Pro vedení

Plán NIS2: sedm kroků k zavedení NIS2, pro vedení

Sedm kroků v pořadí, v jakém přicházejí: ověřit, zda se vás NIS 2 týká, ohlásit službu NÚKIB, proškolit vedení, sepsat, co máte, zapojit dodavatele, zavést opatření a nakonec se jako vedení seznamovat se stavem a dohlížet. U každého kroku je uvedeno, kdo ho dělá a jaké ustanovení ho vyžaduje.

Vyzkoušet 30 dní, peníze zpět

Domluvit hovor

Rozhoduje někdo jiný? Jedna stránka pro vaše vedení Bezplatné školení pro vašeho jednatele

Simon Orzel·Naposledy zkontrolováno 5. října 2026

1lze delegovat

Ověřit, zda se vás NIS 2 týká

Zda poskytujete regulovanou službu a v jakém režimu, závisí na službě podle vyhlášky č. 408/2025 Sb., na počtu zaměstnanců a na obratu a bilanční sumě. Odhad vám dá kalkulačka NÚKIB na portal.nukib.gov.cz/kalkulacka. Rozhodující je rozhodnutí NÚKIB o registraci; svůj režim pak vidíte na Portálu NÚKIB (Chci vyřídit, Přehled podání). V případě pochybností rozhodne právní posouzení konkrétního případu.

Právní základ: §§ 4 až 8 zákona č. 264/2025 Sb. · vyhláška č. 408/2025 Sb. · čl. 2, 3 NIS 2
Kdo: Vedení nebo osoba, kterou pověří

Ke kalkulačce NÚKIB

2lze delegovat

Ohlásit službu NÚKIB

Do 60 dnů ode dne, kdy splníte podmínky, ohlásíte službu NÚKIB přes Portál NÚKIB; jinou cestou je úkon neúčinný (§ 45 odst. 2). Přihlašuje se statutární orgán nebo zástupce, kterého pověří, přes Identitu občana (NIA). NÚKIB pak vydá rozhodnutí o registraci a do 30 dnů od jeho doručení nahlásíte kontaktní a doplňující údaje (§ 11). Máte-li provozovny v dalších zemích EU, ověřte povinnosti i tam.

Právní základ: § 6 odst. 1, § 11 zákona č. 264/2025 Sb. · čl. 3 odst. 4 NIS 2
Kdo: Statutární orgán nebo jím pověřený zástupce (přihlášení přes NIA)

Úřady ve všech zemích EU

Krok v průvodci: ohlášení a registrace u NÚKIB, vysvětlené jednoduchými slovy — V průvodci nisd2.eu: Průvodce vysvětlí ohlášení a registraci jednoduchými slovy a vy zaznamenáte číslo jednací rozhodnutí o registraci a den jeho doručení, od kterého běží lhůty.

3osobně

Proškolit vedení

Vrcholné vedení prokazatelně absolvuje školení: poučení o svých povinnostech a o bezpečnostní politice, formou vstupních a pravidelných školení (vyhláška č. 410/2025 Sb., § 5 odst. 2 písm. a)). Ve vyšším režimu zejména v oblasti řízení bezpečnosti informací, řízení rizik a řízení kontinuity činností (vyhláška č. 409/2025 Sb., § 10 odst. 3 písm. a)). Interval ani minimální délku vyhlášky nestanoví. Firma vede přehledy o školeních a seznamy školených osob. NÚKIB uznává certifikát svého kurzu pro vrcholné vedení jako doklad o splnění požadavků zákona na poučení vrcholného vedení.

Právní základ: vyhláška č. 410/2025 Sb., § 4 písm. b) · č. 409/2025 Sb., § 4 odst. 1 písm. a) · čl. 20 odst. 2 NIS 2
Kdo: Vedení, osobně

Kurz pro vedení

4lze delegovat

Sepsat, co máte, a posoudit rizika

Nejprve stanovený rozsah: určíte svá primární aktiva (zpracovávané informace a poskytované služby), posoudíte, která souvisejí s regulovanou službou, a k nim určíte podpůrná aktiva, tedy software, zařízení, dodavatele a lidi (§ 12 odst. 2). Vyjmutá primární aktiva evidujete i s důvodem (§ 12 odst. 3). Potom u každého aktiva, co se může stát a jak vážné by to bylo. Ve vyšším režimu postupujete podle § 7 a § 8 vyhlášky č. 409/2025 Sb.; v nižším režimu slouží jako souhrn přehled bezpečnostních opatření podle § 3 odst. 2 vyhlášky č. 410/2025 Sb.

