Řešení incidentů v NIS 2 podle čl. 21 odst. 2 písm. b)
Čl. 21 odst. 2 písm. b) je interní povinnost: detekovat, zadržet, obnovit, zdokumentovat, poučit se. Čl. 23 je externí povinnost: hlásit incidenty. V Česku je to hlášení podle §§ 15 a 16 zákona č. 264/2025 Sb., ve vyšším režimu NÚKIB, v nižším režimu Národnímu CERT. Dvě různé povinnosti, často zaměňované. Bod 3 přílohy CIR (EU) 2024/2690 tu interní rozepisuje.
Stručně
Řešení incidentů je bod b) na seznamu deseti povinností kybernetické bezpečnosti podle čl. 21 odst. 2. Jde o to, co děláte uvnitř firmy, když se něco pokazí: zachytit to, zadržet to, obnovit, zapsat, co se stalo, a poučit se z toho.
Bod 3 přílohy CIR (EU) 2024/2690 doplňuje detail v šesti pododdílech: 3.1 písemná koncepce řešení incidentů, 3.2 monitorování a logování, 3.3 interní eskalace událostí, 3.4 klasifikace, 3.5 samotná reakce (zadržení, odstranění, obnova), 3.6 přezkum po incidentu. Pokud provozujete DNS, cloud, datové centrum, MSP nebo jinou službu některého z druhů subjektů uvedených v čl. 1 CIR, váže vás to přímo.
V Česku ukládá zvládání a řešení incidentů zákon č. 264/2025 Sb. v obou režimech (§ 14 odst. 1 písm. a) bod 12, odst. 2 písm. j)). Vyhláška č. 410/2025 Sb. ho pro nižší režim rozepisuje v § 10, vyhláška č. 409/2025 Sb. pro vyšší režim v § 14. Tato stránka prochází směrnici, navazující nařízení EU a české provedení v tomto pořadí.
Čl. 21 odst. 2 písm. b) směrnice NIS 2 (2022/2555)
Řešení incidentů.
Bod b) na seznamu deseti opatření kybernetické bezpečnosti. Dvě slova v textu směrnice. Bod 3 přílohy CIR mění tato dvě slova v provozní detail. Důležité: jde o interní povinnost řešení. Externí povinnost oznámit CSIRT je v čl. 23 a je na samostatné stránce.
CIR (EU) 2024/2690, příloha, bod 3
Pro účely čl. 21 odst. 2 písm. b) směrnice (EU) 2022/2555 příslušné subjekty vypracují a zavedou politiku řešení incidentů, která stanoví úkoly, odpovědnosti a postupy pro včasné odhalování, analýzu a omezování incidentů nebo reagování na ně, obnovu po incidentech, dokumentování a oznamování incidentů.
Protože jde o nařízení, je to přímo závazné právo EU. Žádná národní transpozice není potřeba. Bod 3 přílohy rozkládá povinnost do šesti pododdílů: koncepce (bod 3.1), logování (bod 3.2), interní eskalace (bod 3.3), klasifikace (bod 3.4), reakce (bod 3.5), přezkum po incidentu (bod 3.6). V Česku se podle něj digitální poskytovatelé u svých služeb řídí na základě § 18 odst. 1 zákona č. 264/2025 Sb. a § 13 odst. 2 zákona se na ně nepoužije.
Vyhláška č. 410/2025 Sb., § 10 (Česko, nižší režim)
Povinná osoba při řešení kybernetických bezpečnostních událostí a kybernetických bezpečnostních incidentů a) zajistí, že uživatelé, administrátoři, osoby pověřené kybernetickou bezpečností a další zaměstnanci budou oznamovat neobvyklé chování technických aktiv a podezření na jakékoliv zranitelnosti, b) vytvoří metodiku pro posuzování kybernetických bezpečnostních událostí a kybernetických bezpečnostních incidentů, včetně posuzování významnosti dopadu kybernetického bezpečnostního incidentu v souladu s § 14, c) zajistí detekci kybernetických bezpečnostních událostí, d) zajistí posuzování kybernetických bezpečnostních událostí a kybernetických bezpečnostních incidentů v souladu s metodikou podle písmene b), e) zajistí hlášení kybernetického bezpečnostního incidentu s významným dopadem podle § 15 zákona, f) zajistí vytvoření závěrečné zprávy o vyřešení kybernetického bezpečnostního incidentu s významným dopadem podle § 16 zákona.
