NIS2 pro logistické a dopravní společnosti
V Česku určuje okruh dotčených služeb vyhláška č. 408/2025 Sb.: v dopravě letecké, drážní a námořní služby, správu pozemních komunikací a inteligentní dopravní systémy, k tomu poštovní a kurýrní služby. Silniční dopravci, speditéři a provozovatelé skladů mezi ně nepatří. Zde je, kdo spadá do působnosti, kdo ne a co se k ostatním dostává jako požadavky na dodavatele.
Na které logistické společnosti se NIS2 vztahuje?
Logistika je páteří fyzické ekonomiky. Kybernetický útok, který zastaví velkého logistického poskytovatele, nepostihne jen jednu společnost. Naruší dodavatelské řetězce desítek nebo stovek klientů. EU zařazuje dopravu do přílohy I (odvětví vysoké kritičnosti), ale jen určité typy subjektů v ní, nikoli logistiku jako celek.
Zákon nepokrývá dopravu obecně. Vyhláška č. 408/2025 Sb. vyjmenovává regulované služby: leteckého dopravce, provozovatele mezinárodního letiště a pomocných zařízení na něm a letové navigační služby (bod 12); provozovatele železniční dopravní cesty, celostátní a regionální dráhy, veřejně přístupné vlečky, drážní dopravy a zařízení služeb (bod 13); námořní vodní dopravu, řídící orgán přístavu a služby lodní dopravě (bod 14); správu pozemní komunikace a inteligentní dopravní systémy (bod 15); poštovní službu a službu dodávání balíků (bod 20). Silniční nákladní doprava, spedice ani skladování v seznamu nejsou. Silniční dopravce, speditér nebo provozovatel skladu proto pro tuto činnost do působnosti nespadá, bez ohledu na velikost. Bezpečnostní požadavky může přesto dostat jako dodavatel: kdo do působnosti spadá a zavádí opatření přes dodavatele, musí ho vybírat podle požadavků opatření a zahrnout je do smlouvy (§ 13 odst. 5 zákona č. 264/2025 Sb.). Dodavatel se tím poskytovatelem regulované služby nestává. Pro uvedené služby zpravidla platí: dotčen je střední podnik (50 a více zaměstnanců, nebo obrat i bilanční suma každý nad 10 milionů eur) a velký podnik. V bodech 12 až 15 je velký podnik (250 a více zaměstnanců, nebo obrat nad 50 milionů eur a bilanční suma nad 43 milionů eur) zpravidla v režimu vyšších povinností a střední v režimu nižších; provozovatel železniční dopravní cesty ve veřejném zájmu je v režimu vyšších povinností vždy, stejně jako poskytovatel letových navigačních služeb, který splní podmínky bodu 12.4, a to bez ohledu na velikost. Poštovní a kurýrní služby jsou v režimu nižších povinností v jakékoli velikosti nad prahem.
Moderní logistické společnosti běží na propojených IT systémech. Systémy řízení dopravy (TMS) řídí zásilky. Správa vozového parku sleduje vozidla v reálném čase. Systémy řízení skladu (WMS) řídí zásoby a vychystávání. Telematické jednotky v nákladních vozech přenášejí polohu, rychlost, teplotu a data o řidiči. Pokud kterýkoli z těchto systémů selže, provoz se zastaví nebo se stane nebezpečně neefektivním. Poskytuje-li vaše společnost některou z uvedených služeb, zákon vyžaduje, abyste tyto závislosti identifikovali jako aktiva (§ 12 zákona č. 264/2025 Sb.) a systematicky řídili kybernetická rizika.
Systém řízení dopravy (TMS)
Ústřední systém pro plánování zásilek, správu dopravců, optimalizaci tras a fakturaci přepravného. Mezi běžné systémy patří SAP TM, Oracle Transportation Management, Transporeon nebo CargoWise. Pokud TMS spadne, nemůžete plánovat ani odbavovat zásilky. Jedna položka aktiva.