Právní základ: § 12 zákona č. 264/2025 Sb. · § 14 odst. 1 písm. a) body 5 a 6, odst. 2 písm. c) a d) · čl. 21 odst. 2 písm. a), i) NIS 2
Kdo: Vedoucí IT, s odbornými útvary

Jak provést analýzu rizik

Matice rizik vzorové firmy: kolik položek leží v každém poli — V průvodci nisd2.eu: Zaškrtnete, co vaše firma používá, a každou položku ohodnotíte na matici rizik podle německého standardu BSI 200-3. Přehled ukáže, co potřebuje ochranu nejdřív.

5lze delegovat

Zapojit dodavatele

Jde o dodavatele, přes které zavádíte nebo provádíte bezpečnostní opatření a kteří pracují ve stanoveném rozsahu, nejen o IT. Vybíráte je podle požadavků opatření a tyto požadavky dáváte do smluv (§ 13 odst. 5 zákona). V nižším režimu smlouvy obsahují relevantní ujednání z přílohy č. 2 vyhlášky č. 410/2025 Sb.; ve vyšším identifikujete významné dodavatele a jejich smlouvy obsahují ujednání z přílohy č. 5 vyhlášky č. 409/2025 Sb. Zaznamenejte, kdo pro vás pracuje, jak moc na kom provoz závisí a co jste s ním dohodli o bezpečnosti.

Právní základ: § 13 odst. 5 zákona č. 264/2025 Sb. · vyhláška č. 410/2025 Sb., § 3 odst. 5 · č. 409/2025 Sb., § 9 · čl. 21 odst. 2 písm. d) NIS 2
Kdo: Nákup nebo vedoucí IT

Dodavatelský řetězec podle NIS2

Závazky dodavatele, jak je zákazník čte ve svém registru dodavatelů — V průvodci nisd2.eu: Koho uvedete jako dodavatele svého softwaru a techniky, ten už je na vašem seznamu dodavatelů. Dodavatelé na nisd2.eu jednou vyplní jednotný bezpečnostní dotazník a vy si jejich odpovědi přečtete ve svém registru dodavatelů.

6lze delegovat

Zavést opatření a zaznamenat je

§ 14 zákona vyjmenovává oblasti opatření: 13 v nižším režimu, 25 ve vyšším, od řízení přístupu přes kontinuitu činností po kryptografické algoritmy. Obsah stanoví vyhláška č. 410/2025 Sb., nebo č. 409/2025 Sb.; zavádíte je v míře nezbytné (§ 13 odst. 2) a nejpozději do 1 roku od doručení rozhodnutí o registraci. Incidenty hlásíte přes Portál NÚKIB: prvotní hlášení do 24 hodin od zjištění, při významném dopadu oznámení do 72 hodin a závěrečnou zprávu do 30 dnů od oznámení (§ 16). Vyšší režim hlásí NÚKIB, nižší jen incidenty s významným dopadem Národnímu CERT (§ 15).

Právní základ: §§ 13 až 16 zákona č. 264/2025 Sb. · vyhlášky č. 409/2025 Sb. a 410/2025 Sb. · čl. 21, 23 NIS 2
Kdo: Vedoucí IT, osoba pověřená kybernetickou bezpečností (nižší režim) nebo manažer kybernetické bezpečnosti (vyšší režim)

Všechny požadavky v přehledu

Co zůstává po schválení: co dělat při incidentu a co se opakuje — V průvodci nisd2.eu: Průvodce s vámi z vašich odpovědí sepíše bezpečnostní politiku a plán zvládání incidentů. Po schválení jedna stránka říká, co dělat při incidentu a co se opakuje.

7osobně

Seznamovat se se stavem opatření a dohlížet

Vrcholné vedení zajistí zdroje a prokazatelně se seznamuje se stavem plnění bezpečnostních opatření v přehledu bezpečnostních opatření (vyhláška č. 410/2025 Sb., § 4 písm. c), d)). Ve vyšším režimu se prokazatelně seznamuje se zprávou o přezkoumání systému řízení bezpečnosti informací, se zprávou o hodnocení rizik, s plánem zvládání rizik a s výsledky analýzy dopadů a auditů (vyhláška č. 409/2025 Sb., § 4 odst. 2). Směrnice EU navíc mluví o schválení opatření vedením (čl. 20 odst. 1 NIS 2). Jak často, stanoví vyhláška jen nepřímo: přehled opatření v nižším režimu aktualizujete nejméně jednou ročně.

Právní základ: vyhláška č. 410/2025 Sb., § 4 písm. c), d) · č. 409/2025 Sb., § 4 · čl. 20 odst. 1 NIS 2
Kdo: Vedení, osobně

Jaké dokumenty NIS2 vyžaduje

Dokumenty z průvodce schválené vedením, každý se jménem a datem — V průvodci nisd2.eu: Na konci vedení dokumenty přečte a schválí je v aplikaci pod vlastním účtem. Jméno a datum se pak objeví na každém dokumentu, takže seznámení vedení je doložené.

