Dnes 17:41

Rok od novely zákona o kybernetické bezpečnosti

Firmy často řeší jednotlivé povinnosti odděleně a chybí jim ucelený přehled

Dnes je to právě rok od vyhlášení balíku kyberbezpečnostní regulace (zákon č. 264/2025 Sb., o kybernetické bezpečnosti, zákon č. 266/2026 Sb., o kritické infrastruktuře) ve Sbírce zákonů. Pro většinu firem už skončila fáze registrace a aktuálně běží implementační období, během kterého musí vybudovat plně funkční systém řízení kybernetické bezpečnosti. Připomeňme si specifika českého zákona o kybernetické bezpečnosti a podívejme se, na co by firmy v prvním přechodném roce neměly zapomenout.

Od NIS2 k českému zákonu o kybernetické bezpečnosti

V případě českého zákona o kybernetické bezpečnosti nejde o pouhou transpozici evropské směrnice NIS2. Česká úprava má vlastní konstrukci a kategorizaci povinností a v některých oblastech také specifika, která budou muset odpovědní pracovníci či vedení organizací dobře pochopit. „Tato regulace nestojí na abstraktním požadavku „mít kybernetickou bezpečnost“, ale na velmi konkrétním modelu: identifikovat regulovanou službu, určit rozsah aktiv, nastavit řízení rizik, zavést bezpečnostní opatření, zvládnout incidenty, řídit dodavatele a pravidelně dokládat, že celý systém funguje. Jinými slovy: kybernetická bezpečnost se z technologického tématu definitivně stává jednou z disciplín podnikového řízení, “ říká Jindřich Kalíšek, CEO společnosti regfor.

Regulovaná služba, kritérium významnosti a řízení dodavatelského řetězce

Jedním z nejdůležitějších rysů nové české úpravy je její orientace na regulovanou službu. Regulace se nezabývá jen velikostí organizace anebo tím, zda působí v určitém sektoru. Ptá se také na to, jakou konkrétní službu poskytuje, jak významná tato služba je a jaká aktiva jsou nezbytná pro její poskytování.

Dalším českým specifikem je rozdělení poskytovatelů regulovaných služeb do tzv. režimu vyšších povinností a režimu nižších povinností. Vyšší režim v podstatě znamená zavedení plnohodnotného systému řízení bezpečnosti informací. Pracuje s řízením bezpečnostní politiky a dokumentace, řízením aktiv, rizik, dodavatelů, lidských zdrojů atd. Nižší režim není sice tak komplexní, ale i ten vyžaduje řízení a zvládání rizik, přípravu dokumentace a implementaci relevantních procesů a prokazatelnost zvládání bezpečnostních hrozeb. V obou režimech pak podstatnou roli hraje princip přiměřenosti, tzn. zaváděné bezpečnostní politiky a opatření mají být vždy přiměřené významu a rizikovosti konkrétní služby a schopnostem dané organizace.

Jednou z oblastí, kde bude nová regulace přinášet nejvíce novinek, je řízení dodavatelského řetězce. Zákon výslovně požaduje, aby si poskytovatel regulované služby ve vyšším režimu při využití dodavatele stanovil bezpečnostní požadavky související s dodávaným plněním a dodavatele vybíral s ohledem na tyto požadavky a ty zahrnul je do smluv. „To bude pro mnoho organizací významná kulturní změna. Dodavatelské řízení už nebude pouze otázkou nákupu nejdostupnější technologie nebo ceny služby. Bude muset být propojeno s bezpečnostní architekturou a řízením rizik celé společnosti,“ dodává Jindřich Kalíšek.

Co organizace čeká v přechodném roce aneb co by měly udělat v jednoletém období od registrace?

První fáze by měla zahrnovat gap analýzu vůči příslušné vyhlášce o režimu povinností.
Druhou fází je návrh cílového stavu a vhodných opatření k mitigaci známých rizik. Organizace musí rozhodnout, co bude řešit centrálně, co na úrovni jednotlivých regulovaných služeb, co prostřednictvím již existujících bezpečnostních programů a co jako nový projekt.
Třetí fází je implementace bezpečnostních opatření. Ta se nebude týkat jen dokumentace. Bude zahrnovat řízení aktiv, řízení rizik, bezpečnostní role, školení vedení a uživatelů, řízení přístupů, detekci a logování, incident management, kontinuitu, zálohování, kryptografii, aplikační bezpečnost, bezpečný vývoj, řízení změn a v některých prostředích také specifická opatření pro průmyslové a řídicí systémy.
Čtvrtou fází je příprava na zvládání a reporting incidentů. Zákon zavádí postupné hlášení kybernetických incidentů. První hlášení prostřednictvím portálu NÚKIB má být podáno nejpozději do 24 hodin od zjištění incidentu, navazující oznámení do 72 hodin a závěrečná zpráva do 30 dnů.
Pátou fází je remediace dodavatelských smluv. Ta bude často náročnější než samotná interní dokumentace. Velcí dodavatelé budou mít vlastní standardy, globální smluvní modely a omezenou ochotu přijímat lokální požadavky. Menší dodavatelé naopak nemusí být připraveni na požadavky týkající se auditu, zvládání a reportingu incidentů, subdodavatelskou transparentnost nebo poskytování součinnosti při tvorbě a realizaci exit strategií. Úspěšná implementace proto vyžaduje nejen právní dodatky, ale i realistický dodavatelský risk management.

„Právě propojení všech těchto oblastí bývá pro organizace nejnáročnější. Firmy často řeší jednotlivé povinnosti odděleně – IT zavádí technická opatření, právní oddělení připravuje dokumentaci a nákup upravuje smlouvy s dodavateli. Chybí jim ale jednotný přehled o tom, jak spolu jednotlivé regulatorní požadavky souvisejí a v jakém jsou stavu,“ doplňuje Jindřich Kalíšek.

Odpovědnost vedení už není fráze

Jedním z nejvýraznějších posunů nové úpravy je důraz na vrcholové vedení. Kybernetická bezpečnost již nemůže být interně odložena na IT oddělení s tím, že „ajťáci to už nějak zajistí.“ Zákon i prováděcí vyhlášky počítají s rolí vrcholového vedení při schvalování, dohledu a prosazování bezpečnostních opatření.

Nový zákon o kybernetické bezpečnosti tedy není pouze právním předpisem. Je to rámec pro řízení digitální provozní odolnosti. Organizace, které budou k nové regulaci přistupovat čistě formálně, pravděpodobně vytvoří další vrstvu dokumentace, ale jejich bezpečnostní stav se zásadně nezlepší. Organizace, které ji využijí správně, mohou získat lepší přehled o svých službách, aktivech, dodavatelích, rizicích a schopnosti zvládat incidenty.

Zdroj: regfor

Ilustrační grafika byla vytvořena pomocí AI