Týká se vaší firmy NIS2? Rychlý test a co dělat dál

Většina firem, se kterými mluvíme, si myslí, že se jich NIS2 netýká. Část z nich se plete.

Nový zákon o kybernetické bezpečnosti platí od 1. listopadu 2025 a podle odhadů NÚKIB se týká víc než 6 000 organizací v Česku. Nejsou to jen elektrárny a nemocnice. Jsou to i výrobní firmy, dopravci, potravináři, odpadové firmy a jejich dodavatelé.

Tady je rychlý test, který zabere pět minut. Není to právní stanovisko, ale ukáže vám, jestli se tím máte zabývat dál.

Otázka 1: Jste v regulovaném odvětví?

Zákon vyjmenovává odvětví a v nich konkrétní služby. Zjednodušeně:

Přesný seznam je ve vyhlášce k zákonu a je delší než tahle tabulka. Pokud se v ní vidíte aspoň přibližně, pokračujte.

Otázka 2: Jste střední nebo velký podnik?

Ve většině odvětví rozhoduje velikost. Pod zákon spadáte, když splňujete alespoň jedno z toho:

• máte 50 a více zaměstnanců,
• máte roční obrat nebo bilanční sumu nad 10 milionů eur, tedy zhruba 250 milionů korun.

Počítá se to za celou skupinu, ne za jednu s.r.o. Pokud jste součástí holdingu nebo máte mateřskou firmu, velikost se sčítá.

Otázka 3: Poskytujete službu, kde velikost nerozhoduje?

U některých služeb se velikost nezkoumá vůbec. Týká se to hlavně:

• poskytovatelů služeb elektronických komunikací (telekomunikace, internet),
• správců domén a DNS, poskytovatelů služeb vytvářejících důvěru (elektronické podpisy, certifikáty),
• subjektů, které jsou jediným poskytovatelem služby v kraji nebo státě,
• organizací, jejichž výpadek by měl dopad na veřejnou bezpečnost nebo zdraví.

Když jste odpověděli ano na otázku 1 a aspoň na jednu z otázek 2 a 3, s velkou pravděpodobností regulovaní jste. Následuje registrace u NÚKIB a zařazení do jednoho ze dvou režimů.

Co když jsme malí, ale náš zákazník regulovaný je

Tohle je nejčastější situace u menších firem. Zákon ukládá regulovaným organizacím hlídat bezpečnost dodavatelského řetězce. V praxi to znamená, že váš velký zákazník vám pošle dotazník nebo dodatek ke smlouvě.

Bude v něm chtít vědět, jak máte zálohy, jak řídíte přístupy, jestli máte vícefaktorové ověřování a jak hlásíte incidenty. Když neodpovíte, nebo odpovíte špatně, riskujete zakázku, ne pokutu.

Dobrá zpráva: skoro všechno z toho jsou opatření, která má mít každá firma, která stojí na IT. Jen je teď někdo začal vyžadovat písemně.

Dva režimy, různé povinnosti

Regulované organizace spadají buď do režimu vyšších povinností (dřívější základní služby, velké a kritické organizace), nebo do režimu nižších povinností (většina ostatních). Rozdíl je hlavně v rozsahu dokumentace, rolí a auditů.

Společné pro oba režimy:

1. Ohlášení u NÚKIB do 60 dnů od chvíle, kdy podmínky splňujete.
2. Kontaktní údaje do 30 dnů po registraci.
3. Bezpečnostní opatření zavedená do jednoho roku: řízení rizik, přístupů, záloh, školení, odpovědnost vedení.
4. Hlášení závažných incidentů NÚKIBu do 24 hodin od zjištění.

Sankce v režimu vyšších povinností dosahují až 250 mil. Kč nebo 2 % ročního obratu, v nižším režimu až 175 mil. Kč nebo 1,4 %. O konkrétní výši rozhoduje NÚKIB. Zatím jsme neviděli, že by úřad začal pokutou. Začíná výzvou k nápravě. Ignorovat ji je ale drahé.

Co dělat teď, když vám test vyšel

Nezačínejte nákupem. Začněte přehledem.

• Sepište, které systémy a data firmu drží v chodu a kdo k nim má přístup.
• Zjistěte, jak máte zálohy a kdy jste naposledy zkoušeli obnovu.
• Zapněte vícefaktorové ověřování všude, kde jde, hlavně u e-mailu a vzdáleného přístupu.
• Určete, kdo za bezpečnost odpovídá, a napište to. Zákon to po vedení chce.
• Ohlaste se u NÚKIB. Je to formulář, ne projekt.

Teprve potom dává smysl řešit, co chybí a za kolik. Většina firem zjistí, že polovinu opatření už má a jen ji nemá popsanou.

Víte dnes, kdo by u vás hlásil incident, kdyby přišel zítra ráno?