NIS2 není jen dokumentace: co se musí změnit v praxi

Když se mluví o NIS2 a novém zákonu o kybernetické bezpečnosti, velmi snadno vznikne dojem, že hlavním úkolem organizace je připravit správné směrnice, dokumentaci a evidenci.

Dokumentace je důležitá. Sama o sobě ale bezpečnost nevytvoří. Smyslem požadavků je, aby organizace dokázala kybernetická rizika skutečně řídit a aby zavedená opatření fungovala i ve chvíli, kdy nastane problém.

Řízení rizik musí ovlivnit skutečná rozhodnutí

Analýza rizik nemá být dokument, který jednou vznikne a následně zůstane uložený v adresáři. Má organizaci pomoci určit, co je pro její fungování důležité, jakým hrozbám je vystavena a do kterých oblastí má smysl investovat čas a prostředky.

Bez tohoto kontextu se bezpečnost snadno změní v seznam opatření, která jsou technicky správná, ale nemusí odpovídat skutečným prioritám organizace.

Incident response se nedá vytvořit až během incidentu

NIS2 mezi požadované oblasti zahrnuje také řešení incidentů. Prakticky to znamená víc než mít telefonní číslo na IT správce.

Organizace potřebuje vědět, kdo incident vyhodnocuje, kdo rozhoduje o zásahu, komu se situace eskaluje, kde jsou dostupné potřebné informace a jak se postupuje při závažném narušení provozu.

Kontinuita provozu a zálohy patří k bezpečnosti

Kybernetická bezpečnost nekončí prevencí útoku. Důležitá je také schopnost fungování obnovit. Proto mezi klíčové oblasti patří kontinuita provozu, zálohování, disaster recovery a krizové řízení.

Záloha, která nebyla nikdy otestována, nebo plán obnovy, který neodpovídá současné infrastruktuře, může během incidentu vytvořit falešný pocit jistoty.

Dodavatel je součást bezpečnostního prostředí

Moderní organizace je závislá na celé síti dodavatelů, cloudových služeb, externích správců a technologických partnerů. Riziko proto nekončí na hranici vlastní sítě.

Bezpečnost dodavatelského řetězce znamená mimo jiné vědět, kdo má přístup k systémům a datům, jak jsou nastaveny odpovědnosti a jak organizace postupuje při změně nebo ukončení spolupráce.

Bez lidí opatření nefungují

Technická opatření mohou snížit řadu rizik, ale významnou část bezpečnosti stále ovlivňuje chování lidí. Proto jsou důležitou součástí také školení, kybernetická hygiena, řízení přístupů a jasné odpovědnosti.

Školení přitom nemá být jen každoroční prezentace. Smyslem je, aby zaměstnanci rozpoznali situace, které mohou znamenat bezpečnostní problém, a věděli, co v takové chvíli udělat.

Vedení musí vědět, co bezpečnost znamená pro organizaci

Kybernetická bezpečnost není pouze technickou disciplínou IT oddělení. Rozhodování o rizicích, prioritách, rozpočtech a přijatelné úrovni rizika je otázkou řízení organizace.

Proto má smysl, aby vedení nedostávalo jen tabulku technických zranitelností, ale rozumělo tomu, jak mohou jednotlivá rizika ovlivnit služby, zákazníky, provoz a schopnost organizace plnit své závazky.

Jak poznat, že nejde jen o papír

Dobře nastavená bezpečnost se pozná například tak, že organizace ví, která aktiva jsou kritická, zná své nejvýznamnější rizikové scénáře, umí dohledat bezpečnostní události, má připravené role pro incident, pravidelně ověřuje obnovu a dokáže vysvětlit, proč používá konkrétní bezpečnostní opatření.

NIS2 proto není pouze úkolem vytvořit novou sadu dokumentů. Je to příležitost ověřit, zda bezpečnostní procesy skutečně fungují v každodenním provozu.

Česká pravidla už platí

Nový český zákon č. 264/2025 Sb., o kybernetické bezpečnosti, je účinný od 1. listopadu 2025. Kritéria regulovaných služeb stanovuje související vyhláška č. 408/2025 Sb. Organizace proto musí vycházet z konkrétního režimu a požadavků, které se vztahují právě na jejich regulované služby.

Samotný rozsah povinností se může podle konkrétní organizace a režimu lišit. Praktický princip ale zůstává stejný: bezpečnost musí být řízená, přiměřená rizikům a skutečně zavedená do fungování organizace.