Co to znamená pro firmu s 50 až 150 zaměstnanci

Sedm kroků platí pro každého poskytovatele regulované služby. Kolik práce každý dá, závisí na režimu a na tom, co je pro vaši službu v míře nezbytné.

Dva kroky zůstávají osobně na vedení: školení a prokazatelné seznamování se stavem opatření spolu s dohledem. Ostatní obvykle zajistí vedoucí IT, nákup nebo poskytovatel IT služeb; v nižším režimu určí vedení osobu pověřenou kybernetickou bezpečností (vyhláška č. 410/2025 Sb., § 4 písm. a)).

Pevné lhůty: ohlášení do 60 dnů od splnění podmínek, údaje do 30 dnů od doručení rozhodnutí o registraci, opatření a hlášení incidentů nejpozději do 1 roku od doručení rozhodnutí.

§ 6 odst. 1, § 11, § 13 odst. 2 a 4, § 15 odst. 4 zákona č. 264/2025 Sb.

Příklad

Smyšlená firma: výrobce balicích strojů Příklad Stroje s.r.o. se 110 zaměstnanci a jedním jednatelem.

Ověřit: výroba strojů a zařízení (oddíl 28 CZ-NACE) je ve vyhlášce č. 408/2025 Sb. v bodě 7.3. Se 110 zaměstnanci je firma středním podnikem, tedy v režimu nižších povinností.

Ohlásit: jednatel se přihlásí na Portál NÚKIB přes Identitu občana (NIA) a službu ohlásí. Po doručení rozhodnutí o registraci nahlásí do 30 dnů kontaktní a doplňující údaje.

Proškolit: jednatel absolvuje školení pro vrcholné vedení a firma zaznamená datum, obsah a účastníky.

Sepsat: vedoucí IT zapíše, na čem provoz závisí: ERP, konstrukční software, řízení výroby, e-mail. U každé položky posoudí, co se může stát.

Dodavatelé: nákup začne seznamem z účtárny. Poskytovatel IT služeb a dodavatel ERP jsou nahoře.

Opatření: z toho vznikne bezpečnostní politika a plán zvládání incidentů. Plán také říká, kdo incident hlásí Národnímu CERT.

Seznámit se: jednatel dokumenty přečte a podepíše. Jednou ročně s vedoucím IT projde aktualizovaný přehled bezpečnostních opatření, jak to žádá vyhláška č. 410/2025 Sb. (§ 3 odst. 2 písm. b), § 4 písm. d)).

Jak to probíhá v průvodci

Průvodce na nisd2.eu vás zavedením provede v tomto pořadí, krok za krokem.

20 kroků. Subjekty kritické infrastruktury mají o jeden krok víc.

U každého kroku je předpis, vysvětlený jednoduchými slovy.

Co ještě nejde, odložíte stranou a pokračujete dál.

Pokud se rozhodnete některý bod vědomě nezavést, zapíšete proč. Vedení toto rozhodnutí podepíše také.

Na konci vedení schválí dokumenty v aplikaci pod vlastním účtem. Jméno a datum se pak objeví na každém dokumentu.

Začít prvním krokem

Časté otázky

Co patří do plánu NIS2?

Sedm kroků: ověřit, zda se vás NIS 2 týká, ohlásit službu NÚKIB, proškolit vedení, sepsat, co máte, a posoudit rizika, zapojit dodavatele, zavést opatření a zaznamenat je, seznamovat se se stavem a dohlížet.

Které kroky musí vedení udělat samo?

Školení a seznamování se stavem bezpečnostních opatření (vyhláška č. 410/2025 Sb., § 4 písm. b) a d); č. 409/2025 Sb., § 4). Zbytek práce může vedení předat, povinnosti vrcholného vedení podle vyhlášky ale zůstávají na něm.

Jaké jsou lhůty?

Ohlášení služby do 60 dnů od splnění podmínek (§ 6 odst. 1 zákona č. 264/2025 Sb.), údaje do 30 dnů od doručení rozhodnutí o registraci (§ 11). Opatření a hlášení incidentů nejpozději do 1 roku od doručení rozhodnutí (§ 13 odst. 4, § 15 odst. 4). Incident pak hlásíte do 24 hodin, při významném dopadu oznámení do 72 hodin a závěrečnou zprávu do 30 dnů od oznámení (§ 16).

Potřebujeme certifikaci, například ISO 27001?

Zákon ji nevyžaduje. Podle NÚKIB certifikát ISO 27001 nemůže být jediným podkladem kontroly. Co zavádíte, zaznamenáte: ve vyšším režimu v prohlášení o aplikovatelnosti (vyhláška č. 409/2025 Sb., § 8 odst. 1 písm. f)), v nižším v přehledu bezpečnostních opatření (vyhláška č. 410/2025 Sb., § 3 odst. 2). Certifikát může vaše doklady podpořit.