Správa vozového parku a telematika
GPS sledování, diagnostika vozidel, evidence pracovní doby řidičů (integrace digitálního tachografu), správa paliva a sledování tras. Telematické jednotky v každém vozidle přenášejí data nepřetržitě. Systémy jako Webfleet, Trimble, Samsara nebo řešení specifická pro vozový park. Kompromitace by mohla znamenat ztrátu přehledu o vozidlech, manipulaci se záznamy o řidičích nebo neoprávněné sledování. Sdružte jako jedno aktivum.
Systém řízení skladu (WMS)
Správa zásob, optimalizace vychystávání, příjem a výdej zboží a integrace s TMS a ERP. Může zahrnovat čtečky čárových kódů / RFID, automatizované zakladačové systémy a řízení dopravníků. Systémy jako SAP EWM, Manhattan Associates nebo Korber. Pokud WMS selže, skladové operace přejdou na ruční postupy se zlomkem běžné propustnosti.
Systém ERP a financí
Správa zákazníků, administrace smluv, fakturace, nákup a finanční výkaznictví. Běžně SAP, Microsoft Dynamics nebo Sage. V logistice se ERP často těsně integruje s TMS pro fakturaci a zákaznické portály. Kompromitace ovlivní tržby, vztahy se zákazníky a finanční výkaznictví. Jedna položka aktiva.
Síťová infrastruktura
Síť propojující kanceláře, sklady a telematiku vozidel. Zahrnuje WAN spoje mezi lokalitami, VPN připojení pro mobilní pracovníky a řidiče, Wi-Fi ve skladech a mobilní připojení pro telematiku vozového parku. Logistické společnosti mají často distribuované sítě napříč mnoha lokalitami. Infrastruktura každé lokality by měla být zdokumentována. Sdružte podle typu lokality.
Koncové body a mobilní zařízení
Kancelářské PC, skladové terminály, ruční čtečky, tablety řidičů a chytré telefony. Logistika má vyšší podíl mobilních a odolných zařízení než většina odvětví. Zahrňte správu mobilních zařízení (MDM), pokud se používá. Stejná zařízení můžete evidovat jako jednu položku: „60 ručních skladových čteček“ je jedna položka. Zákon ukládá aktiva evidovat (§ 12 odst. 3), podrobnost evidence nepředepisuje. Tablety řidičů zahrňte jako samostatnou sdruženou položku.
1. Ohlaste službu NÚKIB
Poskytuje-li vaše společnost některou z uvedených služeb, ohlaste ji NÚKIB na Portálu NÚKIB (portal.nukib.gov.cz) nejpozději do 60 dnů ode dne, kdy jste podmínky splnili (§ 6 odst. 1 zákona č. 264/2025 Sb.). Statutární orgán se přihlašuje svou osobní identitou přes NIA (například BankID nebo eObčanka). NÚKIB pak vydá rozhodnutí o registraci; do 30 dnů od jeho doručení nahlásíte kontaktní a doplňující údaje (§ 11). Režim povinností rozhodnutí neuvádí, ukazuje ho Portál NÚKIB (Chci vyřídit, Přehled podání).
2. Sestavte soupis aktiv
Zmapujte svůj TMS, správu vozového parku, WMS, ERP a podpůrnou infrastrukturu. U každého systému zdokumentujte, co dělá, kde běží, kdo ho spravuje a co se stane, pokud bude nedostupný po dobu 4 hodin (logistika je časově citlivá). Zvláštní pozornost věnujte telematice. Desítky nebo stovky připojených zařízení v terénu představují jedinečnou útočnou plochu.
3. Zaveďte hlášení incidentů
Logistika funguje na napjatých harmonogramech. Kybernetický útok, který zpozdí zásilky byť o pár hodin, může mít smluvní a finanční důsledky. Definujte, co se počítá jako významný incident, zaveďte hlásicí řetězec (prvotní hlášení do 24 hodin, oznámení do 72 hodin, závěrečná zpráva do 30 dnů od oznámení; v režimu vyšších povinností NÚKIB, v režimu nižších Národnímu CERT, v obou případech přes Portál NÚKIB, §§ 15 a 16 zákona č. 264/2025 Sb.) a vytvořte interní eskalační postupy, které počítají s nepřetržitou povahou logistických operací. Zahrňte scénáře pro víkendy a noční směny.
