NIS2: otázky k posouzení povinností

Deadline: Ohlášení podle § 6 odst. 1 do 60 dnů od splnění podmínek. V obecném režimu začněte plnit povinnost zavádět a provádět opatření podle § 13 odst. 2 a hlásit incidenty podle § 15 odst. 1–2 nejpozději do jednoho roku od doručení rozhodnutí o registraci každé regulované služby (§ 13 odst. 4 a § 15 odst. 4). Kontaktní a doplňující údaje hlaste do 30 dnů od doručení (§ 11 odst. 1); změny údajů mimo referenční údaje základních registrů do 14 dnů od změny (§ 11 odst. 2). U služeb § 18 odst. 1 se § 13 odst. 2 nepoužije, a proto na jejich opatření nelze automaticky přenést roční lhůtu; hlášení posuďte podle § 18 odst. 2–3 a § 15–16. Dříve regulované osoby mají přechodné povinnosti podle § 71, včetně nového způsobu hlášení již od doručení registrace. Při přechodu z nižšího do vyššího režimu běží nové lhůty podle § 9 odst. 2. Nejde o nový termín prvního ohlášení služby ani o obecné oprávnění odkládat již platné povinnosti.

Jak číst české požadavky: Pro každou službu určete stanovený rozsah podle § 12 ZoKB a použitelný režim. Níže uvedené požadavky vyhlášek č. 409/2025 Sb. (vyšší) a 410/2025 Sb. (nižší) se týkají obecného režimu § 13 odst. 2. Pro služby vyjmenované v § 18 odst. 1 platí zvláštní opatření podle nařízení (EU) 2024/2690, nikoli automaticky celý seznam českých vyhlášek; jiné služby stejného poskytovatele tím nejsou vyňaty. V nižším režimu rozlišujte přiměřenost podle § 3 odst. 1 písm. a) vyhlášky 410 a povinné minimum podle písm. b) (odst. 2–6, §§ 4–6 a § 10). Nezavedení opatření odůvodněte v přehledu podle § 3 odst. 2. Ve vyšším režimu lze nepoužití některých opatření odůvodnit pouze provedeným řízením rizik (§ 8 odst. 4 vyhlášky 409); nejde o libovolnou volbu. U 2690 dokumentujte nepoužití podmíněných požadavků podle čl. 2 odst. 2. Tento přehled není úplným seznamem použitelných opatření a jejich příloh.

Část B: NIS2 Compliance

Pracovní seznam kombinuje právní oblasti a implementační možnosti; označení B1–B15 nejsou zákonné paragrafy. U konkrétních technologií a intervalů se vždy použijí podmínky a minima příslušného režimu popsaná níže.

