Kde začít s dokumentací NIS2 v Česku: nejdřív celek, pak první dokument

Dokumentace není jeden papír, ale ucelený soubor

Většina firem začíná otázkou „jaký dokument máme napsat první?“. Praktičtější je otočit pořadí: nejdřív si zobrazit celý soubor dokumentace, který český zákon o kybernetické bezpečnosti (zákon č. 264/2025 Sb.) předpokládá, a teprve pak vybrat, čím se do něj vstupuje.

Zákon pracuje s pojmem regulovaná služba. Poskytovatel, jehož služba je registrována, je povinen zavádět a provádět bezpečnostní opatření; jejich seznam obsahuje § 14, který je dělí na organizační a technická opatření a liší se podle režimu poskytovatele (§ 8 rozlišuje režim vyšších povinností a režim nižších povinností). Směrnice (EU) 2022/2555 k tomu v art 21(2) uvádí minimální okruh opatření pod písmeny a) až j).

Z pohledu dokumentace se tento rozsah dá číst jako pět provázaných oblastí: řízení rizik, zvládání incidentů, kontinuita činností, bezpečnost dodavatelského řetězce a odpovědnost vedení se školením.

Pět oblastí dokumentace a jejich opora v předpisech

1) Politika řízení kybernetických bezpečnostních rizik. Směrnice (EU) 2022/2555 uvádí v art 21(2) písm. a) politiku analýzy rizik a politiku bezpečnosti informačních systémů jako první z minimálních opatření. Zákon č. 264/2025 Sb. v § 14 odst. 1 písm. a) řadí mezi organizační opatření systém řízení bezpečnosti informací, řízení bezpečnostní politiky a bezpečnostní dokumentace, řízení aktiv a řízení rizik. Pro režim nižších povinností § 14 odst. 2 uvádí systém zajišťování minimální kybernetické bezpečnosti, řízení aktiv a řízení rizik.

2) Zvládání incidentů. Art 21(2) písm. b) směrnice hovoří o řešení incidentů; § 14 odst. 1 písm. a) bod 12 uvádí zvládání kybernetických bezpečnostních událostí a incidentů, § 14 odst. 2 písm. j) pak řešení kybernetických bezpečnostních incidentů. Dokumentovaný postup má navazovat na lhůty podle § 16: prvotní hlášení bez zbytečného odkladu, nejpozději do 24 hodin po zjištění incidentu; oznámení nejpozději do 72 hodin; závěrečná zpráva nejpozději do 30 dnů ode dne předložení oznámení.

3) Řízení kontinuity činností. Art 21(2) písm. c) zahrnuje řízení kontinuity provozu, například správu zálohování a obnovu provozu po havárii a krizové řízení. V zákoně jde o § 14 odst. 1 písm. a) bod 13 (řízení kontinuity činností) a v režimu nižších povinností o § 14 odst. 2 písm. f). Sem patří i technické opatření zajišťování dostupnosti regulované služby podle § 14 odst. 1 písm. b) bodu 10.

4) Bezpečnost dodavatelského řetězce. Art 21(2) písm. d) pokrývá bezpečnostní aspekty vztahů mezi subjektem a jeho přímými dodavateli nebo poskytovateli služeb; § 14 odst. 1 písm. a) bod 7 uvádí řízení dodavatelů. Poskytovatel strategicky významné služby je navíc podle § 31 odst. 1 písm. c) povinen hlásit Úřadu informace o dodavatelích do 10 dnů ode dne jejich zjištění a podle § 29 může Úřad opatřením obecné povahy stanovit podmínky nebo zakázat využití plnění dodavatele bezpečnostně významné dodávky v kritické části stanoveného rozsahu.

5) Odpovědnost vedení a školení. Podle art 20(1) směrnice (EU) 2022/2555 vedoucí orgány základních subjektů a důležitých subjektů schvalují opatření k řízení kybernetických bezpečnostních rizik, dohlížejí na jejich zavádění a mohou nést odpovědnost za porušení art 21. Zákon to promítá do požadavků na vrcholné vedení v § 14 odst. 1 písm. a) bodu 2 a v § 14 odst. 2 písm. b). Art 21(2) písm. g) k tomu přidává základní postupy kybernetické hygieny a školení, § 14 pak bezpečnost lidských zdrojů a stanovení bezpečnostních rolí.

