Řízení rizik podle NIS 2 podle článku 21 odst. 2 písm. a)
NIS 2 říká, že musíte řídit kybernetické riziko strukturovaným způsobem. Povinnost je zakotvena v článku 21 odst. 2 písm. a), bod 2 přílohy CIR (EU) 2024/2690 rozepisuje konkrétní detaily a váš národní regulátor (v Česku NÚKIB) je ten, komu se zodpovídáte.
Stručně
Řízení rizik stojí na prvním místě seznamu deseti kybernetických povinností v článku 21 odst. 2. Pokud se na vás NIS 2 vztahuje, musíte odhalit rizika pro vaše systémy, posoudit, jak závažná mohou být, a něco s nimi udělat. Stejné pravidlo platí v celé EU.
CIR (EU) 2024/2690 doplňuje detail. Bod 2 přílohy říká, že váš rámec řízení rizik potřebuje tři části. Jeden si zaveďte. Ověřte, že ho lidé skutečně používají. Nechte ho nezávisle přezkoumat. To je minimum. Pokud provozujete DNS, cloud, datové centrum, MSP, služby vytvářející důvěru nebo jinou službu některého z druhů subjektů uvedených v čl. 1 CIR, váže vás to přímo.
V Česku řízení rizik ukládá zákon č. 264/2025 Sb. v obou režimech (§ 14 odst. 1 písm. a) bod 6, odst. 2 písm. d)). Ve vyšším režimu ho rozepisuje § 8 vyhlášky č. 409/2025 Sb. Vyhláška č. 410/2025 Sb. pro nižší režim samostatný oddíl o řízení rizik nemá; podle manuálu NÚKIB pro režim nižších povinností (verze 1.1) tomuto účelu slouží přehled bezpečnostních opatření podle § 3 odst. 2. Tato stránka prochází směrnici, navazující prováděcí nařízení EU a české provedení v tomto pořadí.
Článek 21 odst. 2 písm. a) směrnice NIS 2 (2022/2555)
Politiku analýzy rizik a politiku bezpečnosti informačních systémů.
Toto je bod a) na seznamu deseti opatření kybernetické bezpečnosti, která musí zavést každý základní a důležitý subjekt.
CIR (EU) 2024/2690, příloha, bod 2
Pro účely čl. 21 odst. 2 písm. a) směrnice (EU) 2022/2555 příslušné subjekty zřídí a spravují vhodný rámec řízení rizik, aby identifikovaly a řešily rizika pro bezpečnost sítí a informačních systémů.
Protože jde o nařízení (nikoli o směrnici), je přímo závazným právem EU. Není potřeba žádná národní transpozice. Vztahuje se na poskytovatele DNS, registry TLD, poskytovatele cloudu, datová centra, poskytovatele řízených služeb a další druhy subjektů uvedené v jeho čl. 1. V Česku se podle něj tito poskytovatelé u těchto služeb řídí na základě § 18 odst. 1 zákona č. 264/2025 Sb. a § 13 odst. 2 zákona se na ně nepoužije.
§ 13 odst. 2 zákona č. 264/2025 Sb. (Česko)
Poskytovatel regulované služby je povinen v rámci stanoveného rozsahu zavádět a provádět bezpečnostní opatření podle § 14 v míře nezbytné pro zajištění kybernetické bezpečnosti regulované služby.
Řízení rizik je v seznamu § 14 opatřením pro oba režimy. Ve vyšším režimu § 8 vyhlášky č. 409/2025 Sb. žádá metodiku s kritérii akceptovatelnosti rizik, hodnocení rizik alespoň jednou ročně a při významných změnách, zprávu o hodnocení rizik, prohlášení o aplikovatelnosti a plán zvládání rizik. Stanovený rozsah, tedy aktiva, kterých se opatření týkají, určujete podle § 12 zákona.