#	Aktivita	Reference	Fáze	Popis
B1	NIS2 Scope Determination	Čl. 2, 3, Annex I/II	Příprava	Spadáme pod NIS2? Jaký režim? (Essential/Important)
B1.1	– Kategorizace služby	Čl. 3, Annex I/II	Příprava	Cloud computing, ICT service, DNS, email, nebo jiné?
B1.2	Posouzení velikosti	Čl. 2–3; doporučení MSP	Příprava	Zaměstnanci, obrat, bilance a relevantní partnerské/propojené podniky
B1.3	České ohlášení služby a registrace	Zákon č. 264/2025 Sb.	Příprava	Ohlásit službu ve skutečné zákonné lhůtě; evidovat doručení rozhodnutí o registraci
B2	GAP Analýza	Čl. 21	Analýza	Posouzení současného stavu vs. NIS2 požadavky
B2.1	– Current state assessment	Čl. 21	Analýza	Audit současných bezpečnostních opatření
B2.2	– Gap identification	Čl. 21(2)	Analýza	Identifikace mezer vs. 10 základních opatření
B2.3	– Remediation roadmap	Čl. 21	Analýza	Plán nápravy s prioritami
B3	Governance & Management	Čl. 20	Governance	Odpovědnost managementu za kybernetickou bezpečnost
B3.1	– Management accountability	Čl. 20(1); § 4 vyhlášky 409/410	Governance	Řídicí orgán schvaluje opatření k řízení rizik, dohlíží na uplatňování a může nést odpovědnost; nejde jen o schválení politiky boardem
B3.2	– Management training	Čl. 20(2)	Governance	Školení managementu v kybernetické bezpečnosti
B3.3	Bezpečnostní výbor	§ 4 odst. 3 vyhlášky 409; § 4 vyhlášky 410	Governance	Ve vyšším obecném režimu povinný výbor (vedení nebo pověřená osoba a manažer KB), jednání alespoň ročně se záznamem; v nižším pověřená osoba
B4	ISMS Setup	Čl. 21; § 14 ZoKB	Implementace	Řízení bezpečnosti podle použitelného režimu; ISMS v obecném vyšším režimu povinné, ISO/IEC 27001 volitelné
B4.1	– Security policy	Čl. 21(2)(a)	Implementace	Politika bezpečnosti informací
B4.2	– Asset Inventory	Čl. 21(2)(i); § 12 ZoKB	Implementace	Určit primární a podpůrná aktiva, vazby a rozsah; evidovat a pravidelně aktualizovat, nejen vybrat kritické HW/SW
B4.3	– Risk Assessment	Čl. 21(2)(a); § 8 vyhlášky 409; příloha 2.1 nařízení 2690	Implementace	Vlastní zdokumentovaná metodika podle použitelného režimu; NIS2 neurčuje jedinou metodiku. Periodicita a alternativy podle pravidel níže
B4.4	– Risk Treatment Plan	§ 8 a příloha 4 vyhlášky 409; příloha 2.1 nařízení 2690	Implementace	Plán, vlastníci, termíny a akceptovatelnost podle režimu; u 409 nad hranicí přijatelnosti zavést opatření, u 2690 vedení nebo oprávněné osoby přijímají výsledky posouzení a zbytková rizika při podávání zpráv vedení
B5	Bezpečnostní opatření — 10 oblastí	Čl. 21(2)(a)–(j)	Implementace	Deset minimálních oblastí, zde rozdělených do více řádků; organizační i technická opatření
B5.1	– Risk management policies	Čl. 21(2)(a)	Implementace	Politiky a postupy pro řízení rizik
B5.2	– Incident handling	Čl. 21(2)(b)	Implementace	Procesy pro řešení incidentů
B5.3	– Business continuity	Čl. 21(2)(c)	Implementace	BCP, DRP, crisis management
B5.4	– Supply chain security	Čl. 21(2)(d)	Implementace	Bezpečnost dodavatelského řetězce
B5.5	– Secure acquisition & development	Čl. 21(2)(e)	Implementace	Zabezpečení pořizování, vývoje a údržby sítí a informačních systémů
B5.6	– Vulnerability handling	Čl. 21(2)(e)	Implementace	Vulnerability management, disclosure
B5.7	– Security effectiveness	Čl. 21(2)(f)	Implementace	Měření efektivity bezpečnostních opatření
B5.8	– Cyber hygiene & training	Čl. 21(2)(g)	Implementace	Základní kybernetická hygiena, školení
B5.9	– Cryptography	Čl. 21(2)(h)	Implementace	Politiky a postupy kryptografie a případně šifrování
B5.10	– HR security	Čl. 21(2)(i)	Implementace	Bezpečnost lidí, kontrola přístupu a správa aktiv
B5.11	– MFA & secure auth	Čl. 21(2)(j)	Implementace	V příslušných případech MFA nebo trvalá autentizace, zabezpečená hlasová, obrazová, textová a nouzová komunikace uvnitř subjektu
