Zákon o kybernetické bezpečnosti (264/2025 Sb.): základní pojmy

Od 1. listopadu 2025 je účinný nový zákon o kybernetické bezpečnosti (zákon č. 264/2025 Sb.), který zásadně mění pravidla ochrany digitální infrastruktury, dat a služeb. Reaguje na rostoucí hrozby v kyberprostoru a přizpůsobuje český právní rámec evropským předpisům (zejména evropské směrnici číslo 2022/2555, známé také jako NIS2) i technologickému vývoji.

Pozn.: Abych se nechlubil cizím peřím. Následující text je shrnutím vysvětlivek uvedených u textu zákona publikovaného na portálu Zákony pro lidi, nikoliv mým autorským dílem.

Zákon dopadá na široké spektrum subjektů – od veřejných institucí po podniky v oblasti energetiky, zdravotnictví, dopravy nebo digitálních služeb. Týká se i zahraničních firem, pokud v Česku zajišťují sítě nebo poskytují služby elektronických komunikací (§ 1 odst. 2). Výjimku tvoří pouze systémy zpracovávající utajované informace (§ 1 odst. 4).

Regulovaná služba

Klíčovým prvkem zákona je pojem regulovaná služba – tedy služba důležitá pro fungování společnosti, kterou poskytuje střední nebo velký podnik, případně má vysoký význam sama o sobě (§ 4 odst. 1). Pokud služba splňuje stanovená kritéria, je poskytovatel povinen ji do 60 dnů ohlásit NÚKIB (§ 6 odst. 1). NÚKIB pak rozhodne o její registraci (§ 6 odst. 2). Změny v parametrech služby se rovněž hlásí (§ 9) a neaktuální registrace může být zrušena (§ 10).

Každá regulovaná služba spadá do režimu vyšších nebo nižších povinností, což definuje rozsah bezpečnostních opatření (§ 8). Poskytovatelé musí na základě toho zavést přiměřená technická a organizační opatření (§ 13–14).

Dle závažnosti a určeného režimu povinností jsou také poskytovatelé povinni hlásit kybernetické bezpečnostní incidenty, které mají dopad na regulovanou službu (§ 15).

Strategicky významná služba

Zásadní novinkou zákona je kategorie strategicky významných služeb – tedy takových, jejichž narušení by mělo závažný dopad na bezpečnost státu (§ 25). Poskytovatelé těchto služeb mají přísnější povinnosti v oblasti dodavatelských řetězců. Musí u nich vyhodnocovat rizika, vést evidenci a hlásit změny (§ 27–31). NÚKIB navíc může nad rámec tohoto vymezit dodavatele, které není přípustné využívat, pokud jste poskytovatelem strategicky významné služby (§ 29). Strategicky významné služby musí být dostupné z území ČR, a to v požadovaném rozsahu a kvalitě (§ 33 odst. 1). Poskytovatelé musí naplňování těchto požadavků minimálně jednou za dva roky prověřit (§ 33 odst. 2).

Aktiva

Aktivum je základní stavební kámen kybernetické bezpečnosti. Představuje vše, co má pro organizaci nebo firmu nějakou hodnotu a co je tudíž potřeba chránit. Aktivum je klíčové nejenom pro řízení rizik a dodržování zákonných povinností, ale také pro každodenní chod organizace či firmy.

Zákon chápe aktivum jako fyzický nebo digitální prostředek, osobu nebo činnost související se zpracováváním informací a dat v elektronické podobě (§ 2 odst. 1 písm. c). To znamená, že aktivem nemusí být jenom server či software, ale také zaměstnanec, proces poskytování služby, know-how organizace nebo budova, ve které se nachází infrastruktura regulované služby a jiné.

Dělení aktiv

Zákon rozlišuje tři typy aktiv (§ 2 odst. 1 písm. d – f):

1. Primární aktiva jsou ty nejdůležitější položky, kvůli kterým organizace vůbec existuje. Jsou to například služby nebo informace. V advokátní kanceláři to mohou být klientské smlouvy a poskytované právní poradenství. U výrobní firmy to může být naopak výrobní dokumentace a proces výroby.
2. Podpůrná aktiva zahrnují vše, co primární aktiva udržuje v chodu. Patří sem zaměstnanci, dodavatelé, budovy, kde podnik sídlí i různé organizační postupy a procesy.
3. Technická aktiva jsou zvláštní skupinou podpůrných aktiv a jsou to technické nebo programové prostředky nebo vybavení. Patří sem například servery, síťová zařízení, počítače, software a další technologie, které jsou nezbytné k tomu, aby primární aktiva mohla správně fungovat.

Hodnocení aktiv

Správné určení aktiv, tedy toho, co je potřeba chránit, je základním bodem řízení kybernetické bezpečnosti. Pokud organizace neví, co přesně má chránit, nemůže správně nastavit bezpečnostní opatření ani rozhodnout, kolik peněz nebo času by měla do ochrany investovat. V praxi se proto po určení aktiv posuzuje jejich význam podle tří hlavních hledisek – důvěrnosti, integrity a dostupnosti označovaných jako CIA triáda z anglického Confidentiality, Integrity, Availability (§ 2 odst. 2 písm. b)):

• Důvěrnost znamená, že jsou aktiva (například informace) chráněna před neoprávněnými uživateli. Například strategické obchodní smlouvy – obsahují důvěrné informace a nikdo jiný, než management do nich nesmí nahlédnout.
• Integrita znamená, že jsou aktiva (například informace) správná a nezměněna. Například složení léků musí být stále stejné a nikdo ho nesmí pozměnit, jinak by výsledek mohl být jiný a nefungoval by.
• Dostupnost znamená, že uživatel, který má přístup k aktivům (například informacím) se k nim dostane ve chvíli, kdy to potřebuje. Představit si to můžete na situaci, když ve správnou chvíli nebudete mít přístup k účetnímu nebo výrobnímu systému, nedokážete zaplatit fakturu nebo zastavit výrobu.

Propojenost aktiv

Aktiva v rámci jedné organizace spolu úzce souvisejí a jsou na sobě navzájem závislá. Například hlavní služba (primární aktivum) kterou společnost nabízí, je postavena na podpoře ze strany zaměstnanců, technologií nebo prostorů (podpůrných aktiv). Pokud některý z těchto podpůrných prvků selže, může to ovlivnit celou službu.

Proto při správě aktiv nestačí jen vědět, co daná věc je, ale je důležité také porozumět, jak spolu jednotlivé části souvisí a jak na sobě závisí. Pokud si to organizace dobře mapuje, dokáže lépe předcházet problémům a rychleji je řešit.

Evidence aktiv

Povinné osoby podle nového zákona mají povinnost vést aktuální seznam svých aktiv (§ 12 odst. 1–5. a § 14 odst. 1 písm. a) bod 5 a odst. 2 písm. c)). Tento seznam musí přesně odpovídat tomu, co organizace skutečně vlastní nebo používá. Díky tomu pak rychle dokáže identifikovat, která aktiva jsou pro chod organizace nejdůležitější a jak je správně ochránit. Bez těchto informací nelze správně plnit ani další zákonné povinnosti, například při hlášení bezpečnostního incidentu podle § 19.

Garanti aktiv

Každé důležité IT zařízení, software nebo systém v organizaci (aktivum) by měl mít svého konkrétního vlastníka = garanta, tedy člověka, který o něm ví skoro všechno a je za něj zodpovědný. Zákon požaduje, aby každé aktivum mělo přiřazenou odpovědnou osobu, která pomáhá chránit dané aktivum před riziky.

Například vedoucí výroby může být garantem řídicího systému výrobní linky, protože jej denně používá a dokáže zaznamenat i drobné odchylky od běžného provozu. Nebo ředitel finančního oddělení může být garantem účetního softwaru. Denně jej otevírá, kontroluje výstupy ostatních, zadává svým podřízeným práci v tomto programu atd. Z této pozice má o podpůrném aktivu účetního softwaru širší znalosti než manažer kybernetické bezpečnosti. Spíš si všimne, že se program chová divně, nebo že zmizela nějaká data. V tom okamžiku je garant aktiva povinen hlásit tuto událost manažerovi kybernetické bezpečnosti a pomáhat mu s jejím objasněním.

Hrozby, zranitelnosti a rizika

Pochopení vztahu mezi hrozbou, zranitelností a rizikem se vám bude hodit nejen pro správné řízení rizik v kyberbezpečnosti, ale hraje klíčovou roli i při ochraně důležitých dat a systémů nebo splnění zákonných povinností. Jednoduše řečeno, díky tomu budete vědět, co může ohrozit vaše systémy nebo data (hrozba), jaké slabiny tyto systémy mají (zranitelnosti), a jaké to může přinést problémy nebo škody (riziko).

Co je hrozba?

Hrozbou je jakákoliv potenciální okolnost, událost nebo jednání, které mohou způsobit kybernetickou bezpečnostní událost nebo incident a poškodit, narušit či jinak nepříznivě ovlivnit aktiva, jejich uživatele nebo další osoby (§ 2 odst. 2 písm. c). Hrozeb se nemůžeme úplně zbavit, a když náhodou ano, tak se zanedlouho objeví hrozba jiná. Lze ale snížit pravděpodobnost že se projeví, nebo omezit jejich dopady. Hrozby mohou vzniknout úmyslně (např. hackerský útok) nebo neúmyslně (přírodní katastrofa, lidská chyba). Příkladem hrozby může být situace, kdy se zloděj snaží získat přístup k citlivým informacím společnosti, třeba k osobním údajům zákazníků. I když nelze zabránit všem útokům, můžou se nastavit správná bezpečnostní opatření tak, aby případné škody byly co nejmenší.

Co je zranitelnost?

Zranitelností je slabé místo aktiva nebo bezpečnostního opatření, které může být zneužito hrozbou (§ 2 odst. 2 písm. h). Na rozdíl od hrozby můžeme zranitelnosti identifikovat a aktivně odstranit nebo zmírnit.

Zranitelnosti je možné snížit nebo úplně odstranit třeba tím, že se zaměstnanci naučí rozpoznávat rizika, zavedením dvoufázového přihlašování nebo pravidelnou aktualizací a kontrolou systémů.

A co je riziko?

Pojem riziko zákon přímo nedefinuje, ale v návaznosti na § 13 a § 14 ukládá povinnost řídit rizika prostřednictvím systematického procesu, jehož cílem je snížení rizik na přijatelnou úroveň. V kybernetické bezpečnosti znamená riziko možnost, že nějaká hrozba využije slabinu v ochraně a způsobí škodu. Riziko tedy vyjadřuje, jak pravděpodobné je, že k problému dojde, a jak velký může být jeho dopad.

Různé organizace používají různé způsoby hodnocení – od jednoduchého odhadu až po složité matematické modely. Hlavní ale je, aby byla zvolená metoda jasně popsaná a vždy ji bylo možné znovu použít. To je hlavním smyslem řízení rizik.

