Požadavky na ISMS

Přehled požadavků na Information Security Management System dle NIS2.

Jak číst české požadavky: Pro každou službu určete stanovený rozsah podle § 12 ZoKB a použitelný režim. Níže uvedené požadavky vyhlášek č. 409/2025 Sb. (vyšší) a 410/2025 Sb. (nižší) se týkají obecného režimu § 13 odst. 2. Pro služby vyjmenované v § 18 odst. 1 platí zvláštní opatření podle nařízení (EU) 2024/2690, nikoli automaticky celý seznam českých vyhlášek; jiné služby stejného poskytovatele tím nejsou vyňaty. V nižším režimu rozlišujte přiměřenost podle § 3 odst. 1 písm. a) vyhlášky 410 a povinné minimum podle písm. b) (odst. 2–6, §§ 4–6 a § 10). Nezavedení opatření odůvodněte v přehledu podle § 3 odst. 2. Ve vyšším režimu lze nepoužití některých opatření odůvodnit pouze provedeným řízením rizik (§ 8 odst. 4 vyhlášky 409); nejde o libovolnou volbu. U 2690 dokumentujte nepoužití podmíněných požadavků podle čl. 2 odst. 2. Tento přehled není úplným seznamem použitelných opatření a jejich příloh.

Co je ISMS?

ISMS (Information Security Management System) je systematický přístup k řízení informační bezpečnosti organizace. NIS2 vyžaduje přiměřená opatření k řízení rizik u subjektů v působnosti. V obecném českém vyšším režimu je ISMS povinným opatřením (§ 14 odst. 1 ZoKB, § 3 vyhlášky 409); nižší režim vyžaduje systém zajišťování minimální kybernetické bezpečnosti (§ 14 odst. 2 ZoKB, § 3 vyhlášky 410). Certifikace ISO/IEC 27001 tím není obecně předepsána.

Konkrétní pravidla podle režimu

Vyhláška 409: ISMS a jeho vyhodnocení alespoň ročně (§ 3); povinný výbor s jednáním alespoň ročně a záznamem a stanovené bezpečnostní role (§§ 4–5). Hodnocení rizik alespoň ročně a při významných změnách (§ 8 odst. 1), s možností rovnocenného nebo lepšího procesu podle odst. 3 a přílohy č. 4. Audit podle plánu, při významných změnách v jejich rozsahu a alespoň jednou za dva roky; v odůvodněných případech systematické celky pokrývající celek do pěti let (§ 16 odst. 4–5). Auditor splňuje § 5 odst. 4 a hodnotí nezávisle; nemusí jít nutně o externí firmu.
Identita a přístup: § 19 vyhlášky 409 a § 8 vyhlášky 410 popisují MFA se dvěma různými typy faktorů nebo aktuálně odolnou kontinuální autentizaci založenou na nulové důvěře pro administrátory, uživatele a technická aktiva. Obsahují dočasné alternativy s klíči/certifikáty a poté předepsanými hesly; u 409 také evidenci nevyhovujících mechanismů. Použijte pravidla přiměřenosti uvedená výše. Odebrání či změna přístupů při ukončení nebo změně vztahu je bezodkladné (§ 13 odst. 2 vyhlášky 409, § 7 odst. 1 vyhlášky 410).
Monitoring a testy podle 409: události v rozsahu § 22 se uchovávají nejméně 18 měsíců; § 23 vyžaduje nepřetržité vyhodnocování. Skenování zranitelností je alespoň roční; penetrační testování podle hodnocení aktiv a rizik před provozem, při relevantních významných změnách a nejméně jednou za dva roky, s odůvodněnou možností systematických celků do pěti let a opakovaným ověřením nálezů (§ 24). Plány kontinuity a zálohy pravidelně testujte (§§ 15 a 26).
Vyhláška 410: přehled opatření aktualizujte a vyhodnoťte alespoň ročně a uchovávejte přehledy i aktualizace čtyři roky (§ 3 odst. 2). Retenci událostí určete podle bezpečnostních potřeb (§ 9 odst. 3). § 12 požaduje bezodkladné aplikování schválených bezpečnostních aktualizací a pravidelné skenování; interní SLA nesmí příslušnou povinnost odkládat.
Nařízení 2690: bezpečnostní politiku i výsledky posouzení rizik a plán ošetření přezkoumejte nejméně ročně a při stanovených incidentech či změnách (příloha 1.1.2, 2.1.4). Nezávislý přezkum má plánované i mimořádné spouštěče (2.3); četnost testů vychází z rizik (6.5), kritické zranitelnosti se řeší bez zbytečného odkladu (6.10.2). Pravidla autentizace jsou v 11.3 a 11.6–11.7, retence protokolů v 3.2.5. Nezaměňujte tyto intervaly s režimem 409.

