Řízení zranitelností podle NIS 2 podle článku 21 odst. 2 písm. e)
Řízení zranitelností má podle NIS 2 dvě stránky. Jak nakládáte se slabinami ve vlastních systémech. A jak nakládáte se slabinami, které vám lidé nahlásí. Povinnost je zakotvena v článku 21 odst. 2 písm. e), bod 6.10 přílohy CIR (EU) 2024/2690 rozepisuje konkrétní detaily pro digitální poskytovatele, na které se vztahuje, a v Česku ji upravují vyhláška č. 410/2025 Sb., § 12 a vyhláška č. 409/2025 Sb., § 24.
Stručně
Řízení zranitelností je bod e) na seznamu článku 21 odst. 2. CIR svůj odpovídající oddíl nazývá „Řešení a zveřejňování zranitelností“. Ten název je výmluvný. NIS 2 záleží na dvou věcech najednou: na slabinách v systémech, které provozujete, a na slabinách, které lidé zvenku najdou ve vašich produktech a chtějí vám o nich říct.
U digitálních poskytovatelů, na které se vztahuje, bod 6.10 přílohy CIR stanoví pět činností. Stahujte informace o zranitelnostech od CSIRT, úřadů, dodavatelů a poskytovatelů služeb. Je-li to vhodné, provádějte skenování zranitelností a zaznamenávejte výsledky v plánovaných intervalech. Kritické bez zbytečného odkladu napravujte. Provažte nakládání se zranitelnostmi s vašimi procesy řízení změn, záplatování, rizik a incidentů. A zaveďte postup koordinovaného zveřejňování zranitelností (CVD), který je v souladu s národní politikou CVD.
V Česku spadají záplaty i skenování zranitelností pod aplikační bezpečnost, bezpečnostní opatření v obou režimech. Nižší režim: bezodkladné aplikování schválených bezpečnostních aktualizací, evidence technických aktiv bez podpory výrobce a pravidelné skenování zranitelností bez stanoveného intervalu (vyhláška č. 410/2025 Sb., § 12). Vyšší režim: skenování z vnitřní i vnější sítě alespoň jednou ročně, penetrační testy alespoň jednou za 2 roky a opětovné ověření nálezů (vyhláška č. 409/2025 Sb., § 24 odst. 4 až 6). Koordinátorem koordinovaného zveřejňování zranitelností je NÚKIB (§ 42 odst. 5 písm. d) zákona č. 264/2025 Sb.). Sama NIS 2 také zřizuje evropskou databázi zranitelností podle článku 12, kterou provozuje ENISA a kde subjekty mohou dobrovolně zveřejňovat.
Článek 21 odst. 2 písm. e) směrnice NIS 2 (2022/2555)
Zabezpečení pořizování, vývoje a údržby sítí a informačních systémů, včetně zveřejňování zranitelností a jejich řešení.
Bod e) na seznamu deseti opatření. Všimněte si rámování: nakládání se zranitelnostmi a jejich zveřejňování sedí uvnitř širší povinnosti kolem pořizování, vývoje a údržby. CIR to rozděluje do samostatných bodů (6.1 pořizování, 6.10 zranitelnosti).
CIR (EU) 2024/2690, příloha, bod 6.10
Příslušné subjekty získají informace o technických zranitelnostech svých sítí a informačních systémů, vyhodnotí, zda jsou těmto zranitelnostem vystaveny, a přijmou vhodná opatření k řízení těchto zranitelností.
Přímo závazné právo EU pro druhy subjektů uvedené v čl. 1 CIR (DNS, TLD, cloud, datová centra, MSP, služby vytvářející důvěru a další). Bod 6.10.2 přílohy vyjmenovává pět konkrétních činností. Bod 6.10.3 říká, že pokud zmírnění vynecháte, zapíšete proč. Bod 6.10.4 říká, že kanály, které používáte ke sledování informací o zranitelnostech, přezkoumáváte v plánovaných intervalech.
Vyhláška č. 410/2025 Sb., § 12; vyhláška č. 409/2025 Sb., § 24 (Česko)
Vyhláška č. 410/2025 Sb., § 12 písm. c): provádí pravidelné skenování zranitelností relevantních technických aktiv a aplikuje přiměřená bezpečnostní opatření na základě zjištěných výsledků. Vyhláška č. 409/2025 Sb., § 24 odst. 4: Povinná osoba v rámci skenování zranitelností technických aktiv a) provádí pravidelné skenování zranitelností technických aktiv regulované služby 1. z vnitřní a vnější komunikační sítě a 2. alespoň jednou ročně. […] § 24 odst. 5 písm. c): provádí v souladu s odstavcem 5 písm. a) bodem 1 pravidelně penetrační testování, a to alespoň jednou za 2 roky
Ve vyšším režimu jde Česko konkrétněji než směrnice i CIR: pevné intervaly pro skeny (alespoň jednou ročně, z vnitřní i vnější sítě) a pro penetrační testy (alespoň jednou za 2 roky, také před uvedením do provozu a při významné změně, rozhodne-li tak řízení rizik), evidence termínu a osob provádějících penetrační test a opětovné otestování nálezu (vyhláška č. 409/2025 Sb., § 24 odst. 4 až 6, § 11 odst. 3). Nelze-li test provést v plném rozsahu, lze ho rozdělit do systematických celků, celý rozsah ale nejpozději do 5 let (§ 24 odst. 5 písm. d)). Nižší režim interval nestanoví. Koordinované zveřejňování zranitelností v Česku koordinuje NÚKIB (§ 42 odst. 5 písm. d) zákona č. 264/2025 Sb.); poskytovatelům v nižším režimu při zveřejňování informací o zranitelnostech pomáhá Národní CERT (§ 43 odst. 1 písm. c)).