Metodika pro hodnocení a zvládání rizik

Zákon a související vyhlášky požadují, aby povinné osoby měly zavedený proces řízení rizik (§ 13 a § 14 zákona). Tento proces zahrnuje:

1. Identifikaci rizik – zjištění, jaké hrozby a slabiny se vztahují k důležitým aktivům,
2. Analýzu a vyhodnocení rizik – určení, jak často se riziko může projevit a jak velké škody by mohlo způsobit.
3. Výběr, jak bude s rizikem naloženo: a. Akceptace – když je riziko malé a/nebo opatření na jeho snížení by bylo příliš drahé. b. Snížení – pomocí technických nebo organizačních opatření, například aktualizace software nebo školení zaměstnanců. c. Vyhnutí se – odstranění činnosti, která riziko přináší. d. Přenesení či sdílení – např. pojištěním nebo smluvním přesunem odpovědnosti na někoho jiného.

Při řízení rizik je potřeba zvážit nejen to, jak účinné jsou opatření na jejich snížení, ale i jejich náklady a přínosy. Celý tento proces musí být popsán v tzv. metodice řízení rizik, aby bylo jasné, jak jsou rizika posuzována a jaká opatření jsou přijata. Tato metodika je také důležitá pro případné kontroly ze strany Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB).

Hodnocení rizik se musí dělat minimálně jednou ročně a také při každé významné změně určené podle § 11 odst. 1 písm. c) vyhlášky o vyšších povinnostech. V případě poskytovatelů regulované služby v režimu vyšších povinností tuto povinnost stanoví § 8 odst. 1 písm. c) vyhlášky o bezpečnostních opatřeních, u poskytovatelů v režimu nižších povinností pak § 3 odst. 2 písm. b) příslušné vyhlášky.

Výsledkem tohoto hodnocení je zpráva o stavu aktiv a rizik, ve které se shrnuje, jaká rizika jsou přijatelná a jaké kroky je potřeba podniknout pro snížení těch nepřijatelných.

Prohlášení o aplikovatelnosti

Prohlášení o aplikovatelnosti obsahuje seznam povinných bezpečnostních opatření podle platných pravidel a ukazuje nám, která z těchto opatření byla v organizaci skutečně zavedena a jak. Pokud nějaké opatření zavedeno nebylo, musí být vysvětleno proč – buď proto, že existuje jiný způsob ochrany, nebo že dané riziko vůbec nehrozí. Tento dokument nám říká, jak organizace chrání svá data a systémy.

Kybernetická bezpečnostní událost a incident

Rozlišení mezi kybernetickou bezpečnostní událostí a incidentem má v praxi zásadní význam. Událost může být jen varovným signálem, zatímco incident už představuje potvrzené narušení bezpečnosti informací. Od správného vyhodnocení se odvíjí, zda se spustí zákonem stanovený proces zvládání incidentu, nebo jestli postačí interní opatření. Nový zákon přitom přesně určuje co a v jakých lhůtách hlásit a stanovuje postupy pro organizace podle jejich strategického významu.

Událost a incident

Kybernetická bezpečnostní událost je v § 2 odst. 2 písm. e) popsána jako událost, která může vyústit v kybernetický bezpečnostní incident. Jinými slovy, jde o situaci, kdy je zaznamenáno něco nestandardního, co se může, ale nemusí vyvinout ve skutečné narušení bezpečnosti. Kybernetický bezpečnostní incident je v § 2 odst. 2 písm. f) definován jako narušení bezpečnosti informací v kybernetickém prostoru. Nejde tedy o pouhý potenciál hrozby, ale o reálnou událost, která ohrozila nebo narušila důvěrnost, integritu či dostupnost informací a dat.

Detekce a zaznamenávání událostí

Poskytovatel regulované služby ve vyšším režimu (režimy poskytování vizte níže), by měl mít zavedené jasné a spolehlivé postupy, které pomohou včas zjistit, zaznamenat a vyhodnotit všechny kybernetické bezpečnostní události. To zahrnuje situace, kdy může dojít k pokusu o útok nebo k jinému narušení bezpečnosti systému. Dále je potřeba mít zavedený systém, který umožní efektivně koordinovat a řešit tyto situace a případné bezpečnostní incidenty. Tento požadavek vychází z ustanovení § 14 odst. 1 písm. a) bod 12 a písm. b) body 5–7 zákona.

Poskytovatel regulované služby v nižším režimu (režimy poskytování vizte níže), má povinnost sledovat a zaznamenávat kybernetické bezpečnostní události. Kromě toho je důležité umět rychle a účinně reagovat na případné bezpečnostní problémy nebo útoky, které mohou nastat. Podrobnosti jsou uvedeny v § 14 odst. 2 písm. i)–j) zákona.

Událost se nejprve zaznamená – typicky pomocí monitorovacích systémů, IDS/IPS nebo antivirových řešení – a následně se vyhodnotí, zda jsou splněny znaky incidentu. Pokud se ukáže, že k narušení bezpečnosti skutečně došlo, je událost klasifikována jako incident a spouští se proces zvládání podle § 15–17 zákona.

Celý mechanismus – od detekce události, přes její vyhodnocení a případnou eskalaci na incident, až po jeho ohlášení a vyřešení – má být v organizaci detailně popsán v interních směrnicích. Ty vycházejí nejen ze zákona, ale i z prováděcích vyhlášek (§ 9 a § 10) vyhlášky pro režim nižších povinností a § 14 vyhlášky pro režim vyšších povinností). Bez jasného postupu hrozí, že incident nebude nahlášen včas, což může vést nejen k sankcím, ale i k dalším škodám, protože reakce úřadů a technických týmů bude opožděná.

Povinnost hlásit incidenty

Zákon rozlišuje povinnost hlásit incidenty podle režimu poskytovatele regulované služby:

• Režim vyšších povinností (§ 15 odst. 1): poskytovatel regulované služby hlásí incidenty Národnímu úřadu pro kybernetickou a informační bezpečnost (NÚKIB).
• Režim nižších povinností (§ 15 odst. 2): poskytovatel regulované služby hlásí incidenty Národnímu CERTu, ale jen pokud mají významný dopad na poskytování regulované služby a nelze u nich vyloučit úmyslné zavinění.

Významný dopad na poskytování regulované služby je definován v § 15 odst. 3. Může jít o závažné provozní narušení služeb, významné finanční ztráty nebo značnou újmu jiným osobám. Zákon umožňuje hlásit nejen incidenty, ale dobrovolně i události, hrozby či zranitelnosti. Tím se podporuje sdílení informací o nových typech útoků a rychlejší reakce v rámci celé komunity povinných osob.

Lhůty a evidence incidentů

Podle § 16 odst. 1 musí poskytovatel podat prvotní hlášení do 24 hodin od zjištění incidentu. Toto hlášení obsahuje identifikační údaje, základní údaje o incidentu a předběžné posouzení, zda mohlo dojít k nezákonnému zásahu nebo zda má incident potenciál přeshraničního dopadu.

Pokud se ukáže, že incident má významný dopad na regulovanou službu nebo na kybernetický prostor státu, následuje do 72 hodin oznámení s aktualizovanými informacemi a prvotním posouzením příčin, dopadů a indikátorů, pokud jsou k dispozici (§ 16 odst. 3 písm. a). Poté může NÚKIB nebo Národní CERT vyžádat průběžné zprávy (§ 16 odst. 3 písm. b) a do 30 dnů od oznámení musí být předložena závěrečná zpráva o vyřešení incidentu (§ 16 odst. 3 písm. c).

Pokud incident stále trvá, nahrazuje se závěrečná zpráva průběžnou zprávou a závěrečná zpráva se podává ve lhůtě 30 dní po vyřešení incidentu.

Postupy zvládání incidentů najdete v § 17 zákona. NÚKIB nebo Národní CERT poskytuje povinné osobě do 24 hodin od obdržení prvotního hlášení vyjádření k incidentu a na žádost metodickou nebo technickou podporu. Každý, kdo je k tomu vyzván, je povinen poskytnout nezbytné informace a součinnost, pokud tomu nebrání zákonná povinnost mlčenlivosti nebo plnění jiné zákonné povinnosti.

Incidenty, události, hrozby a zranitelnosti se vedou v evidenci podle § 46 zákona, a to včetně těch, které byly nahlášeny dobrovolně (§ 15 odst. 5).

Regulované služby

Regulovaná služba je taková činnost, jejíž fungování je pro stát nebo veřejnost zásadní. Výpadek nebo narušení takové služby by mohlo mít významné dopady na bezpečnost a fungování státu, zdraví obyvatel, ekonomiku nebo životní prostředí. Regulace má zajistit, že poskytovatelé těchto služeb nastaví a budou nadále udržovat odpovídající úroveň kybernetické bezpečnosti a že jsou součástí systému koordinovaného řešení kybernetických incidentů.

Zařazení mezi regulované služby závisí na povaze a významu poskytované služby pro fungování určitého sektoru nebo veřejného zájmu, nikoli na velikosti či organizačním postavení poskytovatele. Rozhodující je charakter služby, ne kdo ji provozuje. Nemusí jít jen o hlavní předmět podnikání – rozhodující může být i to, jaké služby reálně subjekt poskytuje třeba i jako součást provozu.

Seznam regulovaných služeb

Seznam regulovaných služeb stanoví NÚKIB ve vyhlášce o regulovaných službách, která upravuje kritéria pro určení regulovaných služeb. Odvětví, do kterých mohou regulované služby spadat, jsou přesně vymezená v § 4 odst. 1 zákona. Regulovaná odvětví jsou definována směrnicí NIS2 a platí jednotně v celé Evropské unii. Zahrnují např. energetiku, dopravu, zdravotnictví, digitální infrastrukturu, veřejnou správu a další.

Vyhláška zde má klíčovou roli – v rámci seznamu odvětví specifikuje konkrétní služby, které podléhají regulaci. Určuje, za jakých podmínek se poskytovatel dané služby stává regulovaným, přičemž zohledňuje i velikost a významnost poskytovatele služby. Podle těchto kritérií je následně určeno, jaký režim povinností (nižší nebo vyšší) se na poskytovatele vztahuje, tedy jaké má povinnosti a jak přísná pravidla musí dodržovat.

V některých případech může NÚKIB poskytovatele služby sám zařadit mezi regulované i bez jeho návrhu, například pokud je jediným poskytovatelem dané služby v ČR nebo pokud spravuje prvek kritické infrastruktury (§ 5). Poskytovatel služby je pak automaticky zařazen do režimu vyšších povinností (§ 8 odst. 3).

Ohlášení a registrace regulované služby

Ohlášení regulované služby je prvním krokem k zařazení poskytovatele do evidence Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB). Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, v § 6 stanoví přesné lhůty a postupy, jejichž nedodržení může vést k sankcím (§ 59 a následující).

Proces ohlášení

Poskytovatel, jehož služba splňuje podmínky pro registraci (§ 4 odst. 1), je povinen ohlásit tuto službu NÚKIB nejpozději do 60 dnů ode dne, kdy ke splnění podmínek došlo (§ 6 odst. 1). Formát a obsah ohlášení stanoví NÚKIB Vyhláškou (Vyhláška o Portálu Úřadu a požadavcích na vybrané úkony). V praxi bude nejčastější formou ohlášení elektronické podání prostřednictvím Portálu NÚKIB. Obsahem ohlášení jsou:

• Registrační údaje, tzn. identifikační údaje poskytovatele (název, IČO, sídlo, provozovny) a seznam poskytovaných regulovaných služeb.
• Kontaktní údaje osoby oprávněné jednat za poskytovatele.
• Doplňující údaje, tzn. doménová jména, IP adresy, informace o geografickém a přeshraničním poskytování služby, členství v koncernech a zapojení do komunit pro sdílení informací v oblasti kybernetické bezpečnosti.

