Politika řízení kybernetických rizik podle NIS2 v Česku: co v ní musí být

Co je politika řízení rizik a proč ji nelze opsat ze šablony

Politika řízení kybernetických bezpečnostních rizik je interní dokument, který popisuje, jaká opatření firma zavádí, proč právě tato a kdo za ně odpovídá. Není to prohlášení o dobrých úmyslech, ale řídicí dokument, podle kterého se pracuje a podle kterého lze plnění povinností zpětně doložit.

V Česku vychází obsah těchto opatření ze zákona č. 264/2025 Sb. (Zákon o kybernetické bezpečnosti), který přenáší směrnici (EU) 2022/2555. Zákon nepracuje s pojmem „firma spadá do NIS2" obecně — pracuje s registrovanou regulovanou službou a s režimem poskytovatele. Podle § 8 odst. 1 platí: v režimu vyšších povinností je poskytovatel, který je „značně ekonomicky, společensky nebo bezpečnostně významný pro Českou republiku", v režimu nižších povinností je poskytovatel, který v režimu vyšších povinností není.

Proto se dvě stejně velké firmy mohou legitimně lišit v tom, jak obsáhlý dokument mají. Obsah není libovolný — je vázán na profil poskytovatele.

Obsahové požadavky: seznam opatření podle § 14

Zákon č. 264/2025 Sb. v § 14 vyjmenovává bezpečnostní opatření, a to zvlášť pro každý režim. Politika by měla každou z těchto oblastí adresovat — buď popisem zavedeného řešení, nebo doloženým odůvodněním rozsahu.

Režim vyšších povinností — organizační opatření (§ 14 odst. 1 písm. a)):

• systém řízení bezpečnosti informací
• požadavky na vrcholné vedení
• stanovení bezpečnostních rolí
• řízení bezpečnostní politiky a bezpečnostní dokumentace
• řízení aktiv; řízení rizik; řízení dodavatelů
• bezpečnost lidských zdrojů; řízení změn
• akvizice, vývoj a údržba; řízení přístupu
• zvládání kybernetických bezpečnostních událostí a incidentů
• řízení kontinuity činností; provádění auditu kybernetické bezpečnosti

Technická opatření (§ 14 odst. 1 písm. b)) zahrnují mimo jiné fyzickou bezpečnost, bezpečnost komunikačních sítí, správu a ověřování identit, řízení přístupových práv a oprávnění, detekci, zaznamenávání a vyhodnocování kybernetických bezpečnostních událostí, aplikační bezpečnost, kryptografické algoritmy, zajišťování dostupnosti regulované služby a zabezpečení průmyslových, řídicích a obdobných specifických technických aktiv.

Režim nižších povinností (§ 14 odst. 2) má kratší, ale závazný výčet písmen a) až m): systém zajišťování minimální kybernetické bezpečnosti, požadavky na vrcholné vedení, řízení aktiv, řízení rizik, bezpečnost lidských zdrojů, řízení kontinuity činností, řízení přístupu, řízení identit a jejich oprávnění, detekce a zaznamenávání kybernetických bezpečnostních událostí, řešení kybernetických bezpečnostních incidentů, bezpečnost komunikačních sítí, aplikační bezpečnost a kryptografické algoritmy.

Evropský rámec, ze kterého tyto oblasti vycházejí, je čl. 21 odst. 2 směrnice (EU) 2022/2555 s písmeny a) až j) — od politiky analýzy rizik a politiky bezpečnosti informačních systémů, přes řešení incidentů, řízení kontinuity provozu, bezpečnost dodavatelského řetězce, zabezpečení pořizování, vývoje a údržby, politiky a postupy pro posouzení účinnosti opatření, základní postupy kybernetické hygieny a školení, kryptografii, bezpečnost lidských zdrojů a správu aktiv, až po používání vícefaktorových autentizačních řešení. Kdo si strukturu dokumentu pověsí na tato písmena a doplní odkazy na § 14, má obsah pokrytý logikou zákona, ne šablony.

Přiměřenost a přístup ke všem druhům rizik

Klíčový princip, kvůli kterému se dokumenty dvou firem liší, je přiměřenost. Podle čl. 21 odst. 1 směrnice (EU) 2022/2555 mají opatření zajišťovat úroveň bezpečnosti „odpovídající existující míře rizika", přičemž při posuzování přiměřenosti je třeba zohlednit míru vystavení subjektu rizikům, jeho velikost a pravděpodobnost výskytu incidentů, jejich závažnost a společenský a ekonomický dopad.

Čl. 21 odst. 2 zároveň říká, že opatření jsou založena na přístupu zohledňujícím všechny druhy rizik a chrání sítě a informační systémy i fyzické prostředí těchto systémů. Politika proto nemůže končit u firewallu: patří do ní i výpadky napájení, přístup do serverovny, požár, selhání dodavatele nebo odchod klíčového člověka.