B6	Technical Controls Detail	Čl. 21(2)	Implementace	Specifické technické kontroly
B6.1	– Encryption at rest	Čl. 21(2)(h)	Implementace	Příklad implementace k ověření podle rizik a předpisů: AES-256 pro data at rest
B6.2	– Encryption in transit	Čl. 21(2)(h)	Implementace	Příklad implementace k ověření podle rizik a předpisů: TLS 1.3 pro data in transit
B6.3	– Access Control (MFA + RBAC)	§ 19 vyhlášky 409; § 8 vyhlášky 410; příloha 11 nařízení 2690	Implementace	Ověřování identity a oprávnění podle režimu, včetně MFA/kontinuální autentizace a podmínek přechodných alternativ; viz níže
B6.4	– Patch Management	Čl. 21(2)(e)	Implementace	Příklad implementace k ověření podle rizik a předpisů: Patch SLA <30 dní pro kritické
B6.5	– Monitoring & Logging (SIEM)	Čl. 21(2)(b)	Implementace	Příklad implementace k ověření podle rizik a předpisů: monitoring a retence stanovené podle účelu a práva
B6.6	– Backup & Recovery	Čl. 21(2)(c)	Implementace	Příklad implementace k ověření podle rizik a předpisů: 3-2-1 backup, testováno čtvrtletně
B6.7	– Firewall & IDS/IPS	Čl. 21(2)(e)	Implementace	Příklad implementace k ověření podle rizik a předpisů: Perimeter a internal firewall, IDS/IPS
B6.8	– Endpoint protection	Čl. 21(2)(e)	Implementace	Příklad implementace k ověření podle rizik a předpisů: EDR/XDR na všech endpoints
B6.9	– Network segmentation	Čl. 21(2)(e)	Implementace	Příklad implementace k ověření podle rizik a předpisů: Segmentace sítí, microsegmentation
B7	Incident Response	Čl. 21(2)(b), 23	Implementace	Incident Response Plan a procesy
B7.1	– Incident Response Plan	Čl. 21(2)(b)	Implementace	Dokumentovaný IRP
B7.2	– Incident Response Team	Čl. 21(2)(b)	Implementace	Definovaný IRT s rolemi
B7.3	Pohotovost	Čl. 21 odst. 2 písm. b) — příklad	Implementace	Kapacita podle služby a relevantních předpisů; pohotovost 24/7 je varianta implementace
B7.4	– Incident classification	Čl. 23(3)	Implementace	Klasifikace závažnosti incidentů
B7.5	– Evidence preservation	Čl. 21(2)(b)	Implementace	Forensics, chain of custody
B8	Incident Reporting (NÚKIB / Národní CERT)	§§ 15–16 a 18 ZoKB; čl. 23 NIS2	Reporting	V ČR vyšší režim NÚKIB, nižší Národní CERT; rozsah hlášení a zvláštní digitální režim viz níže
B8.1	Včasné varování	§ 16 odst. 1 ZoKB; čl. 23(4)(a) NIS2	Reporting	V ČR prvotní hlášení incidentu podléhajícího hlášení bez zbytečného odkladu do 24 hodin od zjištění; ve vyšším obecném režimu i bez významného dopadu
B8.2	Oznámení incidentu	§ 16 odst. 3 písm. a) ZoKB; čl. 23(4)(b)	Reporting	V případech § 16 odst. 3 bez zbytečného odkladu do 72 hodin od zjištění; služby důvěry do 24 hodin. Průběžná zpráva na výzvu podle písm. b)
B8.3	Závěrečná zpráva	§ 16 odst. 3 písm. c) ZoKB; čl. 23(4)(d)–(e)	Reporting	ČR: do 30 dnů od oznámení; trvá-li incident po lhůtě, průběžná zpráva bez zbytečného odkladu a závěrečná do 30 dnů od vyřešení. NIS2 používá jeden měsíc
B8.4	– NÚKIB contact established	§ 11 a § 16 odst. 4 ZoKB	Reporting	Kontaktní a doplňující údaje do 30 dnů od doručení registrace; relevantní změny do 14 dnů. Hlášení přes portál, při nedostupnosti zákonné náhradní kanály
B9	Business Continuity	Čl. 21(2)(c)	Implementace	BCM/DRP plány
B9.1	– Business Impact Analysis	Čl. 21(2)(c); § 15 vyhlášky 409; příloha 4.1 nařízení 2690	Implementace	Posoudit dopady ve stanoveném rozsahu a určit priority, dobu obnovy a přijatelné ztráty podle příslušného režimu
B9.2	– Business Continuity Plan	Čl. 21(2)(c)	Implementace	BCP dokumentace
B9.3	– Disaster Recovery Plan	Čl. 21(2)(c)	Implementace	DRP s RTO/RPO
B9.4	– RTO/RPO definovány	Čl. 21(2)(c)	Implementace	Příklad implementace k ověření podle rizik a předpisů: RTO <4h, RPO <1h pro critical