Struktura ISMS

NIS2 Specifické požadavky (Článek 21)

Povinná bezpečnostní opatření

Tabulka rozepisuje deset oblastí čl. 21 odst. 2 písm. a)–j) do více řádků. Priority jsou ilustrativní interní pořadí, nikoli právní odstupňování povinností.

#	Opatření	Popis	Priorita
1	Risk analysis & policies	Politiky pro analýzu rizik a bezpečnost IS	Critical
2	Incident handling	Prevence, detekce a reakce na incidenty	Critical
3	Business continuity	BCM, backup, disaster recovery, crisis mgmt	Critical
4	Supply chain security	Bezpečnost dodavatelského řetězce	High
5	Secure acquisition, development & maintenance	Bezpečnost při pořizování, vývoji a údržbě sítí a informačních systémů	High
6	Vulnerability handling	Zranitelnosti a jejich zveřejňování	High
7	Cybersecurity assessment	Hodnocení účinnosti opatření	High
8	Cybersecurity hygiene	Základní postupy a školení	High
9	Cryptography	Politiky a postupy používání kryptografie a případně šifrování	High
10	HR security	Bezpečnost lidských zdrojů	Medium
11	Access control	Řízení přístupu	Critical
12	Asset management	Správa aktiv	Medium
13	MFA/Continuous auth & secure communications	V příslušných případech MFA nebo trvalá autentizace, zabezpečená hlasová, obrazová, textová a nouzová komunikace uvnitř subjektu	Critical

Technical Controls

Varianty implementace — podle rizik a použitelných pravidel

Control	Požadavek	Standard	Status
Encryption at rest	AES-256 pro data	FIPS 140-2/3	Příklad, nikoli pevný předpis čl. 21
Encryption in transit	TLS 1.3 pro všechna API	RFC 8446	Příklad, nikoli pevný předpis čl. 21
Access Control	RBAC + MFA	NIST 800-63	Příklad, nikoli pevný předpis čl. 21
Logging & Monitoring	Centrální monitoring; retence dle účelu a použitelného práva		Příklad, nikoli pevný předpis čl. 21
Backup	Regular, encrypted, tested	3-2-1 rule	Příklad, nikoli pevný předpis čl. 21
Patch Management	Critical <7d, High <30d		Příklad, nikoli pevný předpis čl. 21
Firewall	Network perimeter + internal		Příklad, nikoli pevný předpis čl. 21
Endpoint Protection	Antimalware, EDR		Příklad, nikoli pevný předpis čl. 21
IDS/IPS	Network intrusion detection		Recommended
DLP	Data Loss Prevention		Recommended

Example cryptography policy

Organizational Controls

HR Security

Následující hodnoty jsou návrhy interních cílů. Stanovte a schvalte je pro danou službu, rizika a použitelné prováděcí předpisy; čl. 21 nepředepisuje tyto přesné intervaly ani doby obnovy.

Fáze	Kontrola	Popis
Pre-employment	Background check	Dle pozice a přístupu
Onboarding	NDA	Non-disclosure agreement
	Security training	Základní bezpečnostní školení
	Policy acknowledgment	Potvrzení přečtení politik
	Access provisioning	Least privilege
During employment	Regular training	Min. ročně
	Phishing simulation	Min. čtvrtletně
	Access reviews	Min. čtvrtletně
Offboarding	Access revocation	Bezodkladně při ukončení nebo změně vztahu; podle použitelného režimu
	Asset return	Zařízení, klíče, badges
	Exit interview	Security debrief

Training Requirements

Role	Školení	Frekvence
Všichni zaměstnanci	Security awareness	Ročně
Všichni zaměstnanci	Phishing awareness	Čtvrtletně
IT staff	Technical security	Pololetně
Developers	Secure coding	Pololetně
Management	Security governance	Ročně
CISO/Security team	Advanced certifications	Průběžně

Risk Management

Risk Assessment Process

Proces a matice níže jsou ilustrativní metodou, ne „metodikou NIS2“. V režimu 409 respektujte § 8 a přílohu č. 4 včetně podmínek odlišné metody; pojištění nebo outsourcing nepřenášejí zákonnou odpovědnost. Hodnocení aktiv, hrozeb a zranitelností nelze prostým násobením obejít.