Pro odvětví digitální infrastruktury a služeb zákon obsah upřesňuje výslovně. Podle § 18 odst. 1 poskytovatel služby DNS, cloud computingu, datového centra, on-line tržiště a dalších uvedených služeb „je povinen zavádět vhodná a přiměřená bezpečnostní opatření zahrnující alespoň řízení rizik, řízení bezpečnostní politiky, zvládání incidentů, řízení kontinuity činností, řízení dodavatelů, bezpečnou akvizici, aplikační bezpečnost, bezpečnost lidských zdrojů, kryptografické algoritmy, řízení přístupu a správu identit" (zákon č. 264/2025 Sb., § 18 odst. 1).

Které části závisí na profilu vaší firmy

Než začnete psát, musí být jasné čtyři vstupy — bez nich nelze rozhodnout, které kapitoly jsou povinné:

1. Odvětví. § 4 odst. 1 písm. a) vyjmenovává 15 odvětví: veřejná správa, energetika, výrobní průmysl, potravinářský průmysl, chemický průmysl, vodní hospodářství, odpadové hospodářství, doprava, digitální infrastruktura a služby, finanční trh, zdravotnictví, věda, výzkum a vzdělávání, poštovní a kurýrní služby, obranný průmysl, vesmírný průmysl.

2. Velikost podniku. § 4 odst. 1 písm. b) navazuje na doporučení Komise 2003/361/ES (střední nebo velký podnik). § 7 k tomu stanoví odchylky — například čl. 3 odst. 4 doporučení se neuplatní a za podnik se nepovažují organizační složky státu, územní samosprávné celky a Česká národní banka.

3. Režim a zákonná kategorie. § 18 odst. 4 propojuje režimy s kategoriemi podle unijního rámce: poskytovatel v režimu vyšších povinností se řídí ustanoveními platnými pro osoby zařazené do kategorie základních subjektů, poskytovatel v režimu nižších povinností ustanoveními pro kategorii důležitých subjektů. Tento údaj rozhoduje, zda pracujete se seznamem podle § 14 odst. 1, nebo podle § 14 odst. 2.

4. Služby a závislosti. § 5 písm. b) míří na službu, „jejíž narušení může způsobit závažný zásah do života více než 125 000 osob". Dodavatelská část má vlastní pravidla: podle § 31 odst. 1 písm. c) je poskytovatel strategicky významné služby povinen hlásit Úřadu informace o dodavatelích do 10 dnů ode dne jejich zjištění; § 29 upravuje opatření obecné povahy k omezení rizik spojených s dodavatelem.

Rozsah zavedení má i časovou osu: podle § 13 odst. 4 začne poskytovatel plnit povinnost zavádět a provádět bezpečnostní opatření nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby.

Schválení vedením, školení a doložitelnost dokumentu

Politika není dokumentem IT oddělení. „Požadavky na vrcholné vedení" jsou samostatným organizačním opatřením v obou režimech — v § 14 odst. 1 písm. a) bodě 2 i v § 14 odst. 2 písm. b). Evropský základ je čl. 20 odst. 1 směrnice (EU) 2022/2555: řídící orgány základních a důležitých subjektů opatření k řízení kybernetických bezpečnostních rizik schvalují, dohlížejí nad jejich uplatňováním a mohou nést odpovědnost, poruší-li subjekt čl. 21.

Školení a základní postupy kybernetické hygieny jsou výslovně uvedeny v čl. 21 odst. 2 písm. g) směrnice; v zákoně jim odpovídá oblast bezpečnosti lidských zdrojů (§ 14 odst. 1 písm. a) bod 8, resp. § 14 odst. 2 písm. e)).

Co dělá dokument ověřitelným:

• u každého požadavku je uveden jeho přesný právní odkaz (§ 14 odst. 2 písm. d), nikoli „podle NIS2")
• je zaznamenáno datum a způsob schválení vedením a plán přezkumu
• je zřejmé, kdo je vlastníkem každého opatření (bezpečnostní role podle § 14 odst. 1 písm. a) bodu 3)
• na politiku navazují postupy zvládání incidentů, včetně lhůt podle § 16 — prvotní hlášení nejpozději do 24 hodin po zjištění, oznámení nejpozději do 72 hodin, závěrečná zpráva nejpozději do 30 dnů
• odchylky od plného rozsahu jsou odůvodněny analýzou rizik, ne mlčením

Dohled nad plněním vykonává Úřad, který podle § 42 provádí kontrolu plnění povinností, ukládá nápravná opatření a správní tresty; Národní CERT je podle § 43 kontaktním místem pro poskytovatele v režimu nižších povinností. Konkrétní formáty a rozdělení do režimů stanoví Úřad vyhláškou (§ 8 odst. 2, § 16 odst. 5) — u detailů, které zákon nechává na prováděcí předpisy, prosím ověřte aktuální znění podle zveřejněných pokynů Národního úřadu pro kybernetickou a informační bezpečnost (oficiální zdroj).