NIS2 pro výrobní firmy
Výroba počítačů a elektroniky, elektrických zařízení, strojů, motorových vozidel a ostatních dopravních prostředků (oddíly 26 až 30 CZ-NACE) je regulovanou službou podle bodu 7 vyhlášky č. 408/2025 Sb.; výroba zdravotnických prostředků patří pod bod 18. Pokud má vaše firma 50+ zaměstnanců, zde je, co vyžaduje zákon č. 264/2025 Sb. a jak zvládnout výzvu OT/IT.
Proč se NIS2 vztahuje na výrobu?
Moderní výroba závisí na konvergenci IT a OT (provozní technologie). ERP systémy řídí plánování výroby. Platformy MES řídí provádění na dílně. Systémy SCADA řídí stroje a automatizaci procesů. Systémy CAD/CAM definují, co se vyrábí. Když jsou tyto systémy propojené (a ve většině továren jsou), kybernetický útok na jeden z nich může zasáhnout celý výrobní řetězec. Ransomwarová nákaza v kancelářské síti, která se dostane k MES, může zastavit výrobní linky.
Vyhláška č. 408/2025 Sb. uvádí v bodě 7 (výrobní průmysl) výrobu podle oddílů 26 až 30 klasifikace CZ-NACE: počítače, elektronické a optické přístroje; elektrická zařízení; stroje a zařízení jinde nezařazené; motorová vozidla, přívěsy a návěsy; ostatní dopravní prostředky a zařízení. Výroba zdravotnických prostředků je v bodě 18 (zdravotnictví). Firmy splňující práh velikosti (50+ zaměstnanců, nebo roční obrat i bilanční suma nad 10 milionů eur) jsou poskytovateli regulované služby v režimu nižších povinností. Výjimkou je výrobce, který sériově vyrábí osobní motorová vozidla: ten je v režimu vyšších povinností (bod 7.4).
Výroba má jedinečnou výzvu, které většina jiných odvětví nečelí ve stejném rozsahu: bezpečnost OT. Výrobní zařízení často běží na specializovaných operačních systémech, používá proprietární protokoly a má omezení životního cyklu, která ztěžují záplatování. Stroj CNC z roku 2015 může běžet na Windows 7 Embedded a nelze jej aktualizovat bez zapojení výrobce. Zákon tuto realitu neignoruje: opatření zavádíte „v míře nezbytné“ (§ 13 odst. 2 zákona č. 264/2025 Sb.) a pro techniku, kterou výrobce už nepodporuje, vyhláška č. 410/2025 Sb. žádá evidenci, opatření, která zaručí „obdobnou nebo vyšší úroveň bezpečnosti“, a omezení její komunikace v síti na nezbytně nutnou (§ 12 písm. b)). Rizika a kompenzační opatření však musíte zdokumentovat.
Výrobní informační systém (MES)
Systém, který řídí provoz na dílně: plánování výroby, provádění pracovních příkazů, sledování kvality a monitorování výkonu. Mezi běžné systémy patří SAP ME, MPDV HYDRA, Forcam nebo vlastní řešení. MES stojí mezi ERP a výrobní dílnou. Pokud vypadne, ztratíte přehled o výrobě a plánování. Jedna položka aktiva na provoz.
SCADA a průmyslové řízení
Systémy dispečerského řízení a sběru dat (SCADA), PLC (programovatelné logické automaty), HMI (rozhraní mezi člověkem a strojem) a řídicí jednotky CNC. Tyto přímo řídí fyzické výrobní procesy. Často běží na starších operačních systémech s omezenými bezpečnostními schopnostmi. Představují riziko s nejvyšším dopadem, protože kompromitace může poškodit zařízení nebo způsobit bezpečnostní incidenty. Seskupte podle výrobní linky nebo buňky.
ERP systém
Hlavní podnikový systém pro správu zakázek, pořizování, sklady, finance a plánování výroby. Běžně SAP, Helios, Microsoft Dynamics nebo abas. ERP řídí, co se vyrábí a kdy. Kompromitace zastaví zpracování zakázek, platby dodavatelům a dodávky zákazníkům. Jedna položka aktiva.
CAD/CAM a konstrukce
Systémy počítačem podporovaného návrhu a počítačem podporované výroby: SolidWorks, AutoCAD, Siemens NX, CATIA a podobné. Obsahují vaše duševní vlastnictví: návrhy produktů, výrobní postupy, tolerance. Narušení zde může znamenat ztrátu obchodního tajemství. Zahrnuje také PLM (řízení životního cyklu produktu), pokud se používá. Jedna seskupená položka.