V nižším režimu posuzujete významnost incidentu podle vlastní únosné míry újmy a vlastních oblastí posouzení (410 § 14). Ve vyšším režimu § 14 vyhlášky č. 409/2025 Sb. přidává přidělené odpovědnosti, pravidla pro sběr a uchování podkladů pro analýzu, prošetření příčin, záznamy o incidentech a jejich zvládání a vyhodnocení účinnosti řešení s opatřeními proti opakování.
Písemná koncepce řešení incidentů
Zapište, kdo co dělá, když se něco pokazí. Role, odpovědnosti, kroky pro detekci, analýzu, zadržení, obnovu, dokumentaci a interní hlášení. Bod 3.1.1 přílohy CIR vyžaduje, aby koncepce existovala před incidentem, ne po něm. Schválení vedením je osvědčená praxe; český zákon ho nežádá.
Monitorování a logování
Nemůžete řešit to, co nevidíte. Bod 3.2 přílohy CIR vyjmenovává dvanáct typů událostí, které musíte logovat (pokusy o přihlášení, změny oprávnění, detekce malwaru, síťové anomálie a další). Logy musí být odolné vůči manipulaci a uchovávané dostatečně dlouho, aby podpořily analýzu. To je vrstva detekce.
Fáze reakce: zadržení, odstranění, obnova
Bod 3.5 přílohy CIR rozděluje reakci do tří fází. Zadržení zastaví šíření incidentu. Odstranění odstraní hlavní příčinu. Obnova vrátí systémy do známého dobrého stavu. Každá fáze musí být dokumentována průběžně, aby bod 3.6 (přezkum po incidentu) měl s čím pracovat.
Interní řešení není externí hlášení
Čl. 21 odst. 2 písm. b) je to, co děláte uvnitř firmy. Čl. 23 je to, co sdělujete orgánu. V Česku podle §§ 15 a 16 zákona č. 264/2025 Sb.: prvotní hlášení nejpozději do 24 hodin od zjištění incidentu, u incidentů s významným dopadem oznámení do 72 hodin a závěrečná zpráva do 30 dnů od oznámení; ve vyšším režimu NÚKIB, v nižším režimu Národnímu CERT. Dvě oddělené povinnosti. Provedení hlášení nevyřeší řešení a provedení řešení nevyřeší hlášení.
Přezkum po incidentu se vrací do řízení rizik
Bod 3.6 přílohy CIR uzavírá smyčku. Poučení z každého incidentu se vrací do rámce řízení rizik podle bodu 2 přílohy CIR. Přidávají se nová rizika, aktualizují se plány zvládání, upravují se kontroly. To je cyklus PDCA. Incident, který vyřešíte, ale nepoučíte se z něj, je práce jen napůl.
NÚKIB / Národní CERT / §§ 15 a 16 zákona č. 264/2025 Sb.
Interní řešení stanoví vyhlášky (410 § 10, 409 § 14). Hlášení stanoví zákon. Ve vyšším režimu hlásíte NÚKIB incidenty ve stanoveném rozsahu s původem v kybernetickém prostoru, u kterých nelze ve lhůtě pro prvotní hlášení vyloučit úmyslné zavinění (§ 15 odst. 1). V nižším režimu hlásíte Národnímu CERT incidenty se stejnými znaky, ale jen ty s významným dopadem na poskytování služby (§ 15 odst. 2). Oba režimy hlásí přes Portál NÚKIB (§ 16 odst. 4). Německá metodika IT-Grundschutz (DER.2) může posloužit jako inspirace pro písemnou koncepci, v Česku ale závazná není.
Technické implementační pokyny ENISA
TIG od ENISA bere bod 3 přílohy CIR a ukazuje, jak důkazy vypadají v praxi: písemná koncepce, playbook, záznamy ze simulací, poznámky z přezkumu po incidentu. Mapuje také bod 3 na zavedené kontroly v ISO/IEC 27001:2022 (čl. A.5.24 až A.5.28) a NIST CSF 2.0 (funkce Respond a Recover), takže stávající certifikace vám dává náskok.
