Hlavní partner sekce
Partneři sekce
Tematické sekce
 ERP systémy
 CRM systémy
 Plánování a řízení výroby
 AI a Business Intelligence
 DMS/ECM - Správa dokumentů
 HRM/HCM - Řízení lidských zdrojů
 EAM/CMMS - Správa majetku a údržby
 Účetní a ekonomické systémy
 ITSM (ITIL) - Řízení IT
 Cloud a virtualizace IT
 IT Security
 Logistika, řízení skladů, WMS
 IT právo
 GIS - geografické informační systémy
 Projektové řízení
 Trendy ICT
 E-commerce B2B/B2C
 CAD/CAM/CAE/PLM/3D tisk
 
Branžové sekce
 Automobilový průmysl
 Banky a finanční organizace
 Energetika a utility
 Potravinářský průmysl
 Stavebnictví - BIM, CAFM
 Veřejný sektor a zdravotnictví
Inzerce
SystemNEWS

Přihlaste se k odběru zpravodaje SystemNEWS na LinkedIn, který každý týden přináší výběr článků z oblasti podnikové informatiky

Archiv SystemNEWS

Přehledy
Inzerce
 
Partneři webu
Best WordPress Themes
Hlavní strana -> Časopis IT Systems -> Rok 2025 -> IT Systems 11/2025 -> Kybernetický útok jako zásah vyšší moci?
IT SYSTEMS 11/2025 , IT Security , IT právo

Kybernetický útok jako zásah vyšší moci?

Jan Tomíšek, Michaela Holíková

V lednu 2022 ochromil masivní kybernetický útok provoz německého distributora paliv Oiltanking. Společnost byla nucena aktivovat doložku vyšší moci ve smlouvách, protože nebyla schopna plnit své smluvní závazky. Tento případ jasně ukázal, jak se digitální hrozby stávají reálnou překážkou v obchodních vztazích a otevírají zásadní právní otázku: Může být kybernetický útok považován za vyšší moc, která firmu zprostí odpovědnosti za nesplnění smlouvy? Odpověď není jednoduchá a závisí na mnoha faktorech, od povahy útoku až po kvalitu smluvních ujednání.


Co je to vlastně vyšší moc?

Vyšší moc označuje mimořádnou, nepředvídatelnou a nepřekonatelnou překážku, která smluvní straně brání v plnění jejích povinností. Ačkoliv český občanský zákoník tento termín výslovně nepoužívá, jeho principy jsou obsaženy v § 2913. Aby byla událost považována za vyšší moc, musí splňovat čtyři základní znaky: 
  • Mimořádnost: Jde o událost, která se zcela vymyká běžnému chodu věcí;
  • Nepředvídatelnost: V době uzavření smlouvy nebylo možné její vznik rozumně očekávat;
  • Neodvratitelnost: Následkům události nebylo možné zabránit ani při vynaložení veškerého úsilí;
  • Nezávislost na vůli: Událost vznikla nezávisle na vůli dotčené strany.
Typickými příklady jsou přírodní katastrofy, války, embarga nebo generální stávky. Naopak za vyšší moc se nepovažují běžné provozní problémy, jako je zpoždění ve výrobě, ekonomické potíže nebo zvýšené náklady na plnění.
Je klíčové si uvědomit, že vyšší moc neznamená automatický zánik smlouvy. Jejím hlavním důsledkem je zproštění odpovědnosti za škodu, která vznikla v důsledku neplnění, a dočasné odložení povinnosti plnit závazek. Jakmile překážka pomine, smluvní vztah pokračuje dál. Častým omylem je představa, že se strana vyhne i placení smluvních pokut nebo úroků z prodlení – to však neplatí, pokud to není ve smlouvě výslovně ujednáno.
Kybernetický útok na miskách vah
Kybernetické útoky dnes mohou zcela paralyzovat chod společností, a proto se logicky nabízí otázka jejich posouzení jako vyšší moci. I zde však platí, že není útok jako útok. Rozhodující je jeho povaha a předvídatelnost.
Rozhodující je povaha a předvídatelnost útoku.

Kdy kybernetický útok vyšší mocí NENÍ:

Běžné kybernetické hrozby jako standardní ransomware, phishingové kampaně nebo DDoS útoky se za vyšší moc zpravidla považovat nedají. Jedná se o známá a předvídatelná rizika, proti kterým se každá organizace může a má bránit zavedením adekvátních bezpečnostních opatření. Pokud firma zanedbá prevenci, jen těžko může argumentovat, že šlo o neodvratitelnou událost.

