Bezpečný vývoj a pořizování podle NIS 2 v čl. 21 odst. 2 písm. e)
NIS 2 říká, že musíte zabezpečit systémy napříč pořizováním, vývojem a údržbou. Článek 21 odst. 2 písm. e) je zastřešující ustanovení. Bod 6 přílohy CIR (EU) 2024/2690 jej rozděluje na deset pododdílů. V Česku tuto povinnost provádí zákon č. 264/2025 Sb. (§ 14) a vyhlášky č. 410/2025 Sb. a č. 409/2025 Sb.
Stručná verze
Článek 21 odst. 2 písm. e) je zastřešující povinnost pro bezpečnost napříč celým životním cyklem IT. Nejen kód. Nejen opravy. Celá cesta: nákup systému, jeho vývoj, konfigurace, změny, testování, opravy, provoz, vyřazení z provozu. Stejné pravidlo platí v celé EU.
CIR (EU) 2024/2690 doplňuje podrobnosti. Bod 6 přílohy má deset pododdílů (body 6.1 až 6.10), které povinnost zprovozňují. Tato stránka pokrývá stranu vývoje a změn: pořizování (bod 6.1), bezpečný životní cyklus vývoje (bod 6.2), řízení konfigurace (bod 6.3), řízení změn (bod 6.4), bezpečnostní testování (bod 6.5) a správa oprav (bod 6.6). Síťová bezpečnost, segmentace, antimalware a řízení zranitelností (body 6.7 až 6.10) mají vlastní stránky.
V Česku stejnou povinnost ukládá zákon č. 264/2025 Sb. Ve vyšším režimu jako „řízení změn“, „akvizice, vývoj a údržba“ a „aplikační bezpečnost“ (§ 14 odst. 1 písm. a) body 9 a 10, písm. b) bod 8), v nižším režimu jako „aplikační bezpečnost“ (§ 14 odst. 2 písm. l)). Podrobnosti stanoví vyhláška č. 410/2025 Sb. pro režim nižších povinností a vyhláška č. 409/2025 Sb. pro režim vyšších povinností. Tato stránka prochází směrnici, navazující nařízení EU a české provedení v tomto pořadí.
Článek 21 odst. 2 písm. e) směrnice NIS 2 (2022/2555)
Zabezpečení pořizování, vývoje a údržby sítí a informačních systémů, včetně zveřejňování zranitelností a jejich řešení.
Toto je bod e) na seznamu deseti opatření kybernetické bezpečnosti, která musí zavést každý základní a důležitý subjekt. Je to jediný bod na seznamu, který se výslovně táhne od objednávky po konec životnosti.
CIR (EU) 2024/2690, příloha, bod 6
Zabezpečení pořizování, vývoje a údržby sítí a informačních systémů (čl. 21 odst. 2 písm. e) směrnice (EU) 2022/2555).
Protože jde o nařízení (nikoli směrnici), je to přímo závazné právo EU. Žádná vnitrostátní transpozice není potřeba. Vztahuje se na poskytovatele DNS, registry TLD, poskytovatele cloudu, datová centra, poskytovatele řízených služeb a další druhy subjektů uvedené v jeho čl. 1. Bod 6 přílohy má deset číslovaných pododdílů, z nichž každý jmenuje konkrétní povinnost. V Česku se podle něj tito poskytovatelé u těchto služeb řídí na základě § 18 odst. 1 zákona č. 264/2025 Sb. a § 13 odst. 2 zákona se na ně nepoužije.
Vyhláška č. 410/2025 Sb., § 3 odst. 6 (Česko, nižší režim)
Povinná osoba v souvislosti s plánovanou akvizicí, vývojem a údržbou technických aktiv stanoví bezpečnostní požadavky v oblasti kybernetické bezpečnosti a vymáhá jejich dodržování, přičemž vychází z požadavků na bezpečnostní opatření podle této vyhlášky.
Ve vyšším režimu jde vyhláška č. 409/2025 Sb. dál. § 12 žádá při akvizici, vývoji a údržbě řídit rizika a významné změny, zahrnout bezpečnostní požadavky do zadání, oddělit provozní, vývojové, testovací a další prostředí a zajistit dostupnost bezpečnostních aktualizací po celý životní cyklus aktiva. § 11 upravuje řízení změn: významné změny dokumentovat, před uvedením do provozu otestovat a mít možnost návratu do původního stavu. Vyhláška č. 410/2025 Sb. samostatný oddíl o řízení změn nemá.
