NIS2 pro společnosti vyrábějící a distribuující potraviny
Průmyslová výroba, průmyslové zpracování a velkoobchodní distribuce potravin jsou regulované služby podle bodu 8 vyhlášky č. 408/2025 Sb. Pokud má vaše společnost 50+ zaměstnanců, nebo obrat i bilanční sumu nad 10 mil. eur, toto je váš praktický průvodce tím, co vyžaduje zákon č. 264/2025 Sb.
Proč se NIS2 vztahuje na potravinářské společnosti?
Moderní výroba potravin je hluboce závislá na IT systémech. ERP systémy spravují objednávky a fakturaci. Systémy řízení výroby (MES) plánují a monitorují výrobní linky. Systémy monitorování chladicího řetězce sledují teploty od výroby po dodání. Laboratorní informační systémy spravují testování kvality. Pokud ransomware vyřadí váš ERP, nemůžete expedovat. Pokud selže monitorování chladicího řetězce, nemůžete prokázat bezpečnost produktu. Proto EU zařadila potraviny mezi kritická odvětví.
Vyhláška č. 408/2025 Sb. uvádí v bodě 8 tři služby potravinářského podniku: průmyslovou výrobu potravin, průmyslové zpracování potravin a velkoobchodní distribuci potravin. Společnosti splňující velikostní práh (50+ zaměstnanců, nebo roční obrat i bilanční suma přes 10 milionů eur) jsou poskytovateli regulované služby v režimu nižších povinností. Platí tedy celá sada povinností: ohlášení služby NÚKIB, bezpečnostní opatření ve 13 oblastech podle § 14 odst. 2 zákona č. 264/2025 Sb. a vyhlášky č. 410/2025 Sb., hlášení incidentů Národnímu CERT, požadavky na dodavatele a povinnosti vrcholného vedení.
Většina potravinářských společností se dosud s regulací kybernetické bezpečnosti nesetkala. Předpisy o bezpečnosti potravin (HACCP, IFS, BRC) jsou známé, ale povinnosti IT bezpečnosti jsou nové. Dobrá zpráva: pokud vaše společnost již provozuje strukturovaný systém řízení kvality, mnoho konceptů se přenáší. Hodnocení rizik, dokumentace, audity, nápravná opatření. Rámec je podobný, jen aplikovaný na IT místo výrobní hygieny.
ERP a správa objednávek
Hlavní podnikový systém zpracovávající objednávky zákazníků, fakturaci, nákup a správu zásob. Běžně SAP Business One, Microsoft Dynamics, Helios nebo odvětvová řešení pro potravinářství. Kompromitace tohoto systému zastaví zpracování objednávek, expedici a fakturaci. Jedna položka aktiva.
Řízení výroby (MES)
Systémy řízení výroby (Manufacturing Execution Systems), které plánují výrobní běhy, sledují čísla šarží a monitorují výstup linky. Často propojeny s ERP pro výrobu řízenou poptávkou. Mohou zahrnovat komponenty PLC a SCADA na výrobních linkách. Pokud toto vypadne, výroba se zastaví nebo běží naslepo. Seskupte podle výrobního zařízení.
Monitorování chladicího řetězce
Systémy monitorování teploty a vlhkosti pro skladování, přepravu a maloobchodní vystavení. Tyto systémy poskytují průběžné záznamy požadované pro soulad s HACCP. Dataloggery, senzory a monitorovací software, často cloudové. Selhání znamená ztrátu důkazního řetězce pro bezpečnost potravin. Jedna seskupená položka.
Logistika a doručení
Správa vozového parku, plánování tras, sledování doručení a systémy správy skladu. Mohou zahrnovat ruční skenery pro vychystávání a nakládku. Tyto systémy zajišťují pohyb produktů od výroby k zákazníkovi. Narušení zpožďuje dodávky a může způsobit znehodnocení teplotně citlivých produktů.
Laboratorní informační systém (LIMS)
Systémy spravující testování kvality: mikrobiologickou analýzu, chemické testování, senzorické hodnocení. LIMS sleduje vzorky, výsledky a rozhodnutí o uvolnění. Pokud je váš laboratorní systém kompromitován, nemůžete ověřit bezpečnost produktu a možná budete muset pozastavit expedice, dokud nebude dokončeno ruční ověření.