Získejte informace dovnitř
Sledujte informace o zranitelnostech od CSIRT, úřadů, dodavatelů a poskytovatelů služeb. Provádějte skenování zranitelností v rytmu vhodném pro vaše prostředí; ve vyšším režimu v Česku alespoň jednou ročně z vnitřní i vnější sítě (vyhláška č. 409/2025 Sb., § 24 odst. 4). Skenovací nástroje (Tenable, Qualys, Nessus, OpenVAS) jsou technická stránka. Zdroje informací (varování NÚKIB, která NÚKIB oznamuje dotčeným poskytovatelům přes Portál NÚKIB podle § 22 zákona č. 264/2025 Sb., bezpečnostní oznámení dodavatelů, NVD) jsou stránka informovanosti. Potřebujete obojí.
Opravte kritické, zdokumentujte zbytek
Kritické zranitelnosti se napravují bez prodlení. Nakládání se zranitelnostmi se musí navázat na vaše řízení změn, řízení záplat, řízení rizik a řízení incidentů. Kde se rozhodnete nezmírňovat, bod 6.10.3 přílohy CIR říká, že vytvoříte zdokumentovaný plán zmírnění nebo zapíšete, proč není potřeba žádné opatření. Žádný tichý nedodělek. V Česku schválené bezpečnostní aktualizace aplikujete bezodkladně (vyhláška č. 410/2025 Sb., § 12 písm. a)), technická aktiva bez podpory evidujete a chráníte náhradními opatřeními (§ 12 písm. b); vyhláška č. 409/2025 Sb., § 24 odst. 2) a ve vyšším režimu výsledky skenů zohledníte v řízení rizik (§ 24 odst. 4 písm. b)).
Provozujte proces koordinovaného zveřejňování
Zaveďte postup pro příjem hlášení o zranitelnostech od lidí zvenku a koordinaci jejich zveřejnění, v souladu s platnou národní politikou CVD. Minimální mechanika: zveřejněný kontaktní kanál (schránka security@ nebo soubor security.txt), lhůta pro potvrzení, harmonogram nápravy a koordinované veřejné zveřejnění. V Česku je koordinátorem zveřejňování NÚKIB (§ 42 odst. 5 písm. d) zákona č. 264/2025 Sb.) a zranitelnosti mu lze hlásit (§ 15 odst. 5).
Pravidelně, nikoli reaktivně
Bod 6.10.2 písm. b) žádá, je-li to vhodné, skenování zranitelností se záznamem výsledků v plánovaných intervalech a bod 6.10.4 přezkoumání monitorovacích kanálů v plánovaných intervalech. Pro subjekty, na které se CIR vztahuje, to znamená písemný rytmus: zdokumentujte, jak často skenujete a jak často přezkoumáváte seznam zdrojů, a držte se toho. CIR interval nestanoví. Česká vyhláška č. 409/2025 Sb. ano: ve vyšším režimu skeny alespoň jednou ročně z vnitřní i vnější sítě a penetrační testy alespoň jednou za 2 roky (§ 24 odst. 4 a 5). V nižším režimu žádá vyhláška č. 410/2025 Sb. pravidelné skenování bez stanoveného intervalu (§ 12 písm. c)).
Zveřejňování je součástí povinnosti
Čl. 21 odst. 2 písm. e) NIS 2 uvádí zveřejňování zranitelností vedle jejich řízení. České vyhlášky vlastní postup koordinovaného zveřejňování od poskytovatele výslovně nežádají; žádají, aby zaměstnanci (ve vyšším režimu i dodavatelé) oznamovali podezření na zranitelnosti (vyhláška č. 410/2025 Sb., § 10 písm. a); vyhláška č. 409/2025 Sb., § 14 odst. 1 písm. f)). Koordinátorem zveřejňování je NÚKIB (§ 42 odst. 5 písm. d) zákona č. 264/2025 Sb.). U digitálních poskytovatelů, na které se CIR vztahuje, žádá bod 6.10.2 písm. e) postup v souladu s národní politikou koordinovaného zveřejňování. Minimální nastavení: schránka security@, kterou někdo čte, krátká politika a soubor security.txt, který na ni ukazuje.
