávy z auditů
Certifikace, například ISO 27001
Vaše dokumentace: hodnocení rizik, zavedená opatření a kontrola jejich účinnosti

Certifikát podle ISO 27001 pomáhá, ale český zákon automaticky nepokrývá. NÚKIB uvádí, že samotný certifikát nemůže být jediným podkladem kontroly; vyhláška může jít nad rámec certifikace.

Dodavatelé

Pro dodavatelský řetězec to konkrétně znamená:

Zohledníte zranitelnosti každého přímého dodavatele a kvalitu jeho produktů a bezpečnostní praxe, včetně jeho vývoje (čl. 21 odst. 3 NIS 2; v nižším režimu vyhláška č. 410/2025 Sb., § 3 odst. 5).
Zavádíte-li opatření prostřednictvím dodavatele, zahrnete jeho požadavky do smlouvy (§ 13 odst. 5 zákona č. 264/2025 Sb.). Která ujednání smlouva obsahuje, uvádí příloha č. 2 vyhlášky č. 410/2025 Sb.; ve vyšším režimu pro významné dodavatele příloha č. 5 vyhlášky č. 409/2025 Sb.
Jen pro digitální poskytovatele, na které se vztahuje prováděcí nařízení (EU) 2024/2690: v plánovaných intervalech sledují změny v bezpečnostní praxi svých dodavatelů (bod 5.1.6 přílohy).

Zdroje

Směrnice (EU) 2022/2555 (NIS 2), čl. 3, 20, 21 a 23 (eur-lex.europa.eu)
Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 5, 6, 8, 11, 13 až 16 a 55: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01
Vyhláška č. 408/2025 Sb., o regulovaných službách, příloha, služba 8.1 Průmyslová výroba potravin: https://e-sbirka.gov.cz/sb/2025/408/2025-11-01
Prováděcí nařízení (EU) 2024/2690, čl. 3 a bod 5.1.6 přílohy
Vyhlášky č. 409/2025 Sb. a č. 410/2025 Sb. o bezpečnostních opatřeních: https://e-sbirka.gov.cz/sb/2025/409/2025-11-01 a https://e-sbirka.gov.cz/sb/2025/410/2025-11-01; NÚKIB, Často kladené otázky (ISO 27001): https://portal.nukib.gov.cz/informacni-servis/faq

V praxi

Kde se to objevuje v průvodci

Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.

Řízení rizik
Sepište, co vaše firma má
Seznam procesů, programů a zařízení, se kterými pracujete.
Řešení incidentů
Naplánujte, co se stane při incidentu
Kdo rozhoduje, komu voláte, jak se spojíte.
Posouzení účinnosti
Zapište přezkoumání vedením
Vedení kontroluje, zda opatření fungují, a schvaluje vaše dokumenty.