Koncová zařízení a kancelářské IT
Notebooky, stolní počítače a mobilní zařízení používaná kancelářským personálem, manažery kvality a koordinátory logistiky. Standardní kancelářské aplikace, e-mail a správa dokumentů. Stejná zařízení můžete evidovat jako jednu položku: „50 standardních notebooků s Windows“ je jedna položka aktiva; zákon podrobnost evidence nepředepisuje. Zahrňte síťovou infrastrukturu (routery, přepínače, firewally, Wi-Fi) jako samostatnou seskupenou položku.
1. Ohlášení služby NÚKIB
Ohlaste službu NÚKIB na Portálu NÚKIB (portal.nukib.gov.cz) nejpozději do 60 dnů ode dne, kdy jste podmínky splnili (§ 6 odst. 1 zákona č. 264/2025 Sb.); statutární orgán se přihlašuje přes NIA. Od doručení rozhodnutí o registraci vám běží roční lhůta pro bezpečnostní opatření a hlášení incidentů (§ 13 odst. 4, § 15 odst. 4). Neohlášení služby je přestupek (§ 60 odst. 1 písm. a)). Pokud lhůta uplynula, ohlaste službu okamžitě.
2. Sestavte inventář aktiv
Vypište systémy, které podporují vaši výrobu potravin, zajištění kvality a distribuci. Použijte šest výše uvedených kategorií jako výchozí bod. U každého aktiva poznamenejte, co dělá, kdo jej spravuje a co se stane, pokud nebude 24 hodin k dispozici. Věnujte zvláštní pozornost systémům ovlivňujícím bezpečnost potravin. Ty mají nejvyšší regulační dopad.
3. Nastavte hlášení incidentů
Definujte, co pro vaši společnost znamená kybernetický incident s významným dopadem. Ransomwarový útok, který zastaví výrobu, je jednoznačně významný. Phishingový e-mail, který byl zachycen, není. Vyhláška žádá, abyste si stanovili únosnou míru újmy a oblasti, podle kterých významnost posoudíte (vyhláška č. 410/2025 Sb., § 14). Stanovte řetězec hlášení: kdo rozhoduje, kdo podává hlášení Národnímu CERT přes Portál NÚKIB (prvotní hlášení do 24 hodin, oznámení do 72 hodin, závěrečná zpráva do 30 dnů od oznámení) a jak je zastihnout mimo pracovní dobu.
4. Zdokumentujte vztahy s dodavateli
Potravinářské společnosti se obvykle silně spoléhají na externí IT: cloudově hostovaný ERP, SaaS pro monitorování chladicího řetězce, řízené IT služby. Zdokumentujte, kdo jsou tito dodavatelé, jaký mají přístup a k jakým bezpečnostním opatřením se zavazují. Zavádíte-li bezpečnostní opatření přes dodavatele, musíte ho vybírat podle požadavků opatření a zahrnout je do smlouvy (§ 13 odst. 5 zákona č. 264/2025 Sb.; smluvní body uvádí příloha č. 2 vyhlášky č. 410/2025 Sb.). Pokud dojde k narušení u poskytovatele vašeho cloudového ERP, je to váš problém.
5. Přezkoumejte řízení přístupu
Prověřte, kdo má přístup k vašim kritickým systémům, zejména ERP, řízení výroby a monitorování chladicího řetězce. Zaveďte vícefaktorové ověřování u vzdáleného přístupu a administrátorských účtů. Odstraňte účty bývalých zaměstnanců. Mnoho potravinářských společností má sdílená hesla pro výrobní terminály; vyhláška přitom žádá pro každého uživatele a administrátora jedinečný identifikátor (vyhláška č. 410/2025 Sb., § 7 odst. 1 písm. a)). Zdokumentujte současný stav a naplánujte nápravu.
Potravinářské společnosti se nacházejí na průsečíku IT bezpečnosti a regulace bezpečnosti potravin. Váš systém HACCP, certifikace IFS nebo BRC a dokumentace kvality již vytvářejí kulturu zdokumentovaných procesů, pravidelných auditů a nápravných opatření. To je výhoda. Rámec NIS2 používá velmi podobné koncepty. Hodnocení rizik, kontrolní opatření, monitorování, dokumentace a pravidelný přezkum jsou věci, kterým váš tým kvality již rozumí.
Jedinečným rizikem pro potravinářské společnosti je propojení mezi IT systémy a bezpečností potravin. Pokud je váš systém monitorování chladicího řetězce kompromitován, možná nebudete vědět, zda byly produkty skladovány při bezpečných teplotách. Pokud je váš LIMS manipulován, můžete uvolnit nebezpečné produkty. Pokud je váš ERP mimo provoz, nemůžete vysledovat kontaminovanou šarži. Tyto scénáře dělají z IT bezpečnosti otázku bezpečnosti potravin, nejen otázku IT.