Risk Matrix

Přijetí rizika musí odpovídat kritériím akceptovatelnosti. Podle přílohy č. 4 odst. 6 vyhlášky 409 se nad jejich hranicí uplatní bezpečnostní opatření; pouhý zápis rozhodnutí nestačí. U nařízení 2690 přijímá výsledky posouzení a zbytková rizika vedení nebo příslušné oprávněné osoby při odpovídajícím podávání zpráv vedení (příloha 2.1.1–2).

Likelihood / Impact	Low	Medium	High	Critical
High	Medium	High	Critical	Critical
Medium	Low	Medium	High	Critical
Low	Low	Low	Medium	High
Very Low	Low	Low	Low	Medium

Business Continuity

BCM Components

Component	Popis	Požadavek
BIA	Business Impact Analysis	Identifikace kritických procesů
BCP	Business Continuity Plan	Plán kontinuity
DRP	Disaster Recovery Plan	Technické zotavení
IRP	Incident Response Plan	Reakce na incidenty
CMP	Crisis Management Plan	Krizový management

Recovery Objectives

Systém	RTO	RPO
Critical production	<4h	<1h
Web services	<2h	<1h
Email	<8h	<4h
Internal apps	<24h	<8h
Development	<48h	<24h

Testing Schedule

Test	Frekvence	Scope
Backup restoration	Měsíčně	Sample restore
Failover test	Čtvrtletně	DR site activation
Tabletop exercise	Pololetně	Scenario walkthrough
Full DR drill	Ročně	Complete failover

Vendor Security

Due Diligence Checklist

Volte podklady podle rizik a příslušných smluvních požadavků (§ 13 odst. 5 ZoKB, § 9 vyhlášky 409, § 3 odst. 5 vyhlášky 410 nebo příloha 5 nařízení 2690). ISO certifikát, zpráva SOC 2, NDA či pojištění nejsou samy o sobě univerzálními požadavky NIS2 ani důkazem splnění všech povinností dodavatele.

Security questionnaire
Relevantní certifikát ISO/IEC 27001 nebo zpráva SOC 2
Penetration test results
Smlouva nebo jiný právní akt podle čl. 28 odst. 3 a 9 GDPR, pokud dodavatel zpracovává osobní údaje za vás; samostatná DPA není jedinou formou
NDA
Insurance certificate
Sub-processor list

Ongoing Monitoring

Aktivita	Frekvence
Security review	Ročně
Access audit	Čtvrtletně
Incident review	Při incidentu
Contract review	Při renewal

ISO 27001 Alignment

ISO/IEC 27001:2022 stanoví požadavky na ISMS; vydavatel uvádí také změnu Amd 1:2024. Může pomoci uspořádat řízení rizik, odpovědnosti a důkazy. Konkrétní mapování kontrol sestavte proti použitelné legislativě a aktuálnímu znění normy; nejde o právní ekvivalenci ani úplné pokrytí NIS2. Certifikace je samostatná volba a nenahrazuje české povinnosti ani hlášení incidentů.

Implementation Roadmap

Měsíce jsou ilustrativní projektový plán. Určete skutečné lhůty podle registrace, zvláštního režimu a přechodu; tento plán již platné povinnosti neodkládá.

Další kroky

✅ ISMS požadavky pochopeny
→ Otázky k posouzení povinností
→ Implementace podle roadmap
→ ISO 27001 certifikace (doporučeno)

Věcná revize: 6. září 2026. Primární zdroje: NIS2 — Arts. 20–21, NÚKIB — national implementation, Implementing Regulation (EU) 2024/2690.

Právní základ českého režimu: 264/2025, 408/2025, 409/2025, 410/2025, 2024/2690.