Národní transpoziční zákony
Každý členský stát má vlastní transpoziční zákon (Nizozemsko: Cyberbeveiligingswet, Rakousko: NISG, Belgie: NIS2-Wet). Základ povinnosti je všude stejný, státy ale mohou jít dál (čl. 5 NIS 2). Co se liší: se kterým CSIRT mluvíte ohledně hlášení podle článku 23 a jak každý národní orgán formuluje praktické pokyny.
Když se něco stane, nahlásíme to NÚKIB, takže jsme krytí.
To pokrývá čl. 23, ne čl. 21 odst. 2 písm. b). Hlášení je externí povinnost. Čl. 21 odst. 2 písm. b) je ta interní: detekovat, zadržet, obnovit, zdokumentovat, přezkoumat. Obojí musí existovat. Auditor bude chtít vidět koncepci řešení incidentů (bod 3.1 přílohy CIR) nad rámec záznamu o hlášení podle čl. 23.
Playbook napíšeme, až se něco stane.
Bod 3.1.1 přílohy CIR je výslovný: politiku řešení incidentů subjekty „vypracují a zavedou“, tedy před incidentem. Role, odpovědnosti, postupy, vše na papíře, ideálně schválené vedením. Psát to během incidentu není řešení, je to improvizace. Auditoři nejprve kontrolují datovanou, podepsanou koncepci.
Řeší to IT tým, to stačí.
Bod 3.1.1 přílohy CIR vyžaduje zdokumentované role a odpovědnosti. Kdo vyhlašuje incident. Kdo rozhoduje o zadržení. Kdo mluví s právním oddělením. Kdo schvaluje obnovu. Koncepci by mělo schválit vedení; zákon to nežádá, je to osvědčená praxe. „Řeší to IT tým“ není struktura, je to předpoklad.
Typická mezera u středních firem je dokumentace, ne schopnost. Detekce probíhá (někdo si všimne, IT to prošetří, problém se vyřeší). Dokumentace ne. Bez datovaného záznamu o tom, kdo co udělal, nemá auditor jak ověřit, že byl bod 3 přílohy CIR dodržen. Náprava spočívá v tom, nejprve sestavit playbook, pak dvakrát ročně simulovat a poté zachytit poučení v šabloně přezkumu po incidentu.
Dvě simulace ročně jsou tím, na čem se většina provozovatelů, se kterými mluvíme, ustálí. Jedna stolní (lidé kolem stolu procházejí playbook scénářem), jedna technická (řízené obnovení ze zálohy, nácvik reakce na phishing, něco, co procvičí nástroje). Smyslem je najít mezery dříve než auditor nebo skutečný incident. Přiměřenost podle čl. 21 odst. 1 vám umožňuje přizpůsobit simulaci vaší velikosti a rizikovému profilu. Neumožňuje vám je vynechat.
- Směrnice (EU) 2022/2555 (NIS 2), čl. 21 odst. 2 písm. b). eur-lex.europa.eu/eli/dir/2022/2555/oj
- Prováděcí nařízení Komise (EU) 2024/2690 (CIR), příloha, bod 3. eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 14: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_14 a §§ 15 a 16: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_15; vyhláška č. 410/2025 Sb. (nižší režim), § 10 a § 14: https://e-sbirka.gov.cz/sb/2025/410/2025-11-01#par_10
- Vyhláška č. 409/2025 Sb. (vyšší režim), § 14: https://e-sbirka.gov.cz/sb/2025/409/2025-11-01#par_14
- Technické implementační pokyny ENISA pro CIR (EU) 2024/2690, mapování bodu 3 přílohy na ISO/IEC 27001:2022 a NIST CSF 2.0
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Řešení incidentů
Naplánujte, co se stane při incidentu
Kdo rozhoduje, komu voláte, jak se spojíte.
Řešení incidentů
Vědět, jak nahlásit incident
Až tři hlášení s pevnými lhůtami, přes Portál NÚKIB.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