Síťová infrastruktura
Síť propojující kancelářské IT, konstrukci a výrobní dílnu. Kriticky zahrnuje hranici IT/OT: firewally, segmenty DMZ a datové diody mezi kancelářskou sítí a sítí dílny. Pokud jsou vaše sítě IT a OT ploché (bez segmentace), je to vaše riziko s nejvyšší prioritou. Zahrňte VPN a vzdálený přístup pro údržbu dodavatelů.
Koncová zařízení a kancelářské IT
Notebooky, stolní počítače a mobilní zařízení pro kancelářské pracovníky, konstrukci a řízení výroby. Standardní kancelářské aplikace, e-mail, nástroje pro spolupráci. Stejná zařízení můžete evidovat jako jednu položku: „80 standardních notebooků s Windows“ je jedna položka; zákon podrobnost evidence nepředepisuje (§ 12 odst. 3). Zahrňte také servery (souborové, tiskové, aplikační) jako samostatnou seskupenou položku, pokud jsou významné.
1. Ohlaste službu NÚKIB
Ohlaste službu NÚKIB na Portálu NÚKIB (portal.nukib.gov.cz) nejpozději do 60 dnů ode dne, kdy jste podmínky splnili (§ 6 odst. 1 zákona č. 264/2025 Sb.); statutární orgán se přihlašuje přes NIA. Na základě ohlášení NÚKIB vydá rozhodnutí o registraci a od jeho doručení vám běží roční lhůta pro bezpečnostní opatření a hlášení incidentů (§ 13 odst. 4, § 15 odst. 4). Neohlášení služby je přestupek (§ 60 odst. 1 písm. a)). Pokud lhůta uplynula, ohlaste službu ihned.
2. Sestavte soupis aktiv (IT a OT)
Tady se výroba liší od ostatních odvětví. Musíte sepsat IT systémy (ERP, e-mail, konstrukce) i OT systémy (MES, SCADA, PLC, stroje CNC). U OT aktiv zdokumentujte operační systém, verzi firmwaru, síťové připojení a zda výrobce poskytuje bezpečnostní aktualizace. Tento soupis je základem pro vše, co následuje.
3. Posuďte a segmentujte svou síť OT
Jediné nejvlivnější technické opatření pro výrobce. Pokud vaše kancelářské IT a výrobní OT sdílí plochou síť, ransomwarová nákaza v kanceláři se může dostat k vašim výrobním řídicím jednotkám. Zaveďte segmentaci sítě: oddělte IT a OT do odlišných síťových zón s firewallem mezi nimi. Segmentaci komunikační sítě žádá vyhláška č. 410/2025 Sb. (§ 11 písm. a)); v režimu vyšších povinností vyhláška č. 409/2025 Sb. výslovně odděluje sítě průmyslových a řídicích aktiv od jiných prostředí (§ 27 písm. c)). Podrobný postup popisuje německá metodika IT-Grundschutz v modulu IND.1.
4. Nastavte hlášení incidentů
Stanovte, co pro vaši výrobu znamená významný incident. Ransomwarový útok, který zastaví výrobní linky, je jednoznačně významný. Zablokovaný pokus o phishingový e-mail nikoli. V režimu nižších povinností si práh stanovíte sami jako únosnou míru újmy (vyhláška č. 410/2025 Sb., § 14). Zaveďte řetězec hlášení, včetně toho, kdo podává hlášení přes Portál NÚKIB (v režimu nižších povinností Národnímu CERT, v režimu vyšších NÚKIB; prvotní hlášení do 24 hodin) a jak se k němu dostat mimo pracovní dobu. Otestujte proces stolním cvičením.
5. Zdokumentujte vztahy s dodavateli
Výrobní firmy mají často více OT dodavatelů se vzdáleným přístupem k výrobním systémům kvůli údržbě a aktualizacím. Zdokumentujte každého dodavatele s přístupem k vaší síti, k čemu se může dostat a jaká bezpečnostní opatření přijímá. Spojení pro vzdálenou údržbu systémů SCADA jsou běžným vektorem útoku. Zajistěte, aby byla řádně zabezpečena a monitorována, a bezpečnostní požadavky zahrňte do smlouvy (§ 13 odst. 5 zákona č. 264/2025 Sb.).
Výzvu shody s NIS2 ve výrobě definuje konvergence IT/OT. Váš kancelářský IT tým rozumí záplatování, řízení přístupu a síťové bezpečnosti. Výrobní zařízení však funguje podle jiných pravidel: stroj CNC nemůžete během výrobního cyklu restartovat kvůli záplatám. PLC mohou běžet na firmwaru, který nebyl roky aktualizován, protože výrobce nevydal aktualizaci. Systémy SCADA mohou používat proprietární protokoly, kterým standardní nástroje IT bezpečnosti nerozumí.