NÚKIB a Národní CERT
NÚKIB je koordinátorem pro účely koordinovaného zveřejňování zranitelností (§ 42 odst. 5 písm. d) zákona č. 264/2025 Sb.) a zranitelnosti mu lze hlásit (§ 15 odst. 5). O závažné hrozbě nebo zranitelnosti vydává NÚKIB varování, které dotčeným poskytovatelům oznámí přes Portál NÚKIB (§ 22). Národní CERT poskytuje poskytovatelům v režimu nižších povinností metodickou podporu při zveřejňování informací o zranitelnostech (§ 43 odst. 1 písm. c)). Pokud zavádíte proces zveřejňování poprvé, může jako vzor posloužit i směrnice německého úřadu BSI k CVD.
Evropská databáze zranitelností (článek 12 NIS 2)
Článek 12 NIS 2 zřizuje evropskou databázi zranitelností provozovanou ENISA. Subjekty do ní mohou dobrovolně zveřejňovat zranitelnosti. Není to povinný hlásicí kanál podle článku 23. Je to referenční zdroj pro celou EU, který agreguje informace o zranitelnostech napříč členskými státy.
Národní CSIRT jako koordinátoři CVD
Každý členský stát určí jeden ze svých CSIRT koordinátorem koordinovaného zveřejňování zranitelností (čl. 12 odst. 1 NIS 2). Vnitrostátní zákony mohou jít dále než směrnice (čl. 5), proto je rozhodující národní text; liší se také to, se kterým CSIRT mluvíte a jak jeho koordinace funguje.
Záplatujeme na Patch Tuesday, to stačí.
U digitálních poskytovatelů, na které se CIR vztahuje, nestačí: bod 6.10.2 písm. c) říká, že kritické zranitelnosti se řeší bez zbytečného odkladu. Patch Tuesday je rytmus vydávání od dodavatele. Zero-day zveřejněný ve čtvrtek s aktivním zneužitím nečeká do příštího úterý. Rytmus záplatování pro rutinní opravy plus mimořádný proces pro kritické problémy pokryje obojí. V Česku žádá nižší režim bezodkladné aplikování schválených bezpečnostních aktualizací (vyhláška č. 410/2025 Sb., § 12 písm. a)).
Nemáme proces CVD, protože nám nikdy nikdo nehlásí zranitelnosti.
U digitálních poskytovatelů, na které se CIR vztahuje, žádá bod 6.10.2 písm. e) postup předem, ne až když začnou chodit hlášení. České vyhlášky vlastní postup zveřejňování nepředepisují; koordinátorem zveřejňování je NÚKIB (§ 42 odst. 5 písm. d) zákona č. 264/2025 Sb.). Schránka security@ a jednostránková politika jsou tak či onak malý, rozumný krok.
Skenování zranitelností je práce bezpečnostního týmu.
Je, dokud nepřečtete bod 6.10.2 písm. d) přílohy CIR: nakládání se zranitelnostmi musí být v souladu s řízením změn, řízením záplat, řízením rizik a řízením incidentů. To dělá z řízení zranitelností mezitýmový proces dotýkající se IT provozu, vývoje a rizik, nikoli izolovanou bezpečnostní činnost. Ve vyšším režimu v Česku navíc výsledky skenů vstupují do řízení rizik (vyhláška č. 409/2025 Sb., § 24 odst. 4 písm. b)).
Zveřejňovací stránka je nedostatečně zdokumentovaná polovina. Realistické minimum: schránka security@vasefirma.cz směrovaná na dva lidi, jednostránková politika zveřejňování a soubor security.txt na /.well-known/security.txt ukazující na schránku. Pokud jde o lhůty, směrnice německého úřadu BSI k CVD očekává, že dodavatel potvrdí hlášení do tří pracovních dnů, a dává 45 až 90 dní na opravu, což je mezinárodně obvyklé rozmezí.
- Směrnice (EU) 2022/2555 (NIS 2), článek 12 a článek 21 odst. 2 písm. e). eur-lex.europa.eu/eli/dir/2022/2555/oj
- Prováděcí nařízení Komise (EU) 2024/2690 (CIR), příloha, bod 6.10. eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Vyhláška č. 410/2025 Sb., § 12 (aplikační bezpečnost, nižší režim): https://e-sbirka.gov.cz/sb/2025/410/2025-11-01#par_12; vyhláška č. 409/2025 Sb., § 24 (skenování zranitelností a penetrační testy, vyšší režim): https://e-sbirka.gov.cz/sb/2025/409/2025-11-01#par_24
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 42 odst. 5 písm. d) (NÚKIB jako koordinátor koordinovaného zveřejňování zranitelností): https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_42
- Evropská databáze zranitelností ENISA (článek 12 NIS 2)
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Nákup a vývoj
Sepište pravidla pro nákup, aktualizace a zranitelnosti
Co prověříte při nákupu, jak se instalují aktualizace a kdo odstraňuje zranitelnosti.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