Po obdržení ohlášení NÚKIB rozhodne, zda jsou splněny podmínky pro registraci a v případě splnění podmínek vydá rozhodnutí o registraci (§ 6 odst. 4).

V některých případech může NÚKIB poskytovatele zařadit mezi regulované i bez jeho návrhu, například pokud je jediným poskytovatelem dané služby v ČR nebo pokud spravuje prvek kritické infrastruktury (§ 5). Poskytovatel služby je pak automaticky zařazen do režimu vyšších povinností (§ 8 odst. 3).

Povinnosti po registraci

Do 30 dnů ode dne doručení rozhodnutí o registraci musí poskytovatel (§ 11 odst. 1) nahlásit kontaktní údaje osob oprávněných jednat za poskytovatele a poskytnout doplňující údaje o vlastnické struktuře, technických parametrech regulované služby a jejím geografickém rozsahu. Jakákoli změna těchto údajů (pokud nejde o referenční údaje v základních registrech) se musí hlásit do 14 dnů od jejího vzniku (§ 11 odst. 2).

Poskytovatel regulované služby je povinen do 1 roku od doručení rozhodnutí o registraci zavést bezpečnostní opatření (§ 13 odst. 4) a hlásit bezpečnostní incidenty (§ 15 odst. 4).

Nepodceňujte lhůty

Jakmile začnete splňovat podmínky pro poskytování regulované služby, začne běžet lhůta pro její ohlášení. Lhůta je 60 dnů od okamžiku, kdy podmínky dle § 4 odst. 1 naplníte, resp. 60 dnů od účinnosti zákona. Po registraci máte 30 dnů na doplnění požadovaných údajů a 14 dnů na nahlášení každé jejich změny (§ 11 odst. 1 a 2). Pokud se změní okolnosti vedoucí ke změně režimu (např. přechod z nižšího do vyššího), platí opět 60denní lhůta na nahlášení (§ 9 odst. 1).

Připravte si podklady

Pro hladký průběh ohlášení i následné registrace je doporučeno mít již před splněním podmínek připravený podrobný popis služby, identifikovat primární aktiva, stanovit rozsah řízení kybernetické bezpečnosti a základní technické parametry regulované služby. Tím ušetříte čas při vyplňování formulářů a snížíte pravděpodobnost, že vás NÚKIB vyzve k doplnění údajů.

Využívejte Portál NÚKIB

Ohlášení i doplnění údajů lze podat prostřednictvím elektronického formuláře na portálu NÚKIB. Elektronická cesta minimalizuje formální chyby, automaticky kontroluje povinná pole a potvrzuje doručení. Pokud spravujete více služeb, můžete mít všechny záznamy v jednom účtu.

Režim poskytovatele regulované služby

Nový zákon v § 8 rozděluje poskytovatele regulovaných služeb do dvou režimů povinností: režimu vyšších a režimu nižších povinností. Cílem tohoto rozdělení je přizpůsobit rozsah právních povinností na základě poskytované služby, velikosti a významu jednotlivých poskytovatelů tak, aby byla kybernetická bezpečnost regulovaných služeb zajištěna přiměřeně skutečným hrozbám a možným dopadům.

Oba režimy povinností vycházejí ze stejného základu bezpečnostních opatření, rozsah a hloubka jejich implementace se však liší. Odpovídají tomu i dvě samostatné vyhlášky stanovující konkrétní požadavky na bezpečnostní opatření pro oba režimy povinností. Na poskytovatele regulované služby v režimu vyšších povinností jsou kladeny vyšší nároky než na poskytovatele v režimu nižších povinností.

Neohlášení služby, respektive neplnění povinností poskytovatele regulované služby, může vést k vysokým pokutám až v řádech miliónů korun (§ 59 a následující).

Kritéria pro zařazení a změnu režimu

Poskytovatel je do příslušného režimu zařazen rozhodnutím Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB nebo Úřad) na základě kritérií stanovených vyhláškou (§ 8 odst.2). Pokud poskytovatel splňuje podmínky pro registraci stanovené v § 8 odst. 3 zákona, tzn. je například jediným poskytovatelem dané služby v ČR nebo spravuje prvek kritické infrastruktury (§ 5), je pak Úřadem zařazen do režimu vyšších povinností (§ 8 odst. 3).

Režim vyšších povinností

Vyšší režim vyžaduje plnění širšího souboru bezpečnostních opatření. Poskytovatel musí zavést a provozovat systém řízení kybernetické bezpečnosti. Zákon dělí bezpečnostní opatření do dvou hlavních kategorií – organizační a technická opatření (§ 14 odst. 1), tato opatření musí být dokumentována, pravidelně vyhodnocována a aktualizována. Konkrétní požadavky na tato opatření stanoví vyhláška o bezpečnostních opatřeních pro poskytovatele regulované služby v režimu vyšších povinností.

V režimu vyšších povinností je dle této vyhlášky vyžadováno zejména řízení rizik (§ 8), včetně řízení rizik spojených s dodavatelským řetězcem (§ 9). Dále je nezbytné například stanovení bezpečnostních rolí (manažer, architekt, auditor kybernetické bezpečnosti, garant aktiva) a jejich odpovědností (§ 4 a § 5) a zavedení ochrany proti kybernetickým incidentům (§ 14). Vrcholné vedení odpovídá za efektivitu systému řízení kybernetické bezpečnosti (§ 4).

Poskytovatel regulované služby je dále povinen spolupracovat s NÚKIB při hlášení incidentů a dalších bezpečnostních záležitostech (§ 15 odst.1).

Ve srovnání s režimem nižších povinností musí subjekt v režimu vyšších povinností počítat s většími investicemi do technologií, vyšší administrativní zátěží a složitější procesní strukturou, včetně formalizovaných auditů a zapojením vrcholného vedení.

Režim nižších povinností

Nižší režim klade na poskytovatele méně komplexní požadavky než vyšší režim a znamená zavedení základního systému řízení kybernetické bezpečnosti (§ 14 odst. 2). Bezpečnostní opatření mají být přiměřená povaze a rozsahu regulované služby.

Zákon vyžaduje řízení aktiv a rizik, nicméně oproti vyššímu režimu jsou kladeny mírnější požadavky. Kybernetické incidenty se v tomto režimu hlásí pouze v případě významného dopadu na poskytování služby (§ 15 odst. 2), a to Národnímu CERT.

Vyhláška o bezpečnostních opatřeních pro poskytovatele regulované služby v režimu nižších povinností (její druhá část) konkrétně stanovuje minimální organizační a technická opatření, která musí poskytovatel přijmout k zajištění základní úrovně kybernetické bezpečnosti. Poskytovatel má například povinnost určit osobu pověřenou kybernetickou bezpečností, která koordinuje plnění opatření (§ 4 vyhlášky) – není tedy nezbytné vymezovat bezpečnostní role jako v případě vyššího režimu. Přestože i v tomto režimu platí povinnost zavést systém řízení kybernetické bezpečnosti, rozsah požadovaných opatření je ve srovnání s vyšším režimem jednodušší a méně administrativně náročný.

Poskytovatel regulované služby

Poskytovatel regulované služby je subjekt, který poskytuje službu zařazenou NÚKIB mezi regulované služby podle § 3 až § 5. Nezáleží na tom, zda je poskytovatelem služby podnikatelský subjekt, veřejná instituce nebo jiná právnická osoba. Rozhodující je, že poskytuje konkrétní činnost uvedenou ve vyhlášce o regulovaných službách vydané NÚKIB (§ 4 odst. 2 zákona) a případně splňuje další zákonná kritéria (§ 5).

Registrace poskytovatele regulované služby

Poskytovatel, který splňuje podmínky pro registraci regulované služby (ve vyšším nebo nižším režimu povinností), má povinnost službu do 60 dnů ohlásit NÚKIB. Úřad následně rozhodne o registrací služby (§ 6). Každou následnou podstatnou změnu, která by mohla ovlivnit status nebo režim poskytovatele regulované služby, je taktéž nutné oznámit do 60 dnů (§ 9).

V některých případech může NÚKIB poskytovatele zařadit mezi regulované i bez jeho návrhu (§ 5), například pokud je jediným poskytovatelem dané služby v ČR nebo pokud spravuje prvek kritické infrastruktury.

Neohlášení služby, respektive neplnění povinností poskytovatele regulované služby může vést k vysokým pokutám až v řádech miliónů korun (§ 59 a následující).

Povinnosti poskytovatele regulované služby

Na poskytovatele regulované služby se vztahuje řada povinností. Rozsah těchto povinností závisí na určeném režimu – režim vyšších povinností vyžaduje rozsáhlejší a přísnější opatření než režim nižší. Společné oblasti pro oba režimy jsou například řízení rizik a aktiv, bezpečnost lidských zdrojů, řízení přístupů a identit, reakce na incidenty, zabezpečení sítí a aplikací, požadavky na vrcholové vedení a další (§ 14). Oba režimy povinností vycházejí ze stejného základu bezpečnostních opatření, rozsah a hloubka implementace se však liší.

Bezpečnostní opatření

Bezpečnostní opatření tvoří základ nové právní úpravy kybernetické bezpečnosti. Podle zákona č. 264/2025 Sb. musí poskytovatelé regulovaných služeb zavést a udržovat taková opatření, která snižují a, kterým jejich služby čelí (§ 13).

Účelem bezpečnostních opatření (organizačních, technických a procesních) je předcházet bezpečnostním incidentům, co nejrychleji odhalovat případné kybernetické hrozby a efektivně na ně reagovat. Zákon stanovuje pouze obecnou povinnost, ale podrobnější podoba a rozsah těchto opatření přesněji popisují prováděcí vyhlášky. Ty pak rozlišují pravidla zvlášť pro poskytovatele služeb v nižším režimu a v režimu vyšších povinností. Tím je zajištěno, že bezpečnostní opatření budou nejenom správná, ale i přizpůsobena konkrétní úrovni rizika jednotlivých služeb.

Organizační a technická opatření

Bezpečnostní opatření lze rozdělit na dvě základní skupiny: organizační a technická. Toto rozdělení vychází přímo z ze zákona a jeho prováděcích vyhlášek.

• Organizační opatření (§ 14 odst. 1 písm. a), § 14 odst. 2 písm. a) –g)) se týkají procesní stránky kybernetické bezpečnosti. Tedy zejména toho, jak má být vše nastaveno, aby byla bezpečnost opravdu zajištěna. Opatření například zahrnují: určení, kdo za co odpovídá, zavedení pravidel a směrnic, řízení rizik, pravidelné školení zaměstnanců nebo nastavení postupů pro řešení mimořádných situací, jako jsou kybernetické útoky či jiné bezpečnostní incidenty. Cílem organizačních opatření je, aby společnost měla dobře nastavený a promyšlený způsob práce a bezpečnostní kulturu. Nejde o nákup technologií.
• Technická opatření (§ 14 odst. 1 písm. b), § 14 odst. 2 písm. h) –m)) zahrnují konkrétní technologie a technologické postupy, které chrání systémy a data před útoky a ztrátou. Patří sem například řízení přístupových práv (kdo má k čemu přístup), šifrování dat, rozdělení sítě na části (segmentace sítě), pravidelné zálohování důležitých dat, používání systémů k detekci podezřelé aktivity, správa aktualizací softwaru (patch management) a testování odolnosti systému proti útokům.