Řešením není vnucovat OT postupy IT bezpečnosti. Je to vybudovat bezpečnostní model, který respektuje omezení. Segmentace sítě izoluje OT od rizik IT. Monitorování detekuje anomálie, aniž by vyžadovalo agenty na řídicích jednotkách. Kompenzační kontroly (omezený fyzický přístup, vyhrazené sítě pro údržbu, logování) poskytují ochranu tam, kde tradiční IT kontroly nejsou proveditelné. Vše zdokumentujte. Vyhláška pro nepodporovanou techniku sama počítá s opatřeními, která zaručí „obdobnou nebo vyšší úroveň bezpečnosti“ (vyhláška č. 410/2025 Sb., § 12 písm. b)); zdokumentovat, proč jste zvolili kompenzační kontroly namísto přímého záplatování, je proto platný přístup.
Výrobní firmy také čelí riziku pro duševní vlastnictví, kterému jiná odvětví nemusí čelit. Soubory CAD, výrobní postupy, tolerance a specifikace dodavatelů jsou cenná obchodní tajemství. Narušení, které je vystaví, nevytváří jen problém se shodou. Vytváří konkurenční nevýhodu. Řízení přístupu ke konstrukčním systémům a šifrování konstrukčních souborů by mělo mít prioritu vedle práce na segmentaci OT.
Časté dotazy
Naše výrobní stroje běží na Windows 7 nebo starších. Vyžaduje zákon upgrade?
Zákon nenařizuje konkrétní verze operačních systémů. Pro techniku, kterou výrobce už nepodporuje, ale stanoví postup: vést její evidenci, zavést opatření, která zaručí obdobnou nebo vyšší úroveň bezpečnosti, a omezit její komunikaci v síti na nezbytně nutnou (vyhláška č. 410/2025 Sb., § 12 písm. b)). V režimu vyšších povinností vyhláška č. 409/2025 Sb. žádá podporovaná technická aktiva a do té doby kompenzační opatření a evidenci (§ 24 odst. 1 a 2). V praxi to znamená: zdokumentovat riziko (nepodporovaný OS, žádné záplaty), zavést kompenzační kontroly (izolace sítě, omezený přístup, monitorování) a naplánovat výměnu na konci životního cyklu. Cílem je riziko uznat a řídit, ne provádět nemožné upgrady zařízení, které nelze aktualizovat.
Musíme oddělit naše sítě IT a OT?
Segmentace sítě mezi IT a OT je jediné nejvlivnější bezpečnostní opatření pro výrobce. Segmentaci komunikační sítě žádá vyhláška č. 410/2025 Sb. (§ 11 písm. a)) i vyhláška č. 409/2025 Sb. (§ 18 písm. a), pro průmyslová a řídicí aktiva § 27 písm. c)); doporučuje ji i prováděcí nařízení (EU) 2024/2690 a německá metodika IT-Grundschutz (IND.1). Pokud jsou vaše sítě nyní ploché, mělo by to být vaší hlavní technickou prioritou. Minimálně nasaďte firewall mezi kancelářskou síť a výrobní síť, omezte provoz pouze na nezbytný a logujte všechna spojení napříč zónami.
Náš dodavatel strojů má vzdálený přístup kvůli údržbě. Je to problém?
Vzdálený přístup pro údržbu je běžný a nezbytný, ale je významným vektorem rizika. Podle zákona musíte tento přístup zdokumentovat, zahrnout bezpečnostní požadavky do smlouvy s dodavatelem (§ 13 odst. 5 zákona č. 264/2025 Sb.) a zavést kontroly: vyhrazená spojení VPN (ne otevřené porty), časově omezený přístup (povolený pouze v případě potřeby), logování všech vzdálených relací a vícefaktorové ověřování. Vyhláška vzdálená připojení omezuje na nezbytně nutná a žádá přehled o tom, kdo je užívá (vyhláška č. 410/2025 Sb., § 11 písm. d)).
Jsme dodavatel druhého stupně v automobilovém průmyslu. Vztahuje se na nás zákon, i když se nás OEM nezeptal?
Pokud vaše výroba patří do oddílu 29 CZ-NACE (motorová vozidla, přívěsy a návěsy, včetně dílů) nebo do oddílu 30 (ostatní dopravní prostředky) a jste střední nebo velký podnik, zákon se na vás vztahuje bez ohledu na to, co vyžaduje váš zákazník OEM. Tyto výroby jsou výslovně uvedeny v bodech 7.4 a 7.5 vyhlášky č. 408/2025 Sb. V praxi budou automobilové OEM stále častěji vyžadovat plnění NIS 2 od svého dodavatelského řetězce. TISAX již pokrývá podobnou oblast. Předběhnout tento požadavek je strategicky rozumné.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