B9.5	– DR testing (annual)	Čl. 21(2)(c)	Testování	Příklad implementace k ověření podle rizik a předpisů: Roční testování DR plánů
B10	Supply Chain Security	Čl. 21(2)(d)	Implementace	Bezpečnost dodavatelů a třetích stran
B10.1	– Vendor risk assessment	Čl. 21(2)(d),21(3); § 13 odst. 5 ZoKB	Implementace	Zohlednit každého přímého dodavatele a poskytovatele; intenzitu hodnocení stanovit podle rizik a zvláštního režimu, neomezit právní rozsah na kritické dodavatele
B10.2	– Security questionnaire	Čl. 21(2)(d)	Implementace	Příklad implementace k ověření podle rizik a předpisů: Standardizovaný security questionnaire
B10.3	– Vendor certifikace (ISO/SOC)	Čl. 21(2)(d)	Implementace	Příklad implementace k ověření podle rizik a předpisů: Vyhodnotit ISO 27001 certifikát / SOC 2 zprávu, jsou-li relevantní; nejde o univerzální povinnost dodavatele
B10.4	– Vendor access control	Čl. 21(2)(d)	Implementace	Řízení přístupu vendorů, JIT access
B10.5	– Vendor monitoring	Čl. 21(2)(d)	Implementace	Průběžný monitoring vendorů
B11	Vulnerability Management	Čl. 21(2)(e)	Testování	Správa zranitelností
B11.1	– Vulnerability scanning	Čl. 21(2)(e)	Testování	Příklad implementace k ověření podle rizik a předpisů: Měsíční vulnerability scanning
B11.2	– Penetration testing	Čl. 21(2)(e)	Testování	Příklad implementace k ověření podle rizik a předpisů: Roční penetrační testy
B11.3	– Patch SLA defined	Čl. 21(2)(e)	Implementace	Příklad implementace k ověření podle rizik a předpisů: Critical <7d, High <30d, Medium <90d
B11.4	– Vulnerability disclosure	Čl. 21(2)(e)	Governance	Coordinated vulnerability disclosure policy
B12	Training & Awareness	Čl. 21(2)(g)	Training	Školení zaměstnanců v kybernetické bezpečnosti
B12.1	– Security awareness program	Čl. 21(2)(g)	Training	Pravidelné awareness školení
B12.2	– Phishing simulations	Čl. 21(2)(g)	Training	Příklad implementace k ověření podle rizik a předpisů: Čtvrtletní phishing testy
B12.3	– Role-specific training	Čl. 21(2)(g)	Training	Specializované školení pro IT, developers
B12.4	– Training records	§ 10 odst. 5 vyhlášky 409; § 5 odst. 3 vyhlášky 410	Training	Evidence školení a školených osob podle použitelného režimu
B13	Continuous Monitoring (SOC)	§ 23 vyhlášky 409; § 9 vyhlášky 410; příloha 3.2 nařízení 2690	Monitoring	Detekce, záznam a vyhodnocení podle režimu; 409 vyžaduje nepřetržité vyhodnocování. SOC je varianta zajištění, nikoli sám zákonný požadavek
B13.1	– SOC capability	Čl. 21(2)(b)	Monitoring	Příklad implementace k ověření podle rizik a předpisů: Interní SOC nebo managed SOC
B13.2	– Threat detection	Čl. 21(2)(b)	Monitoring	Detekce hrozeb (SIEM, EDR, NDR)
B13.3	– Security metrics	Čl. 21(2)(f)	Monitoring	KPIs pro bezpečnost
B13.4	– Threat intelligence	Čl. 21(2)(b)	Monitoring	Integrace threat intelligence feeds
B14	Security Audits	Čl. 21(2)(f); § 16 vyhlášky 409; příloha 2.3 nařízení 2690	Audit	Nezávislé posouzení a zákonné intervaly podle konkrétního režimu; povinný audit vyššího režimu včetně podmínek výjimek viz níže
B14.1	– Internal audits	Čl. 21(2)(f)	Audit	Příklad implementace k ověření podle rizik a předpisů: Měsíční interní audity
B14.2	– External audits	Čl. 21(2)(f)	Audit	Příklad implementace k ověření podle rizik a předpisů: Pololetní externí audity
B14.3	– Audit findings tracking	Čl. 21(2)(f)	Audit	Sledování nálezů a nápravy
B15	ISO 27001 Certification	Doporučeno	Certifikace	Formální certifikace (silně doporučeno)
B15.1	– ISO 27001 gap analysis	ISO 27001	Certifikace	GAP analýza vs. ISO 27001
B15.2	– ISO 27001 Stage 1 audit	ISO 27001	Certifikace	Dokumentační audit
B15.3	– ISO 27001 Stage 2 audit	ISO 27001	Certifikace	Implementační audit
B15.4	– Certifikace	ISO 27001	Certifikace	Získání certifikátu