Je důležité si uvědomit, že organizační a technická opatření jsou na sobě navzájem závislá a musí se navzájem doplňovat. Technické nástroje bez dobře nastavených pravidel a procesů nasazení a obsluhy nejsou dostatečně účinné. A naopak – i ta nejlepší pravidla a procesy budou málo platná, pokud nebudou podpořená vhodnými technologiemi.

Opatření podle režimů

Bezpečnostní opatření se nerozlišují jenom podle toho, zda jsou organizační nebo technická, ale také podle toho, do jakého režimu poskytovatel služby patří. Tento režim určuje, jak přísná a rozsáhlá musí být opatření. Zákon rozlišuje dva režimy: režim nižších povinností a režim vyšších povinností (§ 8).

Režim nižších povinností je určen především pro poskytovatele méně kritické služby. Pro tyto poskytovatele jsou stanoveny základní požadavky na bezpečnost, které pomáhají zajistit, že služby fungují bezpečně a jsou chráněné před běžnými riziky. Mezi základní opatření například patří:

• určení odpovědné osoby za kybernetickou bezpečnost (§ 14 odst. 2 písm. e),
• zavedení politiky pro řízení rizik, která pomáhá odhalovat a minimalizovat možné hrozby (§ 14 odst. 2 písm. e),
• vypracování a dokumentace bezpečnostních postupů (§ 14 odst. 2 písm. a),
• ochrana sítí a systémů (§ 14 odst. 2 písm. k),
• pravidelné zálohování dat,
• povinnost hlásit bezpečnostní incidenty (§ 14 odst. 2 písm. j).

Režim vyšších povinností je naopak určen pro poskytovatele služeb, které jsou z hlediska bezpečnosti velmi důležité nebo kritické. Tyto organizace musí zavést mnohem podrobnější a rozsáhlejší opatření, která pokrývají celý systém řízení bezpečnosti informací. Například musí:

• zavést ucelený systém řízení bezpečnosti informaci (§ 14 odst. 1 písm. a) bod 1),
• pravidelně provádět bezpečnostní audity, které ověřují, zda jsou opatření skutečně účinná (§ 14 odst. 1 písm. a) bod 14),
• řídit dodavatelský řetězec, tedy sledovat a kontrolovat bezpečnost u externích dodavatelů (§ 14 odst. 1 písm. a) bod 7),
• provádět bezpečnostní testy, například penetrační testy, které simulují útoky a pomáhají odhalit slabá místa,
• nasadit monitoring systémů, aby bylo možné rychle detekovat a reagovat na bezpečnostní hrozby (§ 14 odst. 1 písm. a) bod 1).

Rozhodnutí, do kterého režimu, který poskytovatel patří, provádí NÚKIB při registraci regulované služby. To znamená, že neplatí jeden univerzální přístup pro všechny. Rozsah bezpečnostních opatření se přizpůsobuje podle důležitosti a významu konkrétní služby.

Tento systém umožňuje efektivně chránit různé druhy služeb – od méně kritických až po ty, na kterých závisí fungování důležitých částí společnosti nebo bezpečnosti státu.

Zavedení bezpečnostních opatření

Zákon o kybernetické bezpečnosti a navazující vyhlášky neukládají povinnost používat konkrétní technologie. Místo toho stanovují, že bezpečnostní opatření musí být přiměřená rizikům, kterým jsou systémy a služby vystaveny, a musí být pravidelně aktualizovány tak, aby odpovídaly aktuální kybernetické situaci. Prakticky to znamená, že každá organizace musí:

1. Provést analýzu rizik pro své systémy a služby (§ 14, odst. 1, 2). To znamená zjistit, jaká hrozba může ohrozit kybernetickou bezpečnost.
2. Zavést bezpečnostní opatření odpovídající výsledkům této analýzy (§ 14, odst. 2, 3). Opatření by měla efektivně minimalizovat odhalená rizika.
3. Dokumentovat všechna přijatá opatření a pravidelně je aktualizovat, aby stále odpovídala novým hrozbám a změnám v prostředí.

NÚKIB při kontrolách nehodnotí pouze to, zda existují dokumenty a plány, ale také to, jestli bezpečnostní opatření skutečně fungují a využívají se v praxi.

Řízení dodavatelů

Bezpečnost dodavatelského řetězce je jedním z pilířů nové právní úpravy kybernetické bezpečnosti. Zákon i vyhlášky vyžadují, aby poskytovatelé regulovaných služeb prověřovali své dodavatele, nastavovali smluvní podmínky týkající se kybernetické bezpečnosti a průběžně sledovali jejich plnění. V praxi to znamená přenést principy kybernetické bezpečnosti i na všechny klíčové partnery a poddodavatele. Společnosti, které tento požadavek podcení, riskují nejen sankce od NÚKIB, ale i zásadní dopady na svůj vlastní provoz.

Součást organizačních opatření

V režimu vyšších povinností (§ 9 vyhlášky o bezpečnostních opatřeních pro vyšší režim) musí poskytovatel zavést:

• procesy pro hodnocení dodavatelů před uzavřením smlouvy,
• smluvní požadavky na dodržování bezpečnostních opatření,
• pravidelný dohled a možnost provádět audity,
• vyhodnocování bezpečnostních incidentů dodavatelů a jejich dopadů.

V režimu nižších povinností je požadavek mírnější, ale i zde musí poskytovatel podle vyhlášky mít přehled o dodavatelích s přístupem ke stanovenému rozsahu (§ 3 vyhlášky o bezpečnostních opatření pro nižší režim) a zajistit, že tito dodavatelé dodržují základní bezpečnostní pravidla.

Řízení dodavatelů v praxi

Bezpečnost dodavatelského řetězce se řeší od okamžiku, kdy je služba registrována jako regulovaná (§ 6). Povinnost zavést bezpečnostní opatření včetně řízení dodavatelů pak běží v zákonných lhůtách – do jednoho roku od vydání rozhodnutí o registraci (§ 6 odst. 4). Nejde však o jednorázový krok. Řízení dodavatelů je průběžný proces, který musí být součástí systému řízení kybernetické bezpečnosti. Z praktického hlediska to znamená:

• nestačí prověřit dodavatele jen při uzavření smlouvy,
• je nutné průběžně sledovat jejich bezpečnostní úroveň,
• musí být nastaveny postupy pro případ, že dodavatel nesplní požadavky nebo dojde k incidentu.

Řízení bezpečnosti dodavatelského řetězce se promítá do několika praktických kroků. Společnost by měla dodavatele hodnotit ještě před uzavřením smlouvy – například prověřit jejich bezpečnostní politiky, certifikace (např. ISO/IEC 27001) nebo zkušenosti s ochranou dat. Do smluv je nutné zakotvit povinnosti týkající se kybernetické bezpečnosti, včetně možnosti provádět audity či bezpečnostní testy.

Důležitým krokem je i určení, kteří dodavatelé mají přístup k „stanovenému rozsahu“ podle § 12 – tedy k aktivům nezbytným pro poskytování regulované služby. Typicky půjde například o poskytovatele cloudu, správce sítí nebo dodavatele kritických softwarových aplikací. U těchto subjektů se vyžaduje nejpřísnější dohled.

Jak hodnotit dodavatele?

Prováděcí vyhlášky přímo neříkají, jak přesně má vypadat prověřování dodavatelů – nechávají prostor organizacím, aby přizpůsobily postup svému prostředí. V praxi se ale osvědčují například tyto kroky:

• Bezpečnostní dotazník – jednoduchý formulář, kterým dodavatel doloží, jak řeší základní oblasti (řízení přístupu, šifrování, zálohování, incident management).
• Smluvní požadavky – jasně dané povinnosti dodavatele, např. hlásit kybernetický incident do určité lhůty nebo umožnit provedení auditu.
• Referenční doklady – požadavek na doložení certifikace (např. ISO/IEC 27001) nebo jiných standardů, pokud je dodavatel má.
• Pravidelné přezkoumání – jednou ročně vyhodnotit, zda dodavatel stále splňuje bezpečnostní podmínky a zda se nezměnily okolnosti (např. v případě outsourcingu do zahraničí).

Dodavatelé u významné regulované služby

Zatímco povinnost řídit dodavatele mají všichni poskytovatelé regulovaných služeb, u významných regulovaných služeb se požadavky zpřísňují. Kromě rozsáhlejší povinnosti kontroly dodavatelského řetězce, nebo povinnosti hlásit NÚKIB změny v dodavatelích bezpečnostních dodávek může NÚKIB takovým poskytovatelům dokonce zakázat využití plnění od určitého dodavatele.

Takové opatření se uplatní například tehdy, pokud by poskytovatel významné služby chtěl využít dodavatele kritických technologií ze zahraničí, kde existují bezpečnostní nebo geopolitická rizika. Stát tak získává možnost zabránit, aby se do provozu strategické služby zapojil nedůvěryhodný subjekt.

Prakticky to tak znamená, že poskytovatel významné regulované služby musí počítat s tím, že nejen jeho vlastní zabezpečení, ale ve výjimečných případech i volba dodavatelů může být předmětem státního dohledu.

Požadavky na vrcholové řízení

Nový zákon o kybernetické bezpečnosti, spolu s prováděcími vyhláškami, přináší jasné a poměrně detailní povinnosti pro statutární orgány a vrcholový management organizací, které poskytují regulovanou službu. Není to jen formální změna – zákon vychází z předpokladu, že kybernetická bezpečnost není pouze technickou záležitostí, ale strategickou odpovědností vedení organizace.

Tyto povinnosti se liší podle toho, zda je poskytovatel zařazen do režimu vyšších povinností, nebo režimu nižších povinností (§ 14), ale v obou případech se očekává aktivní role managementu při řízení kybernetické bezpečnosti.

Vrcholové vedení v režimu vyšších povinností

Podle § 4 vyhlášky o bezpečnostních opatřeních v režimu vyšších povinností má vedení odpovědnost za to, aby byly k dispozici dostatečné finanční, technické a lidské zdroje, a aby o významu kybernetické bezpečnosti byli informováni všichni zaměstnanci a relevantní partneři.

Vrcholové vedení určí osoby v bezpečnostních rolích – manažera kybernetické bezpečnosti, architekta kybernetické bezpečnosti, garanta aktiva a auditora kybernetické bezpečnosti (§ 4 a § 5 vyhlášky). Zajišťuje jim potřebné pravomoci a prostředky, včetně finančních. Pravidelně se seznamuje s výsledky auditů (§ 16 vyhlášky), s hodnocením rizik (§ 8), plánem jejich zvládání i s analýzami dopadů incidentů (§ 15). Součástí odpovědnosti je i zajištění testování plánů kontinuity činností a obnovy provozu (§ 15).

Zákon i vyhláška navíc požadují zřízení výboru pro řízení kybernetické bezpečnosti, ve kterém má být alespoň jeden člen vrcholového vedení a manažer kybernetické bezpečnosti (§ 5 odst. 3 vyhlášky). Tento výbor se schází minimálně jednou ročně a jeho činnost musí být dokumentována. Celkově se od vedení očekává, že bude prosazovat neustálé zlepšování systému řízení bezpečnosti informací a kultury kybernetické bezpečnosti.