Kdy kybernetický útok vyšší mocí BÝT MŮŽE:

Naopak za vyšší moc by bylo možné považovat extrémně sofistikovaný a cílený útok, který přesahoval reálné možnosti obrany. Může jít například o:
  • Státem sponzorovaný útok, který využívá technologie a zdroje na úrovni zpravodajských služeb;
  • Útok zneužívající tzv. zero-day zranitelnosti, tedy slabinu v softwaru, která dosud nebyla veřejně známá a neexistovala proti ní žádná ochrana.
 
V takových případech je argument nepředvídatelnosti a neodvratitelnosti mnohem silnější. Důkazní břemeno však vždy leží na straně, která se na vyšší moc odvolává. Ta musí prokázat nejen existenci útoku, ale i to, že splňoval zákonné podmínky a že její vlastní bezpečnostní opatření byla na dostatečné úrovni, která odpovídá standardům v oblasti kybernetické bezpečnosti.
Pokud firma zanedbá prevenci, jen těžko může argumentovat, že šlo o neodvratitelnou událost.

Jak prokázat, že jste nic nezanedbali?

Aby firma mohla v případě sofistikovaného útoku úspěšně argumentovat vyšší mocí, musí být schopna doložit, že kybernetické bezpečnosti věnovala náležitou péči. Nový zákon o kybernetické bezpečnosti (vycházející ze směrnice NIS2) stanovuje řadu povinností pro regulované subjekty, kterými jsou poskytovatelé regulovaných služeb. Dodržování povinností je klíčové nejen pro ochranu systémů, ale i jako důkazní materiál. Mezi základní kroky patří:
  1. Zavedení bezpečnostních mechanismů: Nestačí mít pravidla jen na papíře, je nutné je reálně uplatňovat v praxi a pravidelně aktualizovat;
  2. Pravidelné testování: Provádění penetračních testů, auditů a simulací útoků proaktivně odhaluje slabiny a prokazuje odpovědný přístup;
  3. Školení zaměstnanců: Lidský faktor je častou příčinou incidentů, proto je systematické a dokumentované vzdělávání zaměstnanců nezbytné;
  4. Důsledná dokumentace a hlášení: Vedení a bezpečné zálohování záznamů (logů) a reportů o incidentech je klíčové pro prokázání vynaložené péče. Stejně tak je podstatná povinnost hlásit závažné incidenty příslušným úřadům (například NÚKIB) v zákonem stanovené lhůtě.
Kybernetický útok se může stát vyšší mocí, ale je to spíše výjimka než pravidlo.

Síla správně napsané smlouvy

Ustanovení o vyšší moci v českém právu je dispozitivní, což znamená, že si ho smluvní strany mohou upravit podle svých potřeb. Právě v tom spočívá obrovská příležitost, jak předejít budoucím sporům. Kvalitní smluvní doložka o vyšší moci je nejlepší prevencí. Taková doložka by měla obsahovat:
  • Jasné definice: Měla by obsahovat obecné definice doplněné o demonstrativní výčet událostí, které jsou (a nejsou) považovány za vyšší moc. Je nanejvýš vhodné výslovně zmínit kybernetické útoky a specifikovat, jakého typu (např. útoky srovnatelné se státem sponzorovanými operacemi).
  • Upravení následků: Smlouva by měla přesně stanovit, co se stane, když vyšší moc nastane – zda se plnění pouze pozastaví, za jakých podmínek je možné od smlouvy odstoupit a jak se naloží s již poskytnutým plněním.
  • Oznamovací povinnost: Je nutné definovat lhůtu a způsob, jakým musí dotčená strana o vzniku vyšší moci informovat tu druhou. Zmeškání této povinnosti může vést ke ztrátě nároku na zproštění odpovědnosti.
  • Zmírňovací povinnost: Je vhodné smluvně zakotvit povinnost obou stran učinit veškerá přiměřená opatření ke zmírnění a mitigaci dopadů události.
Kybernetický útok se tak může stát vyšší mocí, ale je to spíše výjimka než pravidlo. Základem je a vždy bude prevence – jak v rovině technického zabezpečení, tak v rovině precizní smluvní přípravy. V digitálním věku již není kybernetická bezpečnost pouze starostí IT oddělení, ale strategickou nutností, která má přímý dopad na právní a finanční stabilitu každé firmy. 
 
Mgr. et Mgr. Ing. Jan Tomíšek, Ph.D.
Advokát / Partner
 
Mgr. Michaela Holíková
Associate

Autoři článku jsou advokáti specializující se na IT právo, kteří působí v kanceláři ROWAN LEGAL.
Chcete získat časopis IT Systems s tímto a mnoha dalšími články z oblasti informačních systémů a řízení podnikové informatiky? Objednejte si předplatné nebo konkrétní vydání časopisu IT Systems z našeho archivu.