Zaveďte rámec řízení rizik
Sepište, jak odhalujete rizika, jak je hodnotíte, co s nimi děláte a se kterými riziky jste ochotni žít. Pokryjte každý systém, na kterém vašemu podniku záleží. Kdokoli rozhoduje o tom, jaká rizika přijímáte, to musí jmenovitě podepsat.
Ověřte, že to lidé skutečně dodržují
V pravidelném rytmu kontrolujte, zda váš tým dělá to, co rámec říká. Pokud ne, zapište mezeru a napravte ji. Rámec, který nikdo nedodržuje, není rámec.
Nechte na něj nezávisle pohlédnout
Čas od času by se na rámec měl podívat někdo, kdo ho neprovozuje. Nezávislý znamená strukturálně oddělený, nikoli nutně externí. Může to udělat váš interní auditní tým. Může to udělat najatý konzultant. Jde o čerstvý pohled.
Přístup zohledňující všechna nebezpečí (článek 21 odst. 2)
Kybernetické útoky nejsou jediné, co je na seznamu. Požár, povodeň, výpadek proudu, odchod klíčového člověka, krach dodavatele, to vše se počítá. Pokud váš registr rizik obsahuje jen malware a phishing, standard jste nesplnili.
Přiměřenost (článek 21 odst. 1 druhý pododstavec)
Co děláte, přizpůsobujete riziku, kterému skutečně čelíte. Text žádá opatření „vhodná a přiměřená“, která zajistí úroveň bezpečnosti „odpovídající existující míře rizika“. Do rozhodnutí vstupuje šest věcí: jak jste exponovaní, jak jste velcí, jak je incident pravděpodobný, jak by byl závažný (včetně širšího hospodářského a společenského dopadu), stav techniky a kolik stojí zavedení. Český zákon ukládá opatření „v míře nezbytné“ (§ 13 odst. 2 zákona č. 264/2025 Sb.) a o nákladech nemluví; náklady jako hledisko uvádí čl. 21 odst. 1 NIS 2. Šedesátičlenná městská vodárna nemusí utrácet jako banka.
NÚKIB / § 14 zákona č. 264/2025 Sb.
Zákon č. 264/2025 Sb. vyjmenovává v § 14 opatření zvlášť pro každý režim: 25 pro režim vyšších povinností (14 organizačních a 11 technických) a 13 pro režim nižších povinností. Podrobnosti stanoví vyhláška č. 409/2025 Sb. (vyšší režim) a č. 410/2025 Sb. (nižší režim). Ve vyšším režimu povinná osoba „nemusí uplatňovat některá bezpečnostní opatření stanovená touto vyhláškou pouze na základě provedeného řízení rizik“ (409 § 8 odst. 4); neaplikovaná opatření s odůvodněním uvádí v prohlášení o aplikovatelnosti (§ 8 odst. 1 písm. f)). V nižším režimu se nezavedená opatření uvádějí s odůvodněním v přehledu bezpečnostních opatření (410 § 3 odst. 2 písm. a) bod 3).
Technické prováděcí pokyny ENISA
ENISA, agentura EU pro kybernetickou bezpečnost, vydává Technické prováděcí pokyny (TIG), které berou abstraktní text CIR a ukazují, co dělat v praxi. Mapují také požadavky na zavedené standardy jako ISO/IEC 27001:2022 a NIST CSF 2.0, takže stávající certifikace vám dají náskok.
Národní transpoziční zákony
Každý členský stát má vlastní transpoziční zákon (Nizozemsko: Cyberbeveiligingswet, Rakousko: NISG, Belgie: NIS2-Wet). Základ povinností je všude stejný, státy ale mohou jít dál (čl. 5 NIS 2), jako Česko s podrobnými vyhláškami pro dva režimy. Co se liší: lhůty, kanály pro hlášení, se kterým úřadem mluvíte.
Máme kybernetické pojištění, takže jsme krytí.