4. Zdokumentujte vztahy s dodavateli
Logistické společnosti se silně spoléhají na IT třetích stran: cloudově hostované TMS, telematické SaaS poskytovatele, EDI partnery a platformy dopravců. Zdokumentujte každého IT dodavatele, k jakým datům přistupuje a jaká bezpečnostní opatření se zavazuje dodržovat. Váš poskytovatel TMS má pravděpodobně větší přístup k vašim provozním datům než kterýkoli jednotlivý zaměstnanec. Zavádíte-li bezpečnostní opatření přes dodavatele, musíte ho vybírat podle požadavků opatření a zahrnout je do smlouvy (§ 13 odst. 5 zákona č. 264/2025 Sb.). Které smluvní body to jsou, uvádí příloha č. 2 vyhlášky č. 410/2025 Sb. (režim nižších povinností) a příloha č. 5 vyhlášky č. 409/2025 Sb. (režim vyšších povinností).
5. Přezkoumejte řízení přístupu
Logistika má rozptýlenou pracovní sílu: kancelářský personál, skladníky, řidiče a dispečery. Každý potřebuje jiný přístup k systémům. Zaveďte řízení přístupu na základě rolí, vynucujte MFA pro vzdálený a administrativní přístup a zajistěte, aby účty řidičů a dočasných pracovníků byly neprodleně deaktivovány při ukončení zaměstnání. Sdílené účty na skladových terminálech jsou běžné, vyhlášky však žádají pro každého uživatele a administrátora jedinečný identifikátor (vyhláška č. 410/2025 Sb., § 7 odst. 1 písm. a); vyhláška č. 409/2025 Sb., § 13 odst. 2 písm. b)). Nahraďte je individuálními přihlášeními.
Logistické společnosti provozují jedno z nejvíce distribuovaných IT prostředí ze všech odvětví. Aktiva nejsou v jedné budově. Jsou rozprostřena přes kanceláře, sklady, distribuční centra a stovky vozidel na silnici. Každý nákladní vůz s telematickou jednotkou je připojený koncový bod. Každá skladová čtečka je zařízení na vaší síti. Tato distribuovaná stopa činí tradiční perimetrovou bezpečnost méně účinnou a zvyšuje význam správy zařízení, segmentace sítě a přístupu založeného na identitě.
Časová citlivost logistiky vytváří jedinečnou výzvu pro reakci na incidenty. Ve výrobní společnosti možná snesete 24hodinový výpadek systému. V logistice 4 hodiny výpadku TMS znamenají promeškaná okna pro doručení, smluvní pokuty a kaskádovitá zpoždění. Váš plán reakce na incidenty musí počítat s tímto: jaké ruční záložní postupy existují? Mohou dispečeři směrovat zásilky telefonem? Mohou skladové operace pokračovat s papírovým vychystáváním? Tyto otázky kontinuity provozu jsou stejně důležité jako plán technické obnovy.
Logistické společnosti jsou také hluboce integrovány se systémy svých zákazníků a dopravců prostřednictvím EDI (Electronic Data Interchange), API spojení a sdílených platforem. Bezpečnostní průnik u vaší společnosti se může těmito spojeními rozšířit k zákazníkům a naopak. Vaše posouzení bezpečnosti dodavatelského řetězce by mělo pokrýt nejen vaše IT dodavatele, ale i elektronická spojení s vašimi obchodními partnery. Zabezpečení těchto rozhraní (řádné ověřování, šifrovaný přenos, validace vstupů) patří u společností v působnosti k povinným bezpečnostním opatřením (§ 14 zákona č. 264/2025 Sb.) a u všech ostatních k ochraně podniku.