Konkrétní pravidla podle režimu

Vyhláška 409: ISMS a jeho vyhodnocení alespoň ročně (§ 3); povinný výbor s jednáním alespoň ročně a záznamem a stanovené bezpečnostní role (§§ 4–5). Hodnocení rizik alespoň ročně a při významných změnách (§ 8 odst. 1), s možností rovnocenného nebo lepšího procesu podle odst. 3 a přílohy č. 4. Audit podle plánu, při významných změnách v jejich rozsahu a alespoň jednou za dva roky; v odůvodněných případech systematické celky pokrývající celek do pěti let (§ 16 odst. 4–5). Auditor splňuje § 5 odst. 4 a hodnotí nezávisle; nemusí jít nutně o externí firmu.
Identita a přístup: § 19 vyhlášky 409 a § 8 vyhlášky 410 popisují MFA se dvěma různými typy faktorů nebo aktuálně odolnou kontinuální autentizaci založenou na nulové důvěře pro administrátory, uživatele a technická aktiva. Obsahují dočasné alternativy s klíči/certifikáty a poté předepsanými hesly; u 409 také evidenci nevyhovujících mechanismů. Použijte pravidla přiměřenosti uvedená výše. Odebrání či změna přístupů při ukončení nebo změně vztahu je bezodkladné (§ 13 odst. 2 vyhlášky 409, § 7 odst. 1 vyhlášky 410).
Monitoring a testy podle 409: události v rozsahu § 22 se uchovávají nejméně 18 měsíců; § 23 vyžaduje nepřetržité vyhodnocování. Skenování zranitelností je alespoň roční; penetrační testování podle hodnocení aktiv a rizik před provozem, při relevantních významných změnách a nejméně jednou za dva roky, s odůvodněnou možností systematických celků do pěti let a opakovaným ověřením nálezů (§ 24). Plány kontinuity a zálohy pravidelně testujte (§§ 15 a 26).
Vyhláška 410: přehled opatření aktualizujte a vyhodnoťte alespoň ročně a uchovávejte přehledy i aktualizace čtyři roky (§ 3 odst. 2). Retenci událostí určete podle bezpečnostních potřeb (§ 9 odst. 3). § 12 požaduje bezodkladné aplikování schválených bezpečnostních aktualizací a pravidelné skenování; interní SLA nesmí příslušnou povinnost odkládat.
Nařízení 2690: bezpečnostní politiku i výsledky posouzení rizik a plán ošetření přezkoumejte nejméně ročně a při stanovených incidentech či změnách (příloha 1.1.2, 2.1.4). Nezávislý přezkum má plánované i mimořádné spouštěče (2.3); četnost testů vychází z rizik (6.5), kritické zranitelnosti se řeší bez zbytečného odkladu (6.10.2). Pravidla autentizace jsou v 11.3 a 11.6–11.7, retence protokolů v 3.2.5. Nezaměňujte tyto intervaly s režimem 409.