Zapište bezpečnostní požadavky do každého nákupu
Než koupíte produkt nebo službu IT, sepíšete, co musí splňovat z hlediska bezpečnosti. Ověřování, logování, podpora aktualizací, zveřejňování zranitelností, region hostingu, kde sedí data. Pak ověříte, že dodavatel požadavky skutečně splňuje. To leží na kupujícím subjektu, nikoli na dodavateli. „Používáme SaaS“ povinnost nepřenáší.
Provozujte bezpečný životní cyklus vývoje
Bezpečnostní požadavky se analyzují během specifikace a návrhu. Uplatňují se zásady bezpečného kódování, včetně bezpečnosti již ve fázi návrhu a architektur nulové důvěry. Samotná vývojová prostředí jsou zabezpečena. Bezpečnostní testování probíhá před vydáním. S testovacími daty se zachází opatrně, nekopírují se z produkce. Celý životní cyklus je zdokumentován, nejen jedna nebo dvě praktiky.
Opravujte ve vhodné lhůtě, nejprve testujte
Bezpečnostní záplaty se uplatňují „v přiměřené době“ (text CIR), navázané na závažnost zranitelnosti. Opravy se před produkcí testují. Nouzové opravy se dokumentují. „Kdykoli má tým čas“ není lhůta. Zvolte kadenci, sepište ji, prokažte, že ji dodržujete.
Bezpečnost od pořizování po vyřazení z provozu
Bod 6 přílohy CIR není o vývoji v úzkém smyslu. Pokrývá celý životní cyklus: jak vybíráte, co koupit, jak stavíte, jak konfigurujete, jak testujete, jak opravujete, jak měníte, jak vyřazujete. Středně velká firma, která kupuje 95 procent svého softwaru, stále odpovídá za bod 6.1 (požadavky na pořizování) a bod 6.6 (správa oprav). Z životního cyklu se nemůžete vyvázat jen proto, že nepíšete kód.
Disciplína změn: žádné nesledované produkční změny
Bod 6.4 přílohy CIR je přímý: změny v produkci jsou řízené, zdokumentované a přezkoumané. Nouzové změny se také dokumentují, jen po faktu místo předem. Změna bez tiketu, bez schvalovatele a bez plánu vrácení požadavek nesplňuje, i když funguje. Auditoři porovnávají protokol změn se systémem tiketů. Pokud nedokážou zrekonstruovat, kdo co a kdy změnil, kontrola není zavedena.
NÚKIB / vyhlášky č. 410/2025 Sb. a č. 409/2025 Sb.
V nižším režimu stanovíte bezpečnostní požadavky pro akvizici, vývoj a údržbu technických aktiv (410 § 3 odst. 6), zajistíte bezodkladné aplikování schválených bezpečnostních aktualizací, vedete evidenci aktiv, která už výrobce nepodporuje, a pravidelně skenujete zranitelnosti (410 § 12). Ve vyšším režimu přibývá řízení změn (409 § 11), skenování zranitelností z vnitřní i vnější sítě alespoň jednou ročně a penetrační testy alespoň jednou za 2 roky (409 § 24 odst. 4 a 5). Německá metodika IT-Grundschutz (moduly CON.8 a OPS.1.1.3 německého úřadu BSI) může posloužit jako inspirace, v Česku ale závazná není.
Technické implementační pokyny ENISA
ENISA, agentura EU pro kybernetickou bezpečnost, zveřejňuje Technické implementační pokyny (TIG), které berou abstraktní text bodu 6 přílohy CIR a ukazují vám, co dělat v praxi. Mapují každý pododdíl na kontroly ISO/IEC 27001:2022 (A.8.25 až A.8.32 o bezpečném vývoji, A.5.20 až A.5.23 o vztazích s dodavateli), takže stávající certifikace vám dají náskok.