Až po celku: proč je prvním krokem politika řízení rizik

Teprve když je vidět všech pět oblastí, dává smysl otázka pořadí. Přirozeným prvním krokem je politika řízení kybernetických bezpečnostních rizik — je první i v pořadí art 21(2) písm. a) a v § 14 stojí vedle řízení aktiv jako základ celého systému.

Důvod je věcný, ne formální. Dokument řízení rizik pojmenuje aktiva, služby a hrozby a určí, co je pro organizaci kritické. Z toho pak vychází zbylé čtyři oblasti: co má postup zvládání incidentů chránit přednostně, které činnosti pokrývá plán kontinuity, kteří dodavatelé se dotýkají kritických aktiv a jaká rozhodnutí předkládá vrcholné vedení ke schválení podle art 20(1).

Začít například plánem kontinuity bez seznamu aktiv znamená psát podruhé. Politika rizik je tedy jednoduše ten dokument, na kterém ostatní stojí.

Kontrola i zákazníci se ptají na soubor, ne na jeden dokument

Úřad (Národní úřad pro kybernetickou a informační bezpečnost) je podle § 42 odst. 1 ústředním správním úřadem pro oblast kybernetické bezpečnosti se sídlem v Brně. Podle § 42 odst. 3 přijímá ohlášení, rozhoduje o registraci a jejím zrušení, stanovuje bezpečnostní opatření, provozuje Portál Úřadu, vede evidence, provádí kontrolu plnění povinností, ukládá nápravná opatření a ukládá správní tresty za nedodržení povinností. Národní CERT podle § 43 působí jako kontaktní místo pro poskytovatele v režimu nižších povinností a poskytuje metodickou podporu.

Pro režim vyšších povinností je navíc jedním z organizačních opatření samotné provádění auditu kybernetické bezpečnosti (§ 14 odst. 1 písm. a) bod 14). Kontrola i audit se přitom vztahují k plnění povinností jako celku — tedy k tomu, zda organizace má a používá celý soubor opatření podle § 14, nikoli jediný vzorový dokument.

Sankční rámec upravuje § 59: za přestupek lze uložit pokutu až do 250 000 000 Kč nebo až do výše 2 % čistého celosvětového ročního obratu podle toho, která z částek je vyšší, jde-li o vyjmenované přestupky poskytovatele v režimu vyšších povinností, a až do 175 000 000 Kč nebo až do výše 1,4 % obratu u vyjmenovaných přestupků poskytovatele v režimu nižších povinností.

Kruh dodavatelského řetězce: dokumentaci chtějí vidět i odběratelé

Povinnost řídit bezpečnost dodavatelů znamená, že požadavky se šíří i za hranici registrovaných poskytovatelů. Kdo spadá pod zákon, musí podle art 21(2) písm. d) a § 14 odst. 1 písm. a) bodu 7 řešit bezpečnostní aspekty vztahů se svými přímými dodavateli a poskytovateli služeb.

Důsledek je jednoduchý: dodavatelé takových odběratelů dostávají dotazníky a žádosti o doklady — jak řídí rizika, jak zvládají incidenty, jak zajišťují kontinuitu. U poskytovatelů strategicky významných služeb je informace o dodavatelích dokonce předmětem hlášení Úřadu do 10 dnů ode dne jejich zjištění (§ 31 odst. 1 písm. c)).

Proto se dokumentace často vyplácí i firmám, které samy registrovanou regulovanou službu neposkytují: odběratelská poptávka po dokladech přichází dřív než jakákoli kontrola.

Kolik času na to je a co ověřit u zdroje

Zákon pracuje s několika jasnými lhůtami:

Rok na zavedení opatření zní jako dost času, ale pokrývá celý soubor pěti oblastí včetně jeho reálného používání — ne jen sepsání textů. Pokud si nejste jistí, zda se na vaši službu podmínky registrace vůbec vztahují, začněte tím: § 4 vyjmenovává 15 odvětví a velikost podniku podle doporučení Komise 2003/361/ES, § 5 doplňuje další podmínky (například službu, jejíž narušení může způsobit závažný zásah do života více než 125 000 osob), a § 8 určuje režim poskytovatele.

Podrobnosti, které zákon svěřuje prováděcím předpisům — zejména vyhlášky Úřadu k rozsahu služeb, k rozdělení do režimů a k formátu ohlášení i hlášení, a rovněž elektronický kanál Portálu Úřadu — je vhodné ověřit podle aktuálně zveřejněných pokynů Úřadu jako oficiálního zdroje.