České hlášení (§§ 15–16 ZoKB): V obecném vyšším režimu se NÚKIB hlásí incidenty, které se projevily ve stanoveném rozsahu, mají původ v kybernetickém prostoru a nelze u nich v prvotní 24hodinové lhůtě vyloučit úmyslné zavinění, i bez významného dopadu. V nižším režimu platí stejné podmínky a navíc významný dopad na regulovanou službu; příjemcem je Národní CERT (§ 15 odst. 1–3, § 14 vyhlášky 410). Prvotní hlášení je bez zbytečného odkladu, nejpozději do 24 hodin od zjištění. Další fáze podle § 16 odst. 3 se vážou na významný dopad na službu podle § 15 odst. 2 nebo na kybernetický prostor státu podle § 16 odst. 2: oznámení bez zbytečného odkladu do 72 hodin od zjištění (služby vytvářející důvěru do 24 hodin), průběžná zpráva na výzvu a závěrečná zpráva do 30 dnů od oznámení. Trvá-li incident po této lhůtě, následuje bez zbytečného odkladu průběžná zpráva a závěrečná zpráva do 30 dnů od vyřešení. Hlášení jde přes Portál NÚKIB; při jeho nedostupnosti na určený e-mail nebo do datové schránky NÚKIB či Národního CERT podle režimu (§ 16 odst. 4).

Digitální služby: § 18 odst. 2 nahrazuje vymezení hlášených incidentů u vyjmenovaných služeb s výjimkou služeb vytvářejících důvěru; významnost určuje nařízení 2024/2690 (čl. 3–4 a příslušný sektorový článek). Obecný postup § 15–16 se zachovává, pokud EU předpis nestanoví zvláštní postup. Zohledněte také hlavní provozovnu nebo zástupce v jiném EU/EHP státě (§ 18 odst. 3). Tato výjimka pro služby důvěry neznamená osvobození od hlášení; čl. 1 nařízení 2690 je zahrnuje. Ostatní incidenty evidujte; dobrovolné hlášení umožňuje § 15 odst. 5. Vedle hlášení orgánu posuďte informování uživatelů o incidentu a významné hrozbě podle § 19.

Technická opatření — příklady implementace

Technologie a intervaly níže jsou příklady; skutečný požadavek určete podle národního/EU prováděcího předpisu a hodnocení rizik.

Control	Requirement	Reference
Encryption at rest	AES-256	Čl. 21(2)(h)
Encryption in transit	TLS 1.3	Čl. 21(2)(h)
Access Control	MFA + RBAC	Čl. 21(2)(i,j)
Patch Management	<30 dní	Čl. 21(2)(e)
Monitoring & Logging	monitoring; purpose-based retention	Čl. 21(2)(b)
Incident Response	IRP written, tested	Čl. 21(2)(b)
Backup & Recovery	Weekly, tested quarterly	Čl. 21(2)(c)
Vendor Security	Due diligence	Čl. 21(2)(d)

Pořadí implementace

Určete působnost a skutečný stav ohlášení/registrace.
Zapište datum doručení rozhodnutí a odvozené právní lhůty.
Upřednostněte ošetření rizik, schopnost hlásit incidenty a kontinuitu před relevantní lhůtou.
Ověřte důkazy a napravte mezery. Certifikace ISO 27001 je samostatný volitelný projekt.

Měsíce níže jsou příkladem projektového plánování, nikoli zákonnými termíny.

Implementační fáze

Zdroje

Věcná revize: 6. září 2026. Primární zdroje: NIS2 — Arts. 20–23, NÚKIB — law, NÚKIB — reporting/registration, Implementing Regulation (EU) 2024/2690.

Právní základ českého režimu: 264/2025, 408/2025, 409/2025, 410/2025, 2024/2690.