Cross-cutting Compliance Checklist

Položky společné pro všechny regulace (AI Act, NIS2, GDPR, DORA).

Část D: Cross-cutting Compliance

#	Aktivita	Regulace	Fáze	Popis	Status	Owner	Termín	Kritické
D1	Unified Governance	Všechny	Governance	Centrální Compliance & Risk Committee	🟡 40%	CEO + Legal	31.1.2026	🔴 ANO
D1.1	– Compliance ownership	Všechny	Governance	Určení odpovědnosti za compliance	🟡 50%	CEO	31.1.2026	🔴 ANO
D1.2	– Governance meeting cadence	Všechny	Governance	Pravidelné schůzky (měsíčně)	🟡 40%	Compliance Officer	31.1.2026	🟡 Střední
D1.3	– Board reporting	Všechny	Governance	Reporting compliance statusu boardu	🟡 30%	CEO + CISO	Čtvrtletně	🟡 Střední
D1.4	– Budget allocated	Všechny	Governance	Schválený budget pro compliance	🟡 40%	CFO	31.1.2026	🔴 ANO
D2	Integrated Risk Management	Všechny	Risk	Enterprise-wide risk framework	🟡 35%	CISO + Risk Mgmt	31.3.2026	🔴 ANO
D2.1	– ERM framework	Všechny	Risk	Jednotný ERM pokrývající cyber, ICT, data, AI	🟡 30%	Risk Mgmt	31.3.2026	🔴 ANO
D2.2	– Risk register	Všechny	Risk	Centrální registr rizik	🟡 40%	Risk Mgmt	28.2.2026	🔴 ANO
D2.3	– Risk appetite defined	Všechny	Risk	Definovaný risk appetite	🟡 30%	Board + CISO	28.2.2026	🟡 Střední
D2.4	– Risk reporting	Všechny	Risk	Pravidelný risk reporting	🟡 40%	Risk Mgmt	Měsíčně	🟡 Střední
D3	Team & Training	Všechny	Training	Holistický training program	🟡 60%	HR + CISO	Průběžně	🔴 ANO
D3.1	– Compliance team	Všechny	Governance	Compliance tým sestaven	🟡 70%	HR	31.1.2026	🔴 ANO
D3.2	– Training program	Všechny	Training	GDPR + Cyber + AI literacy training	🟡 50%	HR + CISO	Průběžně	🔴 ANO
D3.3	– External consultants	Všechny	Governance	Engagement externích expertů	🟡 60%	Procurement	Dle potřeby	🟡 Střední
D4	Third-Party Vendors	Všechny	Vendors	Konsolidovaný vendor management	🟡 30%	Procurement + CISO	31.3.2026	🔴 ANO
D4.1	– Vendor inventory	Všechny	Vendors	Centrální seznam všech vendorů	🟡 50%	Procurement	28.2.2026	🔴 ANO
D4.2	– Vendor risk assessment	Všechny	Vendors	Unified vendor assessment framework	🟡 30%	CISO + Procurement	31.3.2026	🔴 ANO
D4.3	– Contract review	Všechny	Vendors	Review smluv (DPA, security, SLA)	🟡 20%	Legal + Procurement	31.3.2026	🔴 ANO
D4.4	– Vendor monitoring	Všechny	Vendors	Průběžný monitoring vendorů	❌ 0%	CISO	30.6.2026	🟡 Střední
D5	Unified Incident Management	Všechny	Incident	Integrovaný incident response	🟡 25%	CISO	28.2.2026	🔴 ANO
D5.1	– Unified IRP	Všechny	Incident	Jeden IRP pro všechny typy incidentů	🟡 30%	CISO	28.2.2026	🔴 ANO
D5.2	– Incident classification	Všechny	Incident	Klasifikace: cyber / data breach / AI incident	🟡 20%	CISO	28.2.2026	🔴 ANO
D5.3	– Notification routing	Všechny	Incident	Automatický routing dle typu (NÚKIB / ÚOOÚ / ESAs)	❌ 0%	CISO + Legal	31.3.2026	🔴 ANO
D5.4	– Post-incident review	Všechny	Incident	Lessons learned proces	🟡 30%	CISO	Průběžně	🟡 Střední
D6	Documentation Platform	Všechny	Dokumentace	GRC platforma pro centralizaci	🟡 20%	CISO + IT	30.6.2026	🟡 Vysoká
D6.1	– Policy documents	Všechny	Dokumentace	Centralizované politiky	🟡 40%	Compliance	31.3.2026	🟡 Střední
D6.2	– Procedure documents	Všechny	Dokumentace	Centralizované procedury	🟡 30%	Compliance	31.3.2026	🟡 Střední
D6.3	– Evidence collection	Všechny	Dokumentace	Automatizovaný sběr evidence	❌ 0%	IT + Compliance	30.6.2026	🟡 Střední
D6.4	– Version control	Všechny	Dokumentace	Verzování dokumentů	🟡 20%	Compliance	31.3.2026	🟡 Střední
D7	Audit & Monitoring	Všechny	Audit	Koordinovaný audit program	🟡 20%	CISO + Compliance	31.3.2026	🟡 Vysoká
D7.1	– Internal audit program	Všechny	Audit	Plán interních auditů	🟡 30%	Internal Audit	31.3.2026	🟡 Střední
D7.2	– Compliance dashboard	Všechny	Monitoring	Real-time compliance dashboard	❌ 0%	IT + Compliance	30.6.2026	🟡 Střední
D7.3	– KPI tracking	Všechny	Monitoring	Compliance KPIs definovány a sledovány	🟡 20%	Compliance	31.3.2026	🟡 Střední
D7.4	– Continuous improvement	Všechny	Monitoring	Proces kontinuálního zlepšování	🟡 30%	Compliance	Průběžně	🟡 Střední