Často kladené otázky
Jsme silniční nákladní dopravce s 80 nákladními vozy. Jsme v režimu vyšších, nebo nižších povinností?
Pravděpodobně ani v jednom. Silniční nákladní doprava není regulovanou službou podle vyhlášky č. 408/2025 Sb.: v silniční dopravě vyhláška zahrnuje jen správu pozemní komunikace a inteligentní dopravní systémy (bod 15). Zkontrolujte, zda neposkytujete také službu dodávání balíků (bod 20.2), nebo nepřepravujete odpad tak, že vám tato přeprava přinesla alespoň 5 % obratu za poslední účetní období (bod 11.4, režim nižších povinností). Pokud ne, na počtu nákladních vozů ani zaměstnanců nezáleží. Zákazníci, kteří do působnosti spadají, vám přesto mohou předat bezpečnostní požadavky prostřednictvím smluv, protože je musí do smluv s dodavateli zahrnout (§ 13 odst. 5 zákona č. 264/2025 Sb.). Poskytovatelem regulované služby vás to nečiní.
Považují se telematické jednotky našich nákladních vozů za aktiva podle zákona?
Poskytuje-li vaše společnost některou z regulovaných služeb, ano. Aktivem je podle § 2 zákona č. 264/2025 Sb. i technický prostředek; jakýkoli systém, který podporuje vaše regulované dopravní služby, patří do evidence aktiv. Telematické jednotky přenášejí data o poloze v reálném čase, rychlosti, teplotě (u chlazené přepravy) a pracovní době řidiče. Jsou to připojená zařízení na vaší síti. Sdružte je jako jednu položku aktiva, například „80 telematických jednotek Webfleet“ namísto 80 samostatných položek. Klíčová rizika jsou: neoprávněný přístup k datům o sledování vozidel, manipulace se záznamy tachografu a možné využití jako vstupní bod do sítě.
Používáme cloudový TMS. Je to náš problém, nebo poskytovatele?
Obojí, ale pokud je vaše společnost v působnosti, právní povinnost je vaše. Provoz můžete outsourcovat, odpovědnost ne: zavádíte-li bezpečnostní opatření prostřednictvím dodavatele, musíte ho vybírat podle požadavků opatření a zahrnout je do smlouvy (§ 13 odst. 5 zákona č. 264/2025 Sb.). Váš poskytovatel cloudového TMS je tak kritickým dodavatelem. Musíte: zdokumentovat poskytovatele ve svém řízení dodavatelů, zahrnout požadavky kybernetické bezpečnosti do smlouvy (příloha č. 2 vyhlášky č. 410/2025 Sb., v režimu vyšších povinností příloha č. 5 vyhlášky č. 409/2025 Sb.), ověřit, že poskytovatel má odpovídající bezpečnostní opatření (certifikace, auditní zprávy, závazky k oznamování incidentů), a mít pohotovostní plán pro případ, že poskytovatel utrpí průnik nebo výpadek.
Jak NIS2 souvisí s pravidly pro digitální tachografy?
Zákon č. 264/2025 Sb. a pravidla pro tachografy (nařízení (EU) č. 165/2014) jsou samostatné právní předpisy, které se překrývají v oblasti zabezpečení dat. Předpisy o tachografech vyžadují záznam dat o řidiči odolný proti manipulaci. Pro poskytovatele regulovaných služeb přidává zákon o kybernetické bezpečnosti vrstvu řízení kybernetické bezpečnosti: zabezpečení IT systémů, které tato data zpracovávají a přenášejí. Plnění zákona posiluje vaši pozici u obou, protože dobře zabezpečené IT prostředí chrání integritu regulovaných dat.
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Registrace a hlášení
Ohlásit službu NÚKIB
Vaše firma ohlásí regulovanou službu NÚKIB, ten pak rozhodne o registraci.
Řízení rizik
Sepište, co vaše firma má
Seznam procesů, programů a zařízení, se kterými pracujete.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