Většina potravinářských společností významně outsourcuje IT. Cloudový ERP, SaaS monitorování chladicího řetězce, řízené IT služby. To je standard. Podle zákona nesete odpovědnost, i když outsourcujete provoz. Vaší nejdůležitější činností v oblasti souladu je řízení dodavatelů: dokumentace vztahů, zahrnutí bezpečnostních požadavků do smluv a ověřování, že dodavatelé udržují přiměřenou bezpečnost. Zákon je jasný (§ 13 odst. 5 zákona č. 264/2025 Sb.). Odpovědnost nemůžete outsourcovat.
Často kladené dotazy
Už máme certifikaci IFS/BRC. Pokrývá to povinnosti podle zákona?
Přímo ne, ale dává vám to významný náskok. IFS a BRC vyžadují zdokumentované procesy, hodnocení rizik, nápravná opatření a pravidelné audity. Tentýž rámec, který používá zákon o kybernetické bezpečnosti. Co chybí, je obsah specifický pro IT: soupis aktiv IT systémů, hodnocení kybernetických rizik, hlášení incidentů Národnímu CERT, zásady řízení přístupu a dokumentace šifrování. Představte si to jako rozšíření vašeho systému řízení kvality o IT bezpečnost.
Naše výroba běží na starších strojích s Windows 7. Je to problém?
Starší operační systémy na výrobním zařízení jsou v potravinářské výrobě běžné a představují reálné riziko. Nemusíte nutně stroje okamžitě měnit, ale pro techniku, kterou výrobce už nepodporuje, vyhláška žádá vést její evidenci, zavést opatření, která zaručí obdobnou nebo vyšší úroveň bezpečnosti, a omezit její komunikaci v síti na nezbytně nutnou (vyhláška č. 410/2025 Sb., § 12 písm. b)). V praxi: segmentace sítě (izolujte tyto stroje od internetu a kancelářské sítě), omezený přístup, monitorování neobvyklé aktivity a plán případného upgradu nebo výměny. Zdokumentujte to ve svém hodnocení rizik s jasným harmonogramem.
Je náš systém monitorování chladicího řetězce aktivem podle zákona?
Ano, rozhodně. Jakýkoli systém, který podporuje poskytování vaší regulované služby (výroba, zpracování nebo velkoobchodní distribuce potravin), je aktivem podle zákona (§ 2 a § 12 zákona č. 264/2025 Sb.). Monitorování chladicího řetězce je obzvláště důležité, protože přímo ovlivňuje bezpečnost potravin. Pokud monitorovací systém selže nebo je kompromitován, ztratíte schopnost prokázat, že vaše produkty byly bezpečně skladovány. Uveďte jej jako aktivum, posuďte rizika a zajistěte, aby váš dodavatel (pokud je cloudový) splňoval přiměřené bezpečnostní standardy.
Jak dlouho trvá splnění zákona pro potravinářskou společnost naší velikosti?
Pro potravinářskou výrobní společnost se 100 až 200 zaměstnanci začínající od nuly očekávejte 3 až 6 měsíců k dosažení solidního základu. Společnosti se stávající certifikací IFS/BRC mohou postupovat rychleji, protože procesní disciplína již existuje. První měsíc pokrývá ohlášení služby, soupis aktiv a hodnocení rizik. Měsíce 2 a 3 pokrývají proces incidentů, řízení přístupu a počáteční zásady. Měsíce 4 až 6 doplňují řízení dodavatelů, kontinuitu provozu a technická opatření. Zákon vám na opatření dává rok od doručení rozhodnutí o registraci (§ 13 odst. 4 zákona č. 264/2025 Sb.). Po nastavení je průběžné úsilí převážně o roční aktualizaci přehledu bezpečnostních opatření (vyhláška č. 410/2025 Sb., § 3 odst. 2).
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Registrace a hlášení
Ohlásit službu NÚKIB
Vaše firma ohlásí regulovanou službu NÚKIB, ten pak rozhodne o registraci.
Řízení rizik
Sepište, co vaše firma má
Seznam procesů, programů a zařízení, se kterými pracujete.
Řízení rizik
Ohodnoťte svá rizika
Umístěte do matice každý program, každé zařízení a každého dodavatele.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