Pojištění je přenesení rizika. Vyhláška č. 409/2025 Sb. ho pro vyšší režim uvádí mezi metodami zvládání rizik (příloha č. 4 odst. 6 písm. e)), ale u rizika nad hranicí akceptovatelnosti „je třeba implementovat vhodná bezpečnostní opatření, snížit hodnotu rizika nebo eliminovat riziko“ (tamtéž). Kritéria akceptovatelnosti stanovíte předem (§ 8 odst. 1 písm. a)). Pojištění je tedy něco, co přidáváte navrch k ošetření rizik, nikoli náhrada. Také nemůžete prostě „přijmout“ každé riziko, kterým se nechcete zabývat. Tento argument audit nepřežije.
Analýzu rizik zvládneme bez soupisu našich aktiv.
Nezvládnete. Bod 2.1 přílohy CIR nefunguje bez písemného soupisu toho, co skutečně máte. Aplikace, systémy, lokality, data, dodavatelé. V Česku to žádá přímo zákon: určit všechna primární aktiva, k těm souvisejícím se službou určit podpůrná aktiva a aktiva ve stanoveném rozsahu evidovat (§ 12 zákona č. 264/2025 Sb.). Německá metodika IT-Grundschutz umožňuje sdružit identická aktiva dohromady (45 kancelářských notebooků jako jedna položka s počtem), takže soupis nemusí být obrovský. Musí ale existovat.
O tom, co přijmeme, rozhodujeme případ od případu.
Auditor potřebuje vidět kritéria, která jste stanovili před incidentem, nikoli po něm. Rozhodněte předem: při jakém prahu riziko přijmete, při jakém prahu ho napravíte, při jakém prahu ho přenesete (např. pojištěním). Tato kritéria patří do rámce, nikoli do dodatečného e-mailu.
Článek 21 odst. 1 vám dává prostor díky doložce o přiměřenosti: co děláte, musí odpovídat vaší velikosti, vaší expozici riziku a tomu, kolik to stojí. Sama směrnice neočekává, že budete dělat vše v maximální hloubce hned první den.
Co vidíme u středně velkých firem: nejdřív gap assessment, pak dvanáct až patnáct nejnaléhavějších opatření během prvního roku, pak zbytek rozložený na další rok nebo dva. To podle článku 21 odst. 1 obstojí, dokud je fázování sepsané, odůvodněné vaším obrazem rizik a doložitelně předložené vedení. Neobstojí, pokud je fázování nezdokumentované nebo pokud jste vynechali nejvyšší rizika. V Česku začíná povinnost zavádět opatření nejpozději do 1 roku od doručení rozhodnutí o registraci (§ 13 odst. 4 zákona č. 264/2025 Sb.); v nižším režimu zapisujete plánovaná opatření s termínem, prioritou a odpovědnou osobou do přehledu bezpečnostních opatření (vyhláška č. 410/2025 Sb., § 3 odst. 2 písm. a) bod 2) a vedení se se stavem plnění prokazatelně seznamuje (§ 4 písm. d)).
- Směrnice (EU) 2022/2555 (NIS 2), článek 21. eur-lex.europa.eu/eli/dir/2022/2555/oj
- Prováděcí nařízení Komise (EU) 2024/2690 (CIR), příloha, body 1 a 2. eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, §§ 12 až 14: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_12
- Vyhláška č. 409/2025 Sb. (vyšší režim), § 8 a příloha č. 4: https://e-sbirka.gov.cz/sb/2025/409/2025-11-01#par_8; vyhláška č. 410/2025 Sb. (nižší režim), § 3: https://e-sbirka.gov.cz/sb/2025/410/2025-11-01#par_3
- Technické prováděcí pokyny ENISA k CIR (EU) 2024/2690 (k květnu 2026)
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Řízení rizik
Stanovte, jak hodnotíte rizika
Doporučujeme hotovou metodiku hodnocení rizik.
Řízení rizik
Ohodnoťte svá rizika
Umístěte do matice každý program, každé zařízení a každého dodavatele.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