Vnitrostátní transpoziční zákony
Každý členský stát má vlastní transpoziční zákon (Nizozemsko: Cyberbeveiligingswet, Rakousko: NISG, Belgie: NIS2-Wet). Základ povinnosti podle čl. 21 odst. 2 písm. e) je všude stejný, státy ale mohou jít dál (čl. 5 NIS 2), jako Česko s pevnými intervaly skenování zranitelností a penetračních testů ve vyšším režimu. Liší se také to, na jaký vnitrostátní rámec regulátor ukazuje jako na praktickou cestu.
Používáme SaaS, takže bezpečný vývoj je práce dodavatele.
Napůl pravda. Dodavatel vlastní kód. Vy stále odpovídáte za bod 6.1 přílohy CIR: zdokumentované bezpečnostní požadavky na každý produkt nebo službu IT, kterou koupíte, plus ověření, že je dodavatel splňuje. Ověřování, logování, podpora aktualizací, umístění dat, oznámení o narušení. V Česku navíc smlouva s dodavatelem musí obsahovat relevantní ustanovení z přílohy č. 2 vyhlášky č. 410/2025 Sb., včetně dodržování pravidel bezpečného vývoje (písm. n)), ve vyšším režimu u významných dodavatelů z přílohy č. 5 vyhlášky č. 409/2025 Sb. (písm. m)). Pokud je vaše složka o pořizování prázdná, povinnost není splněna, i když je dodavatel vynikající.
Děláme code review, takže část SDLC je pokrytá.
Code review je jedna praktika. Bod 6.2 přílohy CIR chce zdokumentovaný celý životní cyklus: bezpečnostní požadavky během specifikace, zásady bezpečného kódování (včetně bezpečnosti již ve fázi návrhu a nulové důvěry), zabezpečená vývojová prostředí, postupy bezpečnostního testování před vydáním, opatrné zacházení s testovacími daty. Jediná praktika navrch nad nezdokumentovaným procesem oddíl nesplňuje.
Opravujeme, když má tým čas.
Bod 6.6 přílohy CIR vyžaduje vhodnou lhůtu navázanou na závažnost, plus testování před produkcí a dokumentaci nouzových oprav. „Až bude čas“ není lhůta. V Česku vyhláška č. 410/2025 Sb. žádá „bezodkladné aplikování schválených bezpečnostních aktualizací“ (§ 12 písm. a)). Zvolte kadenci (např. kritické do 72 hodin, vysoké do 14 dnů), sepište ji, prokažte v protokolu změn, že ji dodržujete. Auditor zrekonstruuje vaši historii oprav ze systému tiketů.
IT většiny středně velkých firem vypadá takto: 90 procent dodavatelský software (ERP, mzdy, pošta, sdílení souborů, CRM), nějaké integrační lepidlo, občasné interní skripty. Velkým úkolem bodu 6 přílohy CIR pro tento profil není SDLC. Je to bod 6.1 pořizování a bod 6.6 správa oprav.
Šablonu bezpečnostních požadavků napište jednou. Ověřování, logování, zveřejňování zranitelností, podpora aktualizací, region hostingu, export dat, oznámení o narušení. Uplatněte ji na každé nové pořízení a každé prodloužení. Spárujte ji s písemnou kadencí oprav (kritické / vysoké / střední s lhůtou u každého) a protokolem změn, který používají všichni. To pokryje většinu bodu 6 přílohy CIR pro typickou středně velkou firmu bez najímání specialisty na bezpečnost softwaru.
- Směrnice (EU) 2022/2555 (NIS 2), čl. 21 odst. 2 písm. e). eur-lex.europa.eu/eli/dir/2022/2555/oj
- Prováděcí nařízení Komise (EU) 2024/2690 (CIR), příloha, bod 6. eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 14: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_14; vyhláška č. 410/2025 Sb. (nižší režim), § 3 odst. 6 a § 12: https://e-sbirka.gov.cz/sb/2025/410/2025-11-01#par_12
- Vyhláška č. 409/2025 Sb. (vyšší režim), § 11, § 12 a § 24: https://e-sbirka.gov.cz/sb/2025/409/2025-11-01#par_12
- Technické implementační pokyny ENISA pro CIR (EU) 2024/2690 (k květnu 2026)
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Nákup a vývoj
Sepište pravidla pro nákup, aktualizace a zranitelnosti
Co prověříte při nákupu, jak se instalují aktualizace a kdo odstraňuje zranitelnosti.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