Vrcholové vedení v režimu nižších povinností

V režimu nižších povinností jsou požadavky zjednodušené, ale kybernetická bezpečnost zůstává nedílnou součástí řízení organizace Podle § 14 odst. 2 písm. b) zákona a § 5 písm. a) vyhlášky pro nižší režim, vedení určí osobu pověřenou kybernetickou bezpečností, která má na starosti řízení a rozvoj bezpečnosti, dohled nad jejím stavem a komunikaci s vedením. Tato osoba musí být odborně způsobilá, a to buď doložením praxe, nebo absolvováním požadovaných školení (§ 4 písm. a) a § 5 odst. 2 písm. d) vyhlášky pro nižší režim).

Management zajišťuje, že pověřená osoba má k dispozici potřebné zdroje a podporu pro zavedení a udržování bezpečnostních opatření (§ 4 písm. a) vyhlášky). Pravidelně se seznamuje s přehledem bezpečnostních opatření, jejich stavem a plněním (§ 4 písm. d) vyhlášky). Stejně jako v režimu vyšších povinností má prosazovat zlepšování kybernetické bezpečnosti jako kontinuální proces.

Povinnost školení vrcholového vedení

Významnou povinností je pravidelné školení členů vrcholného vedení. Organizace ve vyšším režimu má zajistit, aby vedení prokazatelně absolvovalo školení zaměřené na systém řízení bezpečnosti informací, řízení rizik a kontinuitu činností (§ 4 písm. a) ve spojení s § 10 odst. 3 písm. a) vyhlášky). Školení probíhají formou vstupních kurzů a následně v pravidelných intervalech. Cílem je, aby vedení disponovalo znalostmi potřebnými k identifikaci rizik, posouzení vhodnosti opatření a dohledu nad jejich realizací.

Také v nižším režimu se zákon a vyhláška věnují školení vedení – členové vrcholného vedení musí být poučeni o svých povinnostech a o bezpečnostní politice organizace (§ 5 odst. 2 písm. a) vyhlášky). Školení probíhá při nástupu do funkce a poté pravidelně, aby vedení mělo aktuální znalosti k rozhodování v oblasti kybernetické bezpečnosti.

Klíčové rozdíly odpovědnosti vedení dle režimů

Vyšší režim klade důraz na komplexní a formální strukturu řízení kybernetické bezpečnosti. Vyžaduje existenci systému řízení bezpečnosti informací, jasně definované role, pravidelné audity, řízení rizik a činnosti výboru pro řízení bezpečnosti. Nižší režim se soustředí na zajištění minimálních standardů prostřednictvím pověřené osoby a vedení přehledu o bezpečnostních opatřeních. V obou případech jsou však povinnosti pevně navázány na statutární orgány a jejich odpovědnost – nelze je delegovat pouze na IT oddělení.

Stanovení bezpečnostních rolí

Kybernetická bezpečnost není jen otázkou technologií, ale i lidí a jejich odpovědností. Pokud není jasně určeno, kdo má na starost zavádění opatření, kdo řeší incidenty nebo kdo kontroluje jejich funkčnost, hrozí, že povinnosti zůstanou „ve vzduchu“. Proto zákon o kybernetické bezpečnosti, ukládá poskytovatelům regulovaných služeb povinnost stanovit osoby, které budou zastávat bezpečnostní role (§ 14 odst. 1 písm. a) bod 3). Jejich konkrétní podoba a obsah jsou dále rozpracovány v prováděcích vyhláškách NÚKIB – samostatně pro režim nižších povinností a pro režim vyšších povinností.

Bezpečnostní role v režimu vyšších povinností

Vyhláška o bezpečnostních opatřeních pro režim vyšších povinností (§ 4 a 5) vyžaduje, aby byly určeny následující orgány a role:

• Výbor pro řízení kybernetické bezpečnosti obvykle tvoří zástupci vrcholového vedení a manažer kybernetické bezpečnosti. Doplňuje jej architekt kybernetické bezpečnosti a zástupci klíčových útvarů – zejména IT, financí, právního a personálního oddělení. Společně se starají o celkové řízení a rozvoj kybernetické bezpečnosti v rámci společnosti.
  • Definuje role a odpovědnosti v rámci systému řízení bezpečnosti informací.
  • Definuje požadavky na podávání zpráv a kontrolu systému řízení bezpečnosti informací.
  • Zajišťuje kontrolu aktuálního stavu kybernetické bezpečnosti a zjišťuje, zda dochází k naplňování plánovaných cílů.
• Manažer kybernetické bezpečnosti je klíčová spojka mezi vedením, IT a kyberbezpečností. Zajišťuje chod celého systému řízení kybernetické bezpečnosti. Plánuje a nastavuje strategii a určuje, jak bude organizace chránit svá data a systémy. Koordinuje řízení aktiv a rizik, odpovídá za zavedení a dodržování opatření. Řeší incidenty, když dojde k útoku nebo úniku dat, je zodpovědný za reakci a nápravu. Komunikuje s managementem a vysvětluje rizika a navrhuje investice do bezpečnosti.
• Architekt kybernetické bezpečnosti je oproti manažerovi kybernetické bezpečnosti techničtější role. Navrhuje bezpečnostní architekturu informačních systémů a připravuje návrhy, jak chránit data, servery nebo cloud. Doporučuje vhodné technologie – jaké firewally, antiviry nebo šifrování použít, vzájemné vazby a dohlíží na soulad implementace architektury informačních systémů se systémem řízení bezpečnosti informací. Spolupracuje s dalšími IT odborníky, aby vše fungovalo dohromady a bezpečně. Navrhuje případné způsoby dalšího rozvoje řízení informační bezpečnosti, sleduje trendy a navrhuje vylepšení ochrany podle aktuálních rizik.
• Auditor kybernetické bezpečnosti provádí nezávislé hodnocení, zda jsou bezpečnostní opatření správně nastavená a funkční. Výslovně se zakazuje slučitelnost této role s jinými bezpečnostními funkcemi, aby byla zajištěna nestrannost. Auditor připravuje pravidelné zprávy pro vedení a navrhuje doporučení na zlepšení.
• Garanti aktiv jsou role přiřazené konkrétním důležitým aktivům (např. databáze pacientů, energetický systém, síťová infrastruktura). Garant jako vlastník aktiva je odpovědný za to, že s aktivem se nakládá v souladu s požadavky zákona a vyhlášky, a že jsou pro něj nastavena odpovídající opatření. Tato role je klíčová pro každodenní provoz. Ve společnosti může být garantem aktiva například i obchodní ředitel odpovědný za databázi zákazníků nebo personalista za zaměstnaneckou dokumentaci.

Odpovědná osoba v režimu nižších povinností

Vyhláška o bezpečnostních opatřeních pro poskytovatele v režimu nižších povinností (část druhá) stanoví povinnost určit osobu odpovědnou za kybernetickou bezpečnost. Tato osoba má za úkol:

• koordinovat zavádění a udržování bezpečnostních opatření,
• hlásit kybernetické bezpečnostní incidenty (§ 15),
• zajišťovat základní bezpečnostní dokumentaci a dohled nad plněním povinností.

V praxi tuto funkci v menších organizacích často zastává vedoucí IT oddělení nebo externí odborník. Vyhláška nevyžaduje, aby šlo o samostatnou pracovní pozici, důležité ale je, aby byla tato odpovědnost formálně určena a prokazatelně vykonávána.

Role vrcholového vedení

Ať už jde o režim nižších, nebo vyšších povinností, zapojení vrcholového vedení je zásadní. Zákon i vyhlášky mu ukládají povinnost nést konečnou odpovědnost za kybernetickou bezpečnost (§ 14 odst. 1 písm. a) bod 1, § 4 vyhlášky vyšších povinností). V praxi to znamená, že vedení musí:

• schvalovat bezpečnostní politiku a strategii,
• vyčleňovat finanční i personální zdroje,
• pravidelně vyhodnocovat stav bezpečnosti na základě reportů manažera KB, architekta KB či auditora KB,
• nést odpovědnost při komunikaci s NÚKIB a při kontrolách.

Kybernetická bezpečnost tak není jen technickou otázkou IT oddělení, ale součástí strategického řízení celé organizace.

Interní tým nebo outsourcing?

Zákon ani vyhlášky neurčují, že všechny role musí být vykonávány interně. Organizace může část z nich zajistit externě – typicky auditora nebo architekta. Outsourcing je praktickým řešením zejména pro menší společnosti, které nemají vlastní kapacity. Důležité však je, aby i při využití externího dodavatele:

• byla odpovědnost formálně určená,
• smlouva pokrývala všechny povinnosti uložené vyhláškou,
• organizace měla přehled a kontrolu nad tím, jak jsou povinnosti plněny.

Role nelze „přenést“ na dodavatele tak, aby organizace sama neměla žádnou odpovědnost – právní odpovědnost vůči NÚKIB vždy zůstává na poskytovateli regulované služby.

Bezpečnostní politika a bezpečnostní dokumentace

Řízení bezpečnostní politiky a bezpečnostní dokumentace je zákonnou povinností poskytovatelů regulovaných služeb. Pro poskytovatele regulované služby v režimu vyšších povinností jsou výslovně uvedeny mezi povinnými organizačními opatřeními (§ 14 odst. 1 písm. a) bod 4), zatímco v režimu nižších povinností vyplývá z § 3 odst. 3 vyhlášky o bezpečnostních opatřeních poskytovatele regulované služby v režimu nižších povinností (v tomto odstavci dále jen vyhlášky v nižším režimu).

Bezpečnostní politiky a dokumentace svým obsahem navazují na vyhlášky a lze je tak tematicky rozdělit na politiky upravující organizační stránku a politiky upravující technickou stránku kybernetické bezpečnosti.

Bezpečnostní politika

Bezpečnostní politika představuje soubor zásad a pravidel, která určují způsob zajištění ochrany aktiv – tedy informací, systémů, služeb a dalších zdrojů potřebných k poskytování regulované služby.

V režimu vyšších povinností (§ 6 vyhlášky o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností) musí poskytovatel regulované služby tuto politiku stanovit nejen pro řízení kybernetické bezpečnosti, ale i pro všechna další relevantní bezpečnostní opatření. V praxi se tak setkáte například s politikou řízení přístupu (§ 13 vyhlášky), politikou fyzické bezpečnosti (§ 17 vyhlášky) nebo politikou řízení kontinuity činností (§ 15 vyhlášky). Bezpečnostní politiky se musí pravidelně přezkoumávat a aktualizovat, promítat do provozních postupů a musí být určena osoba odpovědná za její správu. Politika musí být také dostupná zaměstnancům a dalším oprávněným osobám, zároveň ale chráněná z hlediska důvěrnosti, integrity a dostupnosti.

V režimu nižších povinností (§ 5 vyhlášky v nižším režimu) platí obdobné požadavky, i když v méně rozsáhlé formě. Politika se stanoví k bezpečnostním opatřením požadovaným vyhláškou a musí se pravidelně přezkoumávat a vynucovat.

Bezpečnostní dokumentace

Na bezpečnostní politiku navazuje bezpečnostní dokumentace, která rozpracovává a konkretizuje politiky do konkrétních metodik, postupů a technických standardů. Obsahuje například:

• metodiky pro řízení aktiv, hodnocení rizik, reakci na incidenty,
• provozní a technické standardy (např. pro řízení přístupů, správu sítí, kryptografii),
• plány kontinuity činností a plány obnovy,
• smluvní požadavky na zajištění bezpečnosti u dodavatelů.

