Co nový zákon o kybernetické bezpečnosti (NIS2) znamená pro týmy mimo kancelář

Směrnice (EU) 2022/2555, známá jako NIS2, nahradila první směrnici NIS a zavádí jednotnou úroveň kybernetické bezpečnosti v celé EU. V Česku ji provádí zákon č. 264/2025 Sb., o kybernetické bezpečnosti, účinný od 1. listopadu 2025, spolu s vyhláškou č. 408/2025 Sb. o regulovaných službách a vyhláškami č. 409/2025 Sb. a 410/2025 Sb. o bezpečnostních opatřeních pro režim vyšších a nižších povinností.

Zákon nepracuje s pojmy „základní“ a „důležitý subjekt“ jako směrnice, ale s poskytovatelem regulované služby ve dvou režimech: vyšších a nižších povinností. Které služby jsou regulované a v jakém režimu, určuje příloha vyhlášky č. 408/2025 Sb. podle odvětví (energetika, doprava, zdravotnictví, vodárenství, digitální infrastruktura, veřejná správa a další) a obvykle podle velikosti poskytovatele.

Pro čtenáře z veřejné správy a IZS je podstatné, kdo je přímo jmenovaný. V režimu vyšších povinností jsou mimo jiné kraje a hlavní město Praha, krajská ředitelství Policie ČR, vymezené součásti Hasičského záchranného sboru ČR a poskytovatelé zdravotnické záchranné služby. Nižší povinnosti mají například obce s rozšířenou působností a městské části Praha 1 až 22. Ostatní obce mezi poskytovateli služeb veřejné správy uvedeny nejsou, regulované ale mohou být jejich vodárny, teplárny nebo nemocnice podle jiných odvětví.

Zákon chrání regulovanou službu a s ní všechna aktiva, na kterých závisí. Do stanoveného rozsahu (§ 12) patří primární aktiva související se službou a jejich podpůrná aktiva. Poruchová četa vodárny, výjezdová skupina distributora, posádky záchranky nebo krizový štáb kraje se přitom opírají o systémy mimo datové centrum:

• telefony a tablety, do kterých chodí výjezdy, mapy a plány;
• komunikaci při zásahu, včetně skupin ve WhatsAppu, které si lidé založili sami;
• polohy, fotky a záznamy o událostech pořízené v terénu;
• cloudové služby a dodavatele, kteří tyto aplikace a data provozují;
• záložní postupy pro chvíli, kdy nefunguje mobilní síť nebo centrální systém.

Paragraf 14 vyjmenovává organizační a technická opatření, jejichž obsah upřesňují vyhlášky č. 409/2025 Sb. a 410/2025 Sb. Zavést je musíte nejpozději do jednoho roku od doručení rozhodnutí o registraci služby (§ 13 odst. 4). Pro týmy v terénu z nich vyplývá zhruba toto:

• Řízení rizik: do analýzy rizik zahrňte mobilní zařízení, terénní aplikace a data v nich.
• Zvládání událostí a incidentů: ztracený telefon, ukradený účet v chatu nebo uