NIS2 a nový zákon o kybernetické bezpečnosti: koho se týká a co musí umět vaši lidé

Co je NIS2 a co z ní v Česku platí

NIS2 je evropská směrnice o kybernetické bezpečnosti. Sama o sobě nezavazuje žádnou firmu ani úřad – zavazuje stát, aby si její požadavky přepsal do vlastního zákona. Ten český se jmenuje zákon č. 264/2025 Sb., o kybernetické bezpečnosti a je účinný od 1. listopadu 2025.

Když tedy někdo mluví o „povinnostech podle NIS2“, myslí povinnosti podle českého zákona a jeho prováděcích vyhlášek. Ty si rozdělují práci takhle:

1. Vyhláška č. 408/2025 Sb., o regulovaných službách – říká, koho se zákon týká. Obsahuje 22 odvětví a v nich 102 služeb.
2. Vyhláška č. 410/2025 Sb. – co má dělat organizace v režimu nižších povinností.
3. Vyhláška č. 409/2025 Sb. – totéž pro režim vyšších povinností. Stejná logika, větší rozsah.

Víc o historii evropské legislativy vědět nepotřebujete. Podstatné je, jestli jste na seznamu, v jakém režimu a co po vás zákon chce.

Koho se zákon týká

Aby na vás regulace dopadla, musí platit dvě věci současně:

1. Poskytujete některou ze služeb uvedených v příloze vyhlášky o regulovaných službách. Těch 22 odvětví jde od energetiky, vodního hospodářství a dopravy přes zdravotnictví, potravinářský a výrobní průmysl až po digitální služby a veřejnou správu.
2. Splňujete podmínku významnosti. Nejčastěji je to velikost podniku – vyhláška ji posuzuje podle evropské definice, takže míří na střední a velké organizace. U některých služeb je podmínka jiná, například instalovaný výkon elektrárny.

Nikdo vám dopis neposlal a posílat nebude. Zákon je postavený na samoidentifikaci: posoudit si to musí každá organizace sama. Úřad má vedle toho pravomoc určit poskytovatele regulované služby i z moci úřední, když na to sám narazí.

Jedna výjimka z pravidla o velikosti stojí za pozornost, protože se týká úřadů: u orgánů veřejné správy uvedených ve vyhlášce se regulace uplatní bez ohledu na velikost. Obce s rozšířenou působností a městské části Prahy 1 až 22 jsou tam nově vyjmenované, kraje a hlavní město Praha jsou rovnou v režimu vyšších povinností.

Ohlášení: lhůta uplynula, povinnost trvá

Kdo splňoval podmínky k 1. listopadu 2025, měl na ohlášení 60 dnů – tedy do 31. prosince 2025. Kdo je splní později, počítá si stejnou lhůtu od okamžiku, kdy je splnil. Po ohlášení vydá NÚKIB rozhodnutí o zápisu regulované služby a teprve jeho doručením začínají běžet lhůty na plnění zbytku povinností.

Do 8. února 2026 se ohlásilo 4 825 organizací. NÚKIB přitom počítal zhruba se šesti tisíci, takže víc než tisícovka organizací se v té chvíli neohlásila – ať už proto, že o povinnosti nevědí, nebo proto, že si myslí, že se jich netýká.

Jaké povinnosti z toho plynou

Vyhlášky jsou rozsáhlé, ale při čtení se dají povinnosti rozdělit do tří hromádek.

Technické. Jak máte nastavené systémy, přístupy, sítě, zálohy, ověřování identity. Tohle je část, kterou obvykle řeší IT a která se nakupuje jako produkt.

Organizační a řídicí. Řízení rizik a aktiv, pravidla pro dodavatele, zvládání a hlášení incidentů, kontinuita provozu a k tomu dokumentace. Odpovědnost tady zákon posouvá na vrcholné vedení, ne na správce sítě.

Ty, které se týkají lidí. Bezpečnostní povědomí, školení, jejich obsah, opakování a doklady o nich. Tuhle třetí hromádku popisují vyhlášky překvapivě konkrétně – a nedá se odbýt nákupem. Objednat jde školení, ne povědomí; to musí vzniknout v hlavách lidí, kterých se týká.

Školení lidí: co po organizaci zákon chce

V režimu nižších povinností (vyhláška č. 410/2025 Sb.) to vypadá takhle:

1. Vrcholné vedení absolvuje prokazatelně školení. Píše se to v § 4 písm. b) a slovo „prokazatelně“ tam není náhodou. Statutární orgán se školí osobně, nemůže místo sebe poslat podřízeného.
2. Vstupní a pravidelná školení zaměstnanců. § 5 odst. 2 mluví o poučení vrcholného vedení formou vstupních a pravidelných školení, o vstupním školení, o pravidelných školeních a zvlášť o odborných školeních administrátorů. Nestačí tedy jedno kolečko při nástupu.
3. Záznamy. Podle § 5 odst. 3 vede povinná osoba přehledy o provedených školeních a seznamy školených osob. Bez papíru je proškolení při kontrole těžko doložitelné.

V režimu vyšších povinností (vyhláška č. 409/2025 Sb.) je logika stejná, jen se přidává plánování a měření. § 10 žádá plán rozvoje bezpečnostního povědomí včetně formy, obsahu a rozsahu. Odstavec 3 písm. d) k tomu přidává pravidelná školení a ověřování bezpečnostního povědomí podle pracovní náplně jednotlivých rolí, odstavec 4 písm. c) pravidelné hodnocení účinnosti celého plánu a odstavec 5 opět přehledy o poučení a školení.

Rozdíl mezi režimy se dá shrnout jednou větou: v nižším musíte školit a doložit to, ve vyšším musíte navíc ukázat, že to k něčemu bylo.

Jak tahle část zapadá do našeho školení a co po něm zůstane do vaší evidence, popisuje stránka o školení zaměstnanců podle NIS2.

Sociální inženýrství je v seznamu témat uvedeno jmenovitě

Obě vyhlášky mají přílohu s tématy, ze kterých se má bezpečnostní povědomí skládat. V příloze č. 3 vyhlášky pro nižší režim i v příloze č. 6 vyhlášky pro vyšší režim je pod bodem k) stejná položka: techniky sociálního inženýrství.

Tedy manipulace. Hovor, e-mail nebo zpráva, které vypadají legitimně a jejichž jediným cílem je dostat z člověka peníze nebo přihlašovací údaje. Žádné nastavování hesel, žádný firewall – práce s lidmi, kterou útočník dělá dobře a s přípravou.

Proč to zákonodárce vypíchl, je vidět na případech, které skončily v novinách. Ředitelce základní školy v Blansku volal falešný policista, pak falešný bankéř, pak falešný pracovník ČNB. Ze školních účtů zmizelo bezmála 10 milionů korun a technika u toho fungovala celou dobu bezchybně. Ten případ jsem rozebral podrobně i s tím, co by ho zastavilo.

Škoda tam nevznikla proto, že by někdo obešel zabezpečení. Vznikla proto, že nikdo té ředitelce nikdy neřekl, jak takový hovor vypadá a co se s ním dělá. Přesně to je obsah našeho školení kybernetické bezpečnosti – na nahrávkách skutečných útoků a na případech, které jsme řešili.

Co můžete udělat teď hned

Pořadí, ve kterém to dává smysl řešit, když s tím začínáte:

1. Projděte kalkulačku NÚKIB. Deset minut a víte, jestli jste poskytovatelem regulované služby a v jakém režimu. Výsledek si uložte, i když vyjde záporně – je to doklad, že jste se posouzením zabývali.
2. Zjistěte, jestli je vaše organizace ohlášená. Ne „myslím, že to řešilo IT“. Ohlášení se dělá přes portál NÚKIB a existuje o něm rozhodnutí o zápisu. Od jeho doručení běží ostatní lhůty.
3. Stáhněte si tu správnou vyhlášku. 410/2025 Sb. pro nižší režim, 409/2025 Sb. pro vyšší. Ta druhá po vás chce víc, takže čtení té špatné by pro vás byla ztráta času.
4. Ujasněte si, kdo je u vás vrcholné vedení. Zákon míří na statutární orgán a ten se školí osobně. Tohle je nejčastější místo, kde se povinnost tiše přeskočí, protože „vedení na to nemá čas“.
5. Zjistěte, co máte v evidenci. Kdo byl kdy proškolený, na co a čím to doložíte. Když vám odpověď zabere víc než pár minut hledání, máte odpověď.
6. Ve vyšším režimu si vyžádejte plán rozvoje bezpečnostního povědomí. Musí obsahovat formu, obsah a rozsah – a někdo ho musí pravidelně vyhodnocovat.

Technická opatření obvykle nakupujete a dodavatel je za vás dodělá. Školení lidí je jediná povinnost, kterou nikdo neudělá „za vás“ – musí u toho být vaši lidé a musí u toho být vaše vedení.

Časté otázky