V režimu vyšších povinností má tato dokumentace širší rozsah a musí pokrývat všechna organizační i technická opatření stanovená vyhláškou, přičemž její obsah musí být úplný, čitelný a snadno dohledatelný.

Aktualizace a odpovědnost

Zákon společně s vyhláškami klade důraz na pravidelnou aktualizaci a přezkum jak bezpečnostní politiky, tak dokumentace. Tyto činnosti mají na starosti určené osoby (obvykle manažer kybernetické bezpečnosti), které musí zajistit, že obsah odpovídá aktuálním rizikům, technologiím a legislativě. Dokumenty zároveň musejí být snadno přístupné těm, kdo je potřebují k výkonu své role, ale také chráněné před zneužitím.

V praxi to znamená, že organizace musí mít jasně nastavenou strukturu odpovědností, zajistit, aby dokumentace nebyla jen „pro audit“, ale živým nástrojem každodenní praxe, prokazatelně proškolit všechny, kdo mají s bezpečnostní politikou a dokumentací pracovat a propojit obsah dokumentace s výsledky hodnocení rizik.

Závěr

Bezpečnostní dokumentace a politiky jsou v právní úpravě kybernetické bezpečnosti chápány jako páteř řízení bezpečnosti informací. Dokumentace vám bude sloužit jen tak dobře, jak důsledně ji budou dodržovat zaměstnanci i další osoby, kterých se týká. Proto by měly být:

• aktuální a dostupné v elektronické nebo listinné podobě,
• komunikovány napříč společností,
• přiměřeně dostupné dotčeným stranám (zaměstnanci, dodavatelé),
• chráněny z pohledu důvěrnosti, integrity a dostupnosti a
• vedeny tak, aby informace v nich obsažené byly úplné, čitelné, správné, snadno identifikovatelné a vyhledatelné.

Doporučujeme pravidelně školit všechny, kteří se podle nich mají řídit, aby znali jejich obsah a rozuměli mu.

Bezpečnostní politika určuje „co a proč“ – tedy základní zásady a cíle ochrany aktiv, zatímco bezpečnostní dokumentace vysvětluje „jak“ – konkrétní kroky, procesy a technická nastavení. Společně tvoří rámec, který je nezbytný nejen pro splnění zákonných požadavků, ale především pro dosažení skutečné odolnosti vůči kybernetickým hrozbám.

Řízení aktiv

Řízení aktiv by mělo být pro každou společnost velmi důležitou součástí při zavádění systému řízení kybernetické bezpečnosti. Povinnost řízení aktiv je inspirována standardem ISO 55000 a pokud tedy máte toto ISO zavedené, můžete si povinnost z velké většiny odškrtnout. A co se rozumí pojmem aktivum?

Aktivem může být cokoliv, co má pro vaši společnost nějakou hodnotu. Například informační systémy, datové soubory, hardware, software, zaměstnanci, klíčoví dodavatelé nebo třeba know-how.

Řízení aktiv pak spočívá v roztřídění těchto aktiv podle toho, jak důležité jsou pro chod společnosti a jaké jsou mezi nimi vazby. Tím zjistíte, co je pro vaši společnost důležité a co je nutné chránit. Za tímto účelem společnost stanoví metodiku pro hodnocení a klasifikaci aktiv právě podle jejich důležitosti. Částečně je tedy na uvážení společnosti, jak rozsáhlý systém chce zavést.

Ve vyhlášce o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností a vyhlášce o bezpečnostních opatřeních poskytovatele regulované služby v režimu nižších povinností a jejich přílohách najdete klíčové povinnosti a kritéria, která se musí u aktiv posuzovat. Vyhlášky uvádí minimální rozsah i podobu stupnice řízení aktiv. Aktiva musí být hodnocena alespoň stupni podle základní CIA triády, tedy hodnocení na základě důvěrnosti, integrity a dostupnosti. Co to znamená? Důvěrnost zajišťuje, že k informaci budou mít přístup jen oprávněné osoby. Integrita znamená, že informace je uživateli doručena bez nežádoucích změn a úprav. Dostupností se rozumí, že oprávněný uživatel může získat ze systému data kdykoliv v případě potřeby.

Přílohy vyhlášek upravují také doporučení, jak by mohl vypadat obsah politiky pro řízení aktiv.

Bezpečnost lidských zdrojů

Zaměstnanci mohou být vysoce rizikovým aktivem, proto vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností (§ 10) a vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu nižších povinností (§ 5) obsahují povinnosti, které se lidských zdrojů týkají. Jde v zásadě o průběžné vzdělávání zaměstnanců a udržování potřebné úrovně bezpečnostního povědomí.

Základem bezpečnosti lidských zdrojů je stanovení takzvaného „plánu rozvoje bezpečnostního povědomí“. Jeho obsah doporučuje vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností.

Kromě dalšího by v něm mělo být uvedeno, že jednotlivá školení mají být přizpůsobená tomu, jakou pozici v rámci společnosti školený zaměstnanec zastává. Například top management by měl určitě absolvovat jiné školení než běžní zaměstnanci. O provedených školeních musí být vedeny záznamy.

Jak školení proběhne nebo jak často se bude opakovat, už vyhláška neupravuje. V praxi je běžné, že školení probíhá při nástupu zaměstnance před přidělením přístupů k IT prostředkům a zařízením a pak zpravidla jednou ročně. Je to vlastně takové BOZP pro práci s počítačem.

Svět IT se ale vyvíjí velmi rychle a s tím i nové a nové hrozby. Doporučujeme proto informovat zaměstnance o aktuálním dění častěji než jednou ročně, ať už prostřednictvím e-mailů zaměstnancům nebo vyvěšením zprávy na intranet.

Řízení změn

Řízení změn patří stejně jako řízení aktiv a rizik mezi základní nástroje řízení kybernetické bezpečnosti a povinnosti, které vycházejí přímo z vyhlášky o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností (§ 11). Smyslem tohoto opatření je kontrolovat změny ve společnosti tak, aby nedošlo k ohrožení její bezpečnosti. Například při koupi softwaru, který by mohl představovat riziko pro bezpečnost společnosti.

Aby nemusela být hodnocena každá drobná změna, společnost by si měla stanovit, jaké změny pro ni budou významné a proč je chce sledovat a hodnotit. Pod drobnohledem by měly být takové změny, které se týkají kybernetické bezpečnosti, spíše než změny provozního charakteru. Kritéria pro určení toho, jaké změny jsou významné, si ale každá společnost určuje sama.

Pokud ve společnosti proběhne významná změna zejména v oblasti hardwaru nebo softwaru, měla by společnost zvážit, zda přistoupí například i k penetračním testům, které by vyloučily negativní dopad změny na kybernetickou bezpečnost.

Akvizice, vývoj a údržba

Důležitou roli v rámci organizačních opatření představují také oblasti jako akvizice, vývoj a údržba systémů nebo pravidelné kontroly a audity. Jaké povinnosti přinášejí a proč jsou klíčové pro kybernetickou bezpečnost organizace? Akvizice, vývoj a údržba pomáhají v rámci řešení kybernetické bezpečnosti zajišťovat dlouhodobou udržitelnost technických aktiv. Vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností (§ 12) a vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu nižších povinností (§ 3 odst. 6) v rámci tohoto opatření uvádí, že rozvoj systémů musí být podpořen jasnými požadavky na zajištění bezpečnosti, které se promítnou do celého životního cyklu systému. Od vývoje až po jeho využívání v provozu.

Součástí akvizice nového systému nebo hardwaru, by mělo být provedení analýzy rizik, aby společnost dostatečně včas identifikovala možné negativní dopady a navrhla opatření ke zmírnění těchto rizik. Při významných změnách je vhodné provést bezpečnostní testování před nasazením.

V případě vývoje je nutné dbát na rozlišování vývojového nebo testovacího prostředí od prostředí uživatelského a zaměřit se na ochranu testovaných dat. To je důležité zejména v případech, kdy se může jednat o osobní nebo citlivé údaje, které nejsou náhodně generované, ale jde například o starší kopii skutečných dat.

Řízení přístupových oprávnění

Za účelem splnění požadavků technických opatření by společnosti měly zavést nástroje pro správu přístupových oprávnění a nástroje na ochranu před škodlivým kódem. Jaké prvky tato opatření zahrnují a proč jsou nezbytná?

Řízení přístupových oprávnění má za cíl zajistit, aby uživatelé měli přístup pouze k těm datům, která nezbytně potřebují ke své práci a aby s těmito daty mohli provádět pouze aktivity, ke kterým mají oprávnění. Tím je myšlen jak pasivní přístup (například čtení dat), tak aktivní přístup (například změna dat).

Podobně jako by povinná osoba měla mít implementovaný nástroj pro správu a ověřování identit, měla by mít také nástroj na správu přístupových oprávnění. Nástroj by měl být podle požadavků vyhlášky o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností centralizovaný pro celou společnost, aby umožňoval snadnou správu individuálních přístupových oprávnění a jejich audit. Zpravidla se jedná o jeden nástroj, který plní obě funkce – řízení přístupu na základě rolí.

Další nástroj, který povinná osoba musí implementovat, je nástroj pro zajištění nepřetržité ochrany před škodlivým kódem. Tímto nástrojem může být například antivirový program nebo EDR software, jehož výběr je plně v kompetenci společnosti. Nástroj by měl umožňovat vykonávat a monitorovat aktivity, které uvádí vyhlášky a umožnit zaznamenávat aktivity pro pozdější nebo průběžné vyhodnocování. Ve vyhláškách najdete také konkrétní technická aktiva, která musí být chráněna tímto způsobem. Nástroj, který ve společnosti vyberete, je zároveň nutné pravidelně aktualizovat.

Řízení kontinuity

Řízení kontinuity činností je opatření, které má za cíl zajistit, aby se společnost připravila na jakoukoliv událost, která by mohla znemožnit její provoz nebo poskytování běžných služeb. Takovou událostí může být nejen bezpečnostní incident, ale i přírodní katastrofa, výpadek většího počtu zaměstnanců a podobné události.

Opatření na řízení kontinuity činností nás vlastně upozorňuje na to, jak je důležité nepodcenit plánování. Zahrnovat by mělo vypracování a pravidelnou aktualizaci a testování plánů kontinuity činností a plánů obnovy, aby byly využitelné v případě potřeby. Tato opatření mají zajistit, že společnost dokáže udržet provoz i v krizových situacích či minimalizovat přerušení poskytování služeb na nepřijatelně dlouhou dobu.

Bezpečnostní opatření

Bezpečnostní opatření tvoří základ nové právní úpravy kybernetické bezpečnosti. Podle zákona musí poskytovatelé regulovaných služeb zavést a udržovat taková opatření, která snižují a, kterým jejich služby čelí (§ 13).

Účelem bezpečnostních opatření (organizačních, technických a procesních) je předcházet bezpečnostním incidentům, co nejrychleji odhalovat případné kybernetické hrozby a efektivně na ně reagovat. Zákon stanovuje pouze obecnou povinnost, ale podrobnější podobu a rozsah těchto opatření přesněji popisují prováděcí vyhlášky. Ty pak rozlišují pravidla zvlášť pro poskytovatele služeb v nižším režimu a v režimu vyšších povinností. Tím je zajištěno, že bezpečnostní opatření budou nejenom správná, ale i přizpůsobena konkrétní úrovni rizika jednotlivých služeb.

Organizační a technická opatření

Bezpečnostní opatření lze rozdělit na dvě základní skupiny: organizační a technické. Toto rozdělení vychází přímo z ze zákona a jeho prováděcích vyhlášek.

• Organizační opatření (§ 14 odst. 1 písm. a), § 14 odst. 2 písm. a) –g)) se týkají procesní stránky kybernetické bezpečnosti. Tedy zejména toho, jak má být vše nastaveno, aby byla bezpečnost opravdu zajištěna. Opatření například zahrnují: určení, kdo za co odpovídá, zavedení pravidel a směrnic, řízení rizik, pravidelné školení zaměstnanců nebo nastavení postupů pro řešení mimořádných situací, jako jsou kybernetické útoky či jiné bezpečnostní incidenty. Cílem organizačních opatření je, aby společnost měla dobře nastavený a promyšlený způsob práce a bezpečnostní kulturu. Nejde o nákup technologií.
• Technická opatření (§ 14 odst. 1 písm. b), § 14 odst. 2 písm. h) –m)) zahrnují konkrétní technologie a technologické postupy, které chrání systémy a data před útoky a ztrátou. Patří sem například řízení přístupových práv (kdo má k čemu přístup), šifrování dat, rozdělení sítě na části (segmentace sítě), pravidelné zálohování důležitých dat, používání systémů k detekci podezřelé aktivity, správa aktualizací softwaru (patch management) a testování odolnosti systému proti útokům. Je důležité si uvědomit, že organizační a technická opatření jsou na sobě navzájem závislá a musí se navzájem doplňovat. Technické nástroje bez dobře nastavených pravidel a procesů nasazení a obsluhy nejsou dostatečně účinné. A naopak – i ta nejlepší pravidla a procesy budou málo platná, pokud nebudou podpořená vhodnými technologiemi.

Opatření dle režimů

Bezpečnostní opatření se nerozlišují jenom podle toho, zda jsou organizační nebo technická, ale také podle toho, do jakého režimu poskytovatel služby patří. Tento režim určuje, jak přísná a rozsáhlá musí být opatření. Zákon rozlišuje dva režimy: režim nižších povinností a režim vyšších povinností (§ 8).

Režim nižších povinností je určen především pro poskytovatele méně kritické služby. Pro tyto poskytovatele jsou stanoveny základní požadavky na bezpečnost, které pomáhají zajistit, že služby fungují bezpečně a jsou chráněné před běžnými riziky. Mezi základní opatření například patří:

• určení odpovědné osoby za kybernetickou bezpečnost (§ 14 odst. 2 písm. e),
• zavedení politiky pro řízení rizik, která pomáhá odhalovat a minimalizovat možné hrozby (§ 14 odst. 2 písm. e),
• vypracování a dokumentace bezpečnostních postupů (§ 14 odst. 2 písm. a),
• ochrana sítí a systémů (§ 14 odst. 2 písm. k),
• pravidelné zálohování dat,
• povinnost hlásit bezpečnostní incidenty (§ 14 odst. 2 písm. j).

Režim vyšších povinností je naopak určen pro poskytovatele služeb, které jsou z hlediska bezpečnosti velmi důležité nebo kritické. Tyto organizace musí zavést mnohem podrobnější a rozsáhlejší opatření, která pokrývají celý systém řízení bezpečnosti informací. Například musí:

• zavést ucelený systém řízení bezpečnosti informaci (§ 14 odst. 1 písm. a) bod 1),
• pravidelně provádět bezpečnostní audity, které ověřují, zda jsou opatření skutečně účinná (§ 14 odst. 1 písm. a) bod 14),
• řídit dodavatelský řetězec, tedy sledovat a kontrolovat bezpečnost u externích dodavatelů (§ 14 odst. 1 písm. a) bod 7),
• provádět bezpečnostní testy, například penetrační testy, které simulují útoky a pomáhají odhalit slabá místa,
• nasadit monitoring systémů, aby bylo možné rychle detekovat a reagovat na bezpečnostní hrozby (§ 14 odst. 1 písm. a) bod 1).

Rozhodnutí, do kterého režimu, který poskytovatel patří, provádí NÚKIB při registraci regulované služby. To znamená, že neplatí jeden univerzální přístup pro všechny. Rozsah bezpečnostních opatření se přizpůsobuje podle důležitosti a významu konkrétní služby.

Tento systém umožňuje efektivně chránit různé druhy služeb – od méně kritických až po ty, na kterých závisí fungování důležitých částí společnosti nebo bezpečnosti státu.

Zavedení bezpečnostních opatření

Zákon o kybernetické bezpečnosti a navazující vyhlášky neukládají povinnost používat konkrétní technologie. Místo toho stanovují, že bezpečnostní opatření musí být přiměřená rizikům, kterým jsou systémy a služby vystaveny, a musí být pravidelně aktualizovány tak, aby odpovídaly aktuální kybernetické situaci. Prakticky to znamená, že každá organizace musí:

1. Provést analýzu rizik pro své systémy a služby (§ 14, odst. 1, 2). To znamená zjistit, jaká hrozba může ohrozit kybernetickou bezpečnost.
2. Zavést bezpečnostní opatření odpovídající výsledkům této analýzy (§ 14, odst. 2, 3). Opatření by měla efektivně minimalizovat odhalená rizika.
3. Dokumentovat všechna přijatá opatření a pravidelně je aktualizovat, aby stále odpovídala novým hrozbám a změnám v prostředí.

NÚKIB při kontrolách nehodnotí pouze to, zda existují dokumenty a plány, ale také to, jestli bezpečnostní opatření skutečně fungují a využívají se v praxi.

Fyzická bezpečnost

Fyzická bezpečnost je nezbytnou součástí technických opatření a spočívá hlavně v ochraně aktiv zabezpečením prostor společnosti, kde se tato aktiva nachází.

Důležitou součástí fyzické bezpečnosti je definování fyzického bezpečnostního perimetru. Pod tím si můžeme představit například budovu, areál společnosti nebo vrátnici. Pokud je to možné, v definovaném ochranném perimetru by se pak měla nacházet všechna důležitá firemní aktiva, jako je serverovna, počítače, uložiště, mobilní telefony s firemními aplikacemi a podobně. Vnější hranicí perimetru by měla být vnější hranice společnosti.

Vnitřní prostor perimetru můžeme rozdělit do zón s různou úrovní zabezpečení, která se liší podle toho, jak důležitá pro společnosti jsou konkrétní aktiva a kdo všechno by k nim měl mít přístup. Například serverovny, nebo jiné technické místnosti, je vhodné zařadit do takzvané zóny vyšší bezpečnostní úrovně. Přístup do nich musí mít typicky administrátor, spíše než běžný zaměstnanec. Naopak společné prostory, jako jsou například zasedací místnosti, budou patřit spíše do zóny nižší bezpečnostní úrovně.

Účelem takto definovaného perimetru a zón je zabránit neoprávněnému člověku vstoupit tam, kde může potenciálně dojít k ohrožení bezpečnosti společnosti. Například pokud máte v budově společnosti časté návštěvy, zajistěte, aby měly pouze omezený vstup na vybraná místa ve společnosti, nebo aby vždy byly doprovázeny někým ze zaměstnanců.

Bezpečnost komunikačních sítí

Důležitým opatřením pro zajištění bezpečnosti komunikačních sítí je použití firewallů na perimetru sítě nebo mezi sítěmi a segmentace komunikační sítě. Tato opatření spočívají v oddělení jednotlivých logických částí sítě a kontrole datového toku mezi nimi.

Rozdělením sítě na logické segmenty (například administrační, uživatelské, serverové, zálohovací, vývojové nebo testovací) můžeme zlepšit kontrolu datového provozu a urychlit detekci kybernetických hrozeb a incidentů. Toto oddělení může být fyzické (tedy na úrovni kabelů) nebo logické, například prostřednictvím síťové, transportní nebo aplikační vrstvy.

S řízením bezpečnosti sítě pak souvisí i další povinnosti, které uvádí navazující paragrafy zákona, například nutnost šifrované komunikace při připojování ze vzdálené sítě.

Správa a ověřování identit

Mezi technická opatření patří také správa a ověřování identit, pro kterou by měla povinná osoba používat centralizovaný nástroj. Nástroj, který bude povinná osoba využívat, musí splňovat určitá kritéria, která vyjmenovává vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností. Mezi taková kritéria patří například řízení počtu neúspěšných pokusů o přihlášení, nebo omezení doby neaktivity uživatele a jeho případné odhlášení.

Při ověřování identit je nezbytné dodržet požadavky na správu a ověřování identit. Vyhláška definuje tři možné úrovně ověření identity při přihlašování. První úroveň představuje multifaktorová autentizace, druhou úroveň použití kryptografických nástrojů a třetí používání silných hesel. U všech tří úrovní je nutné dodržet stejnou nebo vyšší úroveň bezpečnosti.

Multifaktorová autentizace by měla být minimálně dvoustupňová, se dvěma různými typy faktorů. Pro snadnou implementaci multifaktorové autentizace můžete často využít integrované systémové nástroje, jako je například Windows Hello. Pokud ve společnosti nezavedete první úroveň, tedy právě zmíněnou multifaktorovou autentizaci, měli byste zavést ověřování pomocí kryptografických klíčů.

Pokud nemáte implementované ověřování multifaktorovou autentizací ani ověření kryptografickými klíči, musíte využít třetí možnost, kterou je implementace silných hesel. Pravidla pro jejich tvorbu stanoví přímo vyhláška. Najdete zde například minimální délku a složitost hesel, která se liší pro uživatele nebo administrátory, nutnost použití speciálních znaků, zákaz opakovaného použití některého z posledních hesel a jiné požadavky.

Strategicky významná služba

Nový zákon o kybernetické bezpečnosti, zavádí v § 25 pojem strategicky významná služba. Jedná se o zvláštní kategorii regulovaných služeb, jejichž narušení by mohlo mít závažný dopad na bezpečnost České republiky nebo vnitřní pořádek.

Zařazení služeb mezi strategicky významné

Konkrétní služby jsou do této kategorie zařazovány nařízením vlády. To stanoví, které regulované služby splňují podmínky strategicky významné služby, a dále definuje jejich nezbytný rozsah zajištění dostupnosti (§ 33 zákona, § 2–3 nařízení vlády o strategicky významných službách).

Rozdělení strategicky významných služeb do sektorů

• Veřejná správa – např. výkon svěřených pravomocí ministerstvy, Českým statistickým úřadem nebo Úřadem pro ochranu osobních údajů.
• Energetika – např. výroba elektřiny ve výrobnách s výkonem nad 100 MW, provoz přenosových nebo distribučních soustav, ropovodů, případně energetická datová centra.
• Doprava – např. řízení letového provozu, meteorologické služby pro letectví nebo provoz železniční dopravy.
• Digitální infrastruktura – např. veřejně dostupné služby elektronických komunikací s více než 350 000 aktivními SIM kartami, správa národní domény (TLD), státní cloud computing.

Povinnost zajištění dostupnosti služby

Poskytovatel strategicky významné služby je povinen zajistit její dostupnost z území České republiky, a to v tzv. nezbytném rozsahu, ve stanoveném čase a kvalitě (§ 33).

Časové a kvalitativní parametry si stanoví poskytovatel sám, avšak musí být náležitě zdokumentovány. Nezbytný rozsah vymezený nařízením vlády má za cíl zajistit funkčnost služby i v případě krizových situací, například při výpadku zahraničních zdrojů v důsledku katastrof nebo konfliktu. Smyslem této úpravy je zajištění kontinuity poskytování kriticky důležitých služeb, a to i v omezeném režimu.

Prověřování bezpečnostních rizik v dodavatelském řetězci

Zákon dále stanoví povinnosti v oblasti prověřování bezpečnostně významných dodavatelů (§ 27–32). Tyto povinnosti se vztahují na poskytovatele strategicky významných služeb a mají za cíl minimalizovat rizika ohrožení klíčové infrastruktury. Poskytovatel je povinen:

• zjišťovat a evidovat informace o dodavatelích zajišťujících bezpečnostně významné dodávky do kritických částí služby (§ 31 odst. 1 písm. a) a b)),
• hlásit tyto dodavatele Národnímu úřadu pro kybernetickou a informační bezpečnost (NÚKIB) do 10 dnů od jejich zjištění (§ 31 odst. 1 písm. c)),
• uchovávat evidenci těchto informací (§ 31 odst. 3).

Stav kybernetického nebezpečí

Stav kybernetického nebezpečí je mimořádný režim, který umožňuje státu reagovat na závažné incidenty a hrozby v kybernetickém prostoru, když běžné nástroje nestačí. Je časově omezený, vyhlašuje ho NÚKIB na úřední desce NÚKIB a může být prodloužen nebo následován vyhlášením krizového stavu. Pro každého to znamená nutnost okamžité spolupráce a plnění uložených opatření.

Kdy může být vyhlášen?

Podle § 37 lze stav kybernetického nebezpečí vyhlásit, pokud je značně ohrožena nebo narušena bezpečnost informací v kybernetickém prostoru a tento stav může mít za následek negativní dopady na poskytování regulovaných služeb nebo může dojít k ohrožení bezpečnosti České republiky, vnitřního pořádku, života a zdraví, majetkových hodnot nebo životního prostředí.

Typickým důvodem k vyhlášení může být například rozsáhlý a koordinovaný kybernetický útok na kritickou infrastrukturu, masivní zneužití zranitelností v široce používaném softwaru nebo cílené narušení komunikačních sítí s celostátním dopadem.

Vyhlášení stavu kybernetického nebezpečí

Vyhlášení stavu kybernetického nebezpečí provádí NÚKIB, a to s uvedením důvodů a na dobu nezbytně nutnou, maximálně na 30 dní (§ 38 odst. 1).

Informace o vyhlášení se zveřejňuje na úřední desce NÚKIBu a vhodnými způsoby, například prostřednictvím médií. Vyhlášení nabývá účinnosti okamžikem, který je v něm uveden. NÚKIB neprodleně informuje vládu, a pokud důvody trvají, může stav prodloužit až na celkovou dobu 60 dní od jeho vyhlášení.

Pokud ani po této době situace neumožňuje návrat k běžnému stavu, musí NÚKIB požádat vládu o vyhlášení nouzového stavu, stavu ohrožení státu nebo válečného stavu k řešení značného ohrožení či narušení kybernetické bezpečnosti (§ 38 odst. 2 a 3).

Stav kybernetického nebezpečí končí uplynutím doby, na kterou byl vyhlášen, nebo jeho zrušením před uplynutím této doby ze strany NÚKIB či vlády (§ 38 odst. 4). Informace o zrušení se opět zveřejňuje na úřední desce a dalšími vhodnými způsoby. Pokud mezitím dojde k vyhlášení nouzového stavu nebo jiného krizového stavu, stav kybernetického nebezpečí zůstává v platnosti po celou dobu trvání tohoto krizového stavu (§ 38 odst. 3).

Dopady na poskytovatele regulovaných služeb

V době trvání stavu kybernetického nebezpečí může NÚKIB uložit opatření k řešení značného ohrožení nebo narušení bezpečnosti informací v kybernetickém prostoru (§ 39). Opatření mohou zahrnovat například zvýšení úrovně zabezpečení u vybraných systémů, omezení nebo změnu provozu některých služeb, či urychlené nasazení bezpečnostních záplat a konfigurací. Mohou být vydána formou individuálních rozhodnutí i opatření obecné povahy.

Zavedení stavu kybernetického nebezpečí znamená, že stát má k dispozici právní rámec pro rychlé a koordinované zásahy při vážných kybernetických hrozbách. Pro poskytovatele regulovaných služeb a dotčené organizace to znamená:

1. nutnost mít připravený krizový plán a jasně definované postupy, jak reagovat na vyhlášení stavu (§ 37 ve spojení s § 39 odst. 1),
2. povinnost dodržovat opatření NÚKIB, i když to může znamenat zásadní zásah do provozu (§ 39 odst. 1 a 3),
3. potřebu pravidelně školit personál, aby rozuměl povinnostem a uměl rychle reagovat (§ 14 a § 39),
4. riziko právních a finančních sankcí, pokud uložená opatření nebudou splněna nebo budou provedena opožděně (§ 57 až § 63).

Tento nástroj má kromě krizového také preventivní efekt – vědomí, že stát může rychle vyhlásit stav kybernetického nebezpečí (§ 37) a nařídit závazná opatření (§ 39), posiluje celkovou odolnost kybernetického prostoru.

Přestupky a sankce

Nový zákon o kybernetické bezpečnosti upravuje v hlavě šesté (§ 57 až § 63) přestupky a sankce pro porušení povinností. Tyto sankce mohou při závažném porušení dosáhnout stovek milionů korun (§ 59 a §60) nebo zapříčinit zákaz výkonu funkce pro členy statutárního orgánu (§ 58). Cílem je, aby subjekty přistupovaly k plnění svých povinností s náležitou pečlivostí a vědomím reálných právních důsledků.

Přestupky poskytovatelů regulovaných služeb

Níže je přehled některých klíčových přestupků a možných sankcí podle § 59 až § 61. Uvedené částky platí pro horní hranici zákonem stanovených sankcí. V konkrétních případech může být sazba nižší podle okolností.

1. Neohlášení změny regulované služby (§ 9 odst. 1 a § 59 odst. 4 písm. a)
   • Sankce: až 250 000 000 Kč nebo 2 % celosvětového obratu.
   • Důvod: Změna regulované služby může mít dopad na pravomoci a schopnosti NÚKIB vykonávat dohled.
2. Neoznámení kontaktních či doplňujících údajů (§ 11 a § 59 odst. 4 písm. d)
   • Sankce: až 50 000 000 Kč.
   • Důvod: Kontaktní a doplňující údaje slouží k zajištění komunikace a rychlé reakce v případě incidentu.
3. Nedostatečné řízení aktiv (§ 12 a § 59 odst. 4 písm. a)
   • Sankce: až 250 000 000 Kč nebo 2 % obratu
   • Důvod: Řádná evidence aktiv je základním předpokladem efektivního řízení rizik.
4. Nezavedení povinných bezpečnostních opatření (§ 13 odst. 2, § 18 odst. 1, § 59 odst. 4 písm. a a b)
   • Sankce: až 250 000 000 Kč nebo 2 % obratu.
   • Důvod: Nedodržení těchto povinností přímo ohrožuje dostupnost a bezpečnost regulované služby.
5. Nedostatečná kontrola dodavatelů (§ 13 odst. 5, § 59 odst. 4 písm. a a b)
   • Sankce v případě nižšího režimu povinností: až 175 000 000 Kč nebo 1,4 % celosvětového obratu a v případě vyššího režimu povinností: až 250 000 000 Kč nebo 2 % celosvětového obratu.
   • Důvod: Nedostatečný dohled nad dodavateli představuje významné riziko.
6. Porušení povinností při řešení incidentů (§ 16, § 17, § 18, § 59 odst. 4 písm. b)
   • Sankce: až 175 000 000 Kč nebo 1,4 % celosvětového obratu.
   • Důvod: Opožděné nahlášení nebo neposkytnutí součinnosti zvyšuje dopad incidentu.
7. Ignorování rozhodnutí nebo nápravného opatření (§ 56 odst. 1, § 60 odst. 7 písm. c)
   • Sankce: až 50 000 000 Kč.
   • Důvod: Nerespektování závazného rozhodnutí narušuje vymahatelnost zákona.
8. Nedodržení povinností za stavu kybernetického nebezpečí (§ 39 a § 60 odst. 1 písm. f, § 60 odst. 7 písm. b)
   • Sankce: až 100 000 000 Kč.
   • Důvod: V mimořádné situaci se očekává zvýšená míra odpovědnosti.

Zákaz výkonu funkce

Podle § 58 může NÚKIB uložit zákaz výkonu funkce člena statutárního orgánu, pokud dojde k závažnému nebo opakovanému porušení povinností poskytovatelem regulované služby v režimu vyšších povinností. Zákaz se zapisuje do veřejných rejstříků a může mít závažné důsledky pro profesní dráhu dotčené osoby i důvěryhodnost organizace.

Přestupky dalších osob

Zákon umožňuje sankcionovat i subjekty, které nejsou poskytovateli regulovaných služeb, ale podílejí se na plnění povinností v oblasti kybernetické bezpečnosti, například jako dodavatelé nebo provozovatelé podpůrných služeb. Zákon (§ 60) konkrétně postihuje následující situace u subjektů, které nejsou přímo poskytovatelem regulované služby, ale mohou být do systému regulované služby zapojeny:

1. Za neposkytnutí součinnosti při řešení incidentu může být udělena pokuta až 50 000 000 Kč (§ 17 odst. 3 a § 60 odst. 7 písm. c).
2. Za ignorování rozhodnutí nebo nápravného opatření může být udělena 2. pokuta až 50 000 000 Kč (§ 56 odst. 1 a § 60 odst. 7 písm. c).
3. Za neposkytnutí součinnosti při stavu kybernetického nebezpečí může být udělena pokuta až 100 000 000 Kč (§ 59 odst. 1 písm. i a § 59 odst. 4 písm. a).

Přestupky v oblasti certifikací

Zákon upravuje také sankce za porušení povinností v oblasti certifikací kybernetické bezpečnosti podle nařízení (EU) 2019/881, tzv. Aktu o kybernetické bezpečnosti. Mezi vybrané přestupky v této oblasti patří:

• Zneužití označení nebo certifikátu: Pokud subjekt neoprávněně použije známku, označení evropského systému certifikace, evropský certifikát nebo EU prohlášení o shodě (§ 61 odst. 1 písm. a), hrozí mu pokuta až 50 000 000 Kč (§ 61 odst. 4 písm. a).
• Neoprávněné posuzování shody: Provedení certifikace na úroveň záruky „vysoká“ bez oprávnění podle aktu o kybernetické bezpečnosti (§ 61 odst. 1 písm. c) může být sankcionováno pokutou až 50 000 000 Kč (§ 61 odst. 4 písm. a).
• Neinformování o zranitelnostech: Držitel evropského certifikátu, který neoznámí zjištěné zranitelnosti nebo nesrovnalosti příslušnému subjektu posuzování shody (§ 61 odst. 2), se vystavuje pokutě až 2 000 000 Kč (§ 61 odst. 4 písm. c).