Phishingový incident podle NIS 2
Jak phishing překračuje práh významného incidentu, co vyžaduje kaskáda hlášení a co typický playbook řeší paralelně.
Co tato stránka pokrývá
Phishing není podle NIS 2 samostatnou regulační kategorií. Směrnice zachází s úspěšným phishingovým pokusem jako s jedním z možných významných incidentů mezi ostatními. Kvalitativní test v čl. 23 odst. 3 NIS 2 je tentýž, kterým musí projít každý jiný typ incidentu. Pro poskytovatele digitálních služeb stanoví prováděcí nařízení Komise (EU) 2024/2690 (CIR) v čl. 3 kritéria, která platí jako významná vždy; pro phishing je klíčové písm. e), úspěšný podezřelý zlovolný a neoprávněný přístup. V Česku rozhoduje § 15 zákona č. 264/2025 Sb.
Spouštěč, který většina provozovatelů přehlédne, je kompromitace přihlašovacích údajů. Phishingový e-mail, který zachytí funkční přihlašovací údaje ke kritickému účtu, není těsným minutím. Je to úspěšný neoprávněný přístup. Zda pak splní práh čl. 23 odst. 3 NIS 2 (v Česku podmínky § 15 zákona), závisí na tom, k čemu se účet dostane, co bylo vyneseno a které služby byly zasaženy.
Tato stránka popisuje mechaniku, ne právní radu. Popisuje lhůty prvotního hlášení, oznámení a závěrečné zprávy podle čl. 23 odst. 4 NIS 2 a § 16 zákona č. 264/2025 Sb., jak typický playbook SOC řeší zadržení a zajištění důkazů a kde souběžně běží čl. 33 GDPR, když jsou zasaženy osobní údaje.
Směrnice NIS 2 (EU) 2022/2555, čl. 23 odst. 3
Incident se považuje za významný, jestliže: a) dotčenému subjektu způsobil nebo může způsobit závažné provozní narušení služeb nebo finanční ztráty; b) způsobil nebo může způsobit jiným fyzickým nebo právnickým osobám značnou hmotnou nebo nehmotnou újmu.
Toto je jediná obecná definice významného incidentu v právu EU; v Česku ji přebírá § 15 odst. 3 zákona č. 264/2025 Sb. Oba body používají „může způsobit“, takže se počítá potenciální škoda stejně jako skutečná. Phishing, který vyzradil přihlašovací údaje k privilegovanému účtu, může splnit bod a) dřív, než se jakákoli služba skutečně zastaví.
CIR (EU) 2024/2690, čl. 3 odst. 1 písm. e)
Incident se považuje za významný pro účely čl. 23 odst. 3 směrnice (EU) 2022/2555, pokud jde o příslušné subjekty, je-li splněno jedno nebo více z těchto kritérií: (…) e) došlo k úspěšnému podezřelému zlovolnému a neoprávněnému přístupu do sítě a informačních systémů, který může způsobit vážné narušení provozu;
CIR neobsahuje seznam kategorií jako ransomware nebo phishing. Čl. 3 stanoví kritéria: přímá finanční ztráta nad 500 000 EUR nebo 5 % ročního obratu, únik obchodního tajemství, úmrtí, značná újma na zdraví, úspěšný zlovolný neoprávněný přístup schopný způsobit vážné narušení provozu, opakované incidenty (čl. 4) a prahy pro jednotlivé typy poskytovatelů (čl. 5 až 14). Platí jen pro poskytovatele digitálních služeb uvedené v čl. 1, v Česku pro ně § 18 zákona č. 264/2025 Sb. Phishing, který skončí funkčními přihlašovacími údaji útočníka k privilegovanému účtu, u nich může splnit písm. e). Pro ostatní odvětví rozhoduje kvalitativní test čl. 23 odst. 3, v Česku § 15 zákona.
