Hlavní strana -> Zprávy
Aktuality -> Analýzy - 4. 8. 2026 - -regfor-

Rok od novely zákona o kybernetické bezpečnosti

Firmy často řeší jednotlivé povinnosti odděleně a chybí jim ucelený přehled

Dnes je to právě rok od vyhlášení balíku kyberbezpečnostní regulace (zákon č. 264/2025 Sb., o kybernetické bezpečnosti, zákon č. 266/2026 Sb., o kritické infrastruktuře) ve Sbírce zákonů. Pro většinu firem už skončila fáze registrace a aktuálně běží implementační období, během kterého musí vybudovat plně funkční systém řízení kybernetické bezpečnosti. Připomeňme si specifika českého zákona o kybernetické bezpečnosti a podívejme se, na co by firmy v prvním přechodném roce neměly zapomenout.



Od NIS2 k českému zákonu o kybernetické bezpečnosti

V případě českého zákona o kybernetické bezpečnosti nejde o pouhou transpozici evropské směrnice NIS2. Česká úprava má vlastní konstrukci a kategorizaci povinností a v některých oblastech také specifika, která budou muset odpovědní pracovníci či vedení organizací dobře pochopit. „Tato regulace nestojí na abstraktním požadavku „mít kybernetickou bezpečnost“, ale na velmi konkrétním modelu: identifikovat regulovanou službu, určit rozsah aktiv, nastavit řízení rizik, zavést bezpečnostní opatření, zvládnout incidenty, řídit dodavatele a pravidelně dokládat, že celý systém funguje. Jinými slovy: kybernetická bezpečnost se z technologického tématu definitivně stává jednou z disciplín podnikového řízení, “ říká Jindřich Kalíšek, CEO společnosti regfor.

Regulovaná služba, kritérium významnosti a řízení dodavatelského řetězce

Jedním z nejdůležitějších rysů nové české úpravy je její orientace na regulovanou službu. Regulace se nezabývá jen velikostí organizace anebo tím, zda působí v určitém sektoru. Ptá se také na to, jakou konkrétní službu poskytuje, jak významná tato služba je a jaká aktiva jsou nezbytná pro její poskytování. 
 
Dalším českým specifikem je rozdělení poskytovatelů regulovaných služeb do tzv. režimu vyšších povinností a režimu nižších povinností. Vyšší režim v podstatě znamená zavedení plnohodnotného systému řízení bezpečnosti informací. Pracuje s řízením bezpečnostní politiky a dokumentace, řízením aktiv, rizik, dodavatelů, lidských zdrojů atd.  Nižší režim není sice tak komplexní, ale i ten vyžaduje řízení a zvládání rizik, přípravu dokumentace a implementaci relevantních procesů a prokazatelnost zvládání bezpečnostních hrozeb. V obou režimech pak podstatnou roli hraje princip přiměřenosti, tzn. zaváděné bezpečnostní politiky a opatření mají být vždy přiměřené významu a rizikovosti konkrétní služby a schopnostem dané organizace. 
 
Jednou z oblastí, kde bude nová regulace přinášet nejvíce novinek, je řízení dodavatelského řetězce. Zákon výslovně požaduje, aby si poskytovatel regulované služby ve vyšším režimu při využití dodavatele stanovil bezpečnostní požadavky související s dodávaným plněním a dodavatele vybíral s ohledem na tyto požadavky a ty zahrnul je do smluv. „To bude pro mnoho organizací významná kulturní změna. Dodavatelské řízení už nebude pouze otázkou nákupu nejdostupnější technologie nebo ceny služby. Bude muset být propojeno s bezpečnostní architekturou a řízením rizik celé společnosti,“ dodává Jindřich Kalíšek.
 
Co organizace čeká v přechodném roce aneb co by měly udělat v jednoletém období od registrace?
  • První fáze by měla zahrnovat gap analýzu vůči příslušné vyhlášce o režimu povinností. 
  • Druhou fází je návrh cílového stavu a vhodných opatření k mitigaci známých rizik. Organizace musí rozhodnout, co bude řešit centrálně, co na úrovni jednotlivých regulovaných služeb, co prostřednictvím již existujících bezpečnostních programů a co jako nový projekt. 
  • Třetí fází je implementace bezpečnostních opatření. Ta se nebude týkat jen dokumentace. Bude zahrnovat řízení aktiv, řízení rizik, bezpečnostní role, školení vedení a uživatelů, řízení přístupů, detekci a logování, incident management, kontinuitu, zálohování, kryptografii, aplikační bezpečnost, bezpečný vývoj, řízení změn a v některých prostředích také specifická opatření pro průmyslové a řídicí systémy. 
  • Čtvrtou fází je příprava na zvládání a reporting incidentů. Zákon zavádí postupné hlášení kybernetických incidentů. První hlášení prostřednictvím portálu NÚKIB má být podáno nejpozději do 24 hodin od zjištění incidentu, navazující oznámení do 72 hodin a závěrečná zpráva do 30 dnů.
  • Pátou fází je remediace dodavatelských smluv. Ta bude často náročnější než samotná interní dokumentace. Velcí dodavatelé budou mít vlastní standardy, globální smluvní modely a omezenou ochotu přijímat lokální požadavky. Menší dodavatelé naopak nemusí být připraveni na požadavky týkající se auditu, zvládání a reportingu incidentů, subdodavatelskou transparentnost nebo poskytování součinnosti při tvorbě a realizaci exit strategií. Úspěšná implementace proto vyžaduje nejen právní dodatky, ale i realistický dodavatelský risk management.
„Právě propojení všech těchto oblastí bývá pro organizace nejnáročnější. Firmy často řeší jednotlivé povinnosti odděleně – IT zavádí technická opatření, právní oddělení připravuje dokumentaci a nákup upravuje smlouvy s dodavateli. Chybí jim ale jednotný přehled o tom, jak spolu jednotlivé regulatorní požadavky souvisejí a v jakém jsou stavu,“ doplňuje Jindřich Kalíšek.

Odpovědnost vedení už není fráze

Jedním z nejvýraznějších posunů nové úpravy je důraz na vrcholové vedení. Kybernetická bezpečnost již nemůže být interně odložena na IT oddělení s tím, že „ajťáci to už nějak zajistí.“ Zákon i prováděcí vyhlášky počítají s rolí vrcholového vedení při schvalování, dohledu a prosazování bezpečnostních opatření. 
Nový zákon o kybernetické bezpečnosti tedy není pouze právním předpisem. Je to rámec pro řízení digitální provozní odolnosti. Organizace, které budou k nové regulaci přistupovat čistě formálně, pravděpodobně vytvoří další vrstvu dokumentace, ale jejich bezpečnostní stav se zásadně nezlepší. Organizace, které ji využijí správně, mohou získat lepší přehled o svých službách, aktivech, dodavatelích, rizicích a schopnosti zvládat incidenty.
 
Zdroj: regfor
Ilustrační grafika byla vytvořena pomocí AI

 
  

- PR -

Systematické začleňování AI do procesů ve firmách je teprve na začátku

Říjnové vydání IT Systems je zaměřeno především na digitalizaci obchodních a logistických procesů. Stále větší roli zde hraje automatizace a využití AI, která postupně proniká nejen do každodenního provozu firem, ale velmi intenzivně vstupuje do hry také na straně zákazníků.

Tematickou přílohu jsme tentokrát věnovali ERP systémům, zejména předpokladům jejich úspěšné implementace. Praxe totiž opakovaně potvrzuje, že o úspěchu ERP projektů nerozhodují pouze schopnosti zvoleného řešení, ale především dobře definované cíle a procesy, dostatečné zapojení klíčových uživatelů a schopnost prosadit nutné změny.