Synergie mezi regulacemi

Překryv v klíčových oblastech

Oblast	GDPR + NIS2	DORA + NIS2	AI Act + GDPR	Synergický přístup
Risk Management	Obě vyžadují risk assessment	Podobný ICT risk framework	AI risk vs data risk	D2: Jednotný ERM framework
Incident Management	72h (GDPR) vs 24/72h (NIS2)	Harmonizované (DORA detailnější)	Post-market monitoring	D5: Integrovaný incident systém
Governance	Management odpovědnost	Board oversight	Provider/deployer role	D1: Centrální Compliance Committee
Third-Parties	Čl.28 smlouvy vs supply chain	Registry ICT providers + ESAs dohled	Data quality pro AI training	D4: Konsolidovaný vendor management
Training	Obě vyžadují školení zaměstnanců	Obě vyžadují cyber hygiene	AI literacy + GDPR awareness	D3: Holistický training program

Incident Reporting Matrix

Typ incidentu	GDPR	NIS2	DORA	AI Act
Data breach (PII)	72h → ÚOOÚ	24h/72h → NÚKIB	Dle klasifikace → ČNB	N/A
Cyber incident	N/A (pokud bez PII)	24h/72h → NÚKIB	24h/72h → ČNB	N/A
ICT incident (fin. sektor)	Pokud zahrnuje PII	N/A (DORA lex specialis)	Dle klasifikace → ČNB/ESAs	N/A
AI incident (serious)	Pokud zahrnuje PII	Pokud ovlivní bezpečnost	N/A	→ Market surveillance authority

Implementační fáze (Cross-cutting)

FÁZE 1: GOVERNANCE (Měsíc 1-2)
├─ D1: Unified Governance
├─ D2: Integrated Risk Management
└─ D3: Team & Training (setup)

FÁZE 2: VENDORS & INCIDENT (Měsíc 2-4)
├─ D4: Third-Party Vendors
└─ D5: Unified Incident Management

FÁZE 3: DOKUMENTACE & AUDIT (Měsíc 3-6)
├─ D6: Documentation Platform
└─ D7: Audit & Monitoring

Summary

Cross-cutting Status:
├─ Governance:          🟡 40%
├─ Risk Management:     🟡 35%
├─ Training:            🟡 60%
├─ Vendors:             🟡 30%
├─ Incident Mgmt:       🟡 25%
├─ Documentation:       🟡 20%
├─ Audit:               🟡 20%
└─ Overall:             🟡 33%

Legenda

Symbol	Význam
✅ 100%	Hotovo
🟡 XX%	Rozpracováno
❌ 0%	Nezahájeno
⏳	Plánováno
🔴 ANO	Kritické
🟡 Vysoká/Střední	Priorita