§ 15 zákona č. 264/2025 Sb. (Česko)
(1) Poskytovatel regulované služby v režimu vyšších povinností je povinen hlásit Úřadu postupem podle § 16 kybernetické bezpečnostní incidenty, které se projevily ve stanoveném rozsahu, mají původ v kybernetickém prostoru a nelze u nich ve lhůtě podle § 16 odst. 1 vyloučit úmyslné zavinění. (2) Poskytovatel regulované služby v režimu nižších povinností je povinen hlásit národnímu týmu koordinace a zvládání kybernetických bezpečnostních incidentů, událostí a hrozeb (dále jen „Národní CERT“) postupem podle § 16 kybernetické bezpečnostní incidenty, které se projevily ve stanoveném rozsahu, mají původ v kybernetickém prostoru, mají významný dopad na poskytování regulované služby a nelze u nich ve lhůtě podle § 16 odst. 1 vyloučit úmyslné zavinění.
Česko lhůty směrnice přebírá (§ 16 zákona: prvotní hlášení do 24 hodin po zjištění, oznámení do 72 hodin, závěrečná zpráva do 30 dnů od oznámení) a hlášení směruje přes Portál NÚKIB (portal.nukib.gov.cz). Liší se okruh incidentů: ve vyšším režimu hlásíte NÚKIB každý incident z kybernetického prostoru, u něhož nelze vyloučit úmysl, a o významnosti rozhodne NÚKIB do 24 hodin (§ 16 odst. 2); v nižším režimu hlásíte Národnímu CERT jen incidenty s významným dopadem. Phishing je útok, úmysl tedy vyloučit nelze. Formulář Portálu NÚKIB nabízí typy „Phishing Credential Harvester“ a „Phishing Malfile Dropper“.
Triáž a rozhodnutí o prahu
Lhůta běží od zjištění incidentu (§ 16 odst. 1 zákona č. 264/2025 Sb.). Zákon okamžik zjištění nedefinuje; bezpečné je počítat ho od chvíle, kdy kompetentní osoba ve firmě ví dost na to, aby incident podezírala, ne až od konce vyšetřování. Triáž odpovídá na tři otázky: které účty byly kompromitovány, k čemu se tyto účty dostanou a zda incident splňuje podmínky § 15 zákona (ve vyšším režimu narušení bezpečnosti informací ve stanoveném rozsahu, v nižším navíc překročení vašeho prahu, u poskytovatelů digitálních služeb kritéria čl. 3 CIR). Pokud ano, otázka je uzavřena a připravuje se prvotní hlášení.
Zadržení a důkazy
Typický playbook SOC resetuje kompromitované přihlašovací údaje, zruší aktivní relace, zablokuje doménu odesílatele, izoluje zasažené koncové body od sítě a zajistí poštovní schránku, obraz disku koncového bodu a logy ověřování před jakoukoli reinstalací. Vymazání phishingem zasaženého stroje před pořízením obrazu zničí forenzní záznam, který později odpovídá na to, k čemu se útočník skutečně dostal.
Lhůty 24 h / 72 h / 30 dnů
Čl. 23 odst. 4 NIS 2 a § 16 zákona č. 264/2025 Sb. stanoví lhůty od zjištění incidentu. Do 24 hodin podáte prvotní hlášení s identifikačními a základními údaji a s tím, zda se domníváte, že incident způsobil nezákonný zásah nebo že může mít přeshraniční dopad. Do 72 hodin oznámení doplní prvotní posouzení, dopad a indikátory kompromitace, pokud jsou k dispozici. Do 30 dnů od oznámení následuje závěrečná zpráva o vyřešení incidentu. Ve vyšším režimu oznámení a závěrečná zpráva následují, jen když NÚKIB sdělí, že incident má významný dopad na kybernetický prostor státu.
Rozsah škody je to, co dělá phishing významným
Článku 23 odst. 3 nezáleží na technice. Záleží mu na účinku. Phishingový e-mail otevřený jedním finančním referentem není významný. Tentýž e-mail, pokud zachytil funkční přihlašovací údaje umožňující přístup k fakturačnímu systému, mzdám nebo zákaznické databázi, může splnit bod a) o potenciálním narušení provozu nebo bod b) o škodě fyzickým nebo právnickým osobám. Otázka rozsahu zní: k čemu se mohly kompromitované přihlašovací údaje dostat, než byly zneplatněny, a co bylo dosaženo během okna přístupu.
Rychlost překonává úplnost
NÚKIB to v návodu k hlášení říká jasně: v prvotním hlášení „není nutné mít k dispozici všechny detaily“, „důležitá je včasnost“. Prvotní hlášení je stavěné pro chvíli, kdy je obraz neúplný: zákon v něm chce jen identifikační a základní údaje (§ 16 odst. 1 zákona č. 264/2025 Sb.). Zadržovat ho, dokud není známo vše, znamená zmeškat lhůtu; tu nelze dohnat později, ani když se incident nakonec ukáže jako nevýznamný.
NÚKIB: hlášení přes Portál NÚKIB
Hlášení podle § 15 zákona č. 264/2025 Sb. podáváte přes Portál NÚKIB (portal.nukib.gov.cz), ve vyšším režimu NÚKIB, v nižším Národnímu CERT. Portál vede prvotním hlášením, oznámením i závěrečnou zprávou a po odeslání vydá potvrzení o přijetí s číslem jednacím. Nelze-li portál použít, pošlete hlášení e-mailem nebo do datové schránky NÚKIB, resp. Národního CERT (§ 16 odst. 4). Incidenty z phishingu, které podmínky splňují, jdou tímto kanálem bez ohledu na to, zda se týkají i osobních údajů.
ÚOOÚ: souběžně čl. 33 GDPR
Pokud phishing zasáhl osobní údaje, běží vedle hlášení podle zákona o kybernetické bezpečnosti čl. 33 GDPR. Ohlášení jde Úřadu pro ochranu osobních údajů (ÚOOÚ) bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy jste se o porušení dozvěděli, ledaže je nepravděpodobné, že by porušení mělo za následek riziko pro práva a svobody fyzických osob. Hlášení NÚKIB a ohlášení ÚOOÚ jsou samostatné dokumenty pro samostatné úřady; fakta se překrývají, formální kanály ne.
Policie ČR: trestní oznámení jako samostatné rozhodnutí
Úspěšný phishing může naplnit trestné činy podle trestního zákoníku č. 40/2009 Sb.: neoprávněný přístup k počítačovému systému (§ 230), opatření a přechovávání přístupového zařízení a hesla k počítačovému systému (§ 231) nebo podvod (§ 209). Trestní oznámení musí přijmout policejní orgán i státní zástupce (§ 158 odst. 2 trestního řádu). Jeho podání je samostatné rozhodnutí vedení, oddělené od hlášení NÚKIB, a žádnou lhůtu nepozastavuje.
„Byl to jen jeden uživatel, není to významné“
Test čl. 23 odst. 3 se ptá, zda incident může způsobit závažné narušení provozu nebo značnou újmu třetím stranám. Funkční přihlašovací údaje k privilegovanému účtu v rukou útočníka mohou způsobit obojí, bez ohledu na to, kolik uživatelů na phishing naletělo. Významnost rozhoduje to, k čemu se přihlašovací údaje dostanou, ne počet lidí, kteří klikli. Ve vyšším režimu v Česku o významnosti navíc nerozhodujete vy: incident nahlásíte a NÚKIB do 24 hodin sdělí, zda je významný (§ 16 odst. 2 zákona č. 264/2025 Sb.).
„Notebook pro jistotu hned přeinstalujte“
Vymazání koncového zařízení před pořízením forenzního obrazu zničí jediný záznam o tom, co útočník během přístupu skutečně udělal. Oznámení do 72 hodin i závěrečná zpráva do 30 dnů od oznámení žádají indikátory kompromitace a příčinu. Bez obrazu jsou tyto odpovědi dohady. Typický playbook nejprve izoluje, pořídí obraz zařízení a zasažené poštovní schránky a teprve pak přeinstaluje.
„Mlčet je bezpečnější, interně nikomu nic neříkejte“
Čl. 23 odst. 1 NIS 2 počítá s tím, že subjekt v příslušných případech oznámí významné incidenty příjemcům svých služeb; v Česku tak učiníte, považujete-li to za vhodné, a NÚKIB vám to může uložit i zakázat (§ 19 odst. 1 zákona č. 264/2025 Sb.). Mlčení uvnitř firmy zdržuje druhou vlnu detekce: další zaměstnance, kteří dostali tentýž e-mail, další účty, které už mohou být kompromitovány. Krátká věcná interní zpráva v prvních hodinách je součástí reakce, ne tisková zpráva.
Nejužitečnější věc, kterou si malý tým může nacvičit před skutečnou událostí, je rozhodnutí o hlášení. Sepište si předem, které účty jsou pro subjekt „kritické“ (administrátorské konzole, platební systémy, poskytovatel identit, zákaznická databáze, řízení OT). Phishing, který zachytí kterýkoli z nich, je podle vaší vlastní definice incident k hlášení a 24hodinová lhůta běží. V nižším režimu tím zároveň plníte vyhlášku č. 410/2025 Sb.: metodiku posuzování incidentů včetně významnosti máte mít předem (§ 10 písm. b), § 14).
Druhá nejužitečnější věc je šablona hlášení. Portál NÚKIB žádá strukturovanou sadu faktů, u phishingu například vzorek e-mailu s hlavičkami, zda někdo zadal přihlašovací údaje a zda bylo zapnuté vícefaktorové ověřování. Psát prvotní hlášení poprvé během skutečného incidentu stojí první dvě hodiny. Předvyplněná šablona s identifikačními údaji firmy, regulovanou službou, kontakty a prázdným popisem se dá podat do třiceti minut, jakmile jsou fakta pohromadě.
- Směrnice (EU) 2022/2555 (NIS 2), čl. 23 (oznamovací povinnosti), čl. 21 odst. 2 písm. g) (kybernetická hygiena a školení), bod odůvodnění 101 (ukazatele významnosti): https://eur-lex.europa.eu/eli/dir/2022/2555/oj/ces
- Prováděcí nařízení Komise (EU) 2024/2690 ze dne 17. října 2024, čl. 3 (kritéria významného incidentu pro poskytovatele digitálních služeb): https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj/ces
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 15 (hlášení incidentů): https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_15, § 16 (postup hlášení): https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_16, § 19 (informační povinnost): https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_19
- Nařízení (EU) 2016/679 (obecné nařízení o ochraně osobních údajů), čl. 33 (ohlášení porušení zabezpečení osobních údajů dozorovému úřadu do 72 hodin, v Česku ÚOOÚ): https://eur-lex.europa.eu/eli/reg/2016/679/oj/ces
- NÚKIB: Návod k hlášení incidentů pro vyšší režim a pro nižší režim podle nového zákona: https://portal.nukib.gov.cz/informacni-servis/podpurne-materialy/6a75b571e1ca5aad870abd55, https://portal.nukib.gov.cz/informacni-servis/podpurne-materialy/6a1d9256fc2a7b93040173db
- Trestní zákoník č. 40/2009 Sb., § 209 (podvod), § 230 (neoprávněný přístup k počítačovému systému a neoprávněný zásah do počítačového systému nebo nosiče informací), § 231 (opatření a přechovávání přístupového zařízení a hesla k počítačovému systému a jiných takových dat): https://e-sbirka.gov.cz/sb/2009/40
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Řešení incidentů
Naplánujte, co se stane při incidentu
Kdo rozhoduje, komu voláte, jak se spojíte.
Řešení incidentů
Vědět, jak nahlásit incident
Až tři hlášení s pevnými lhůtami, přes Portál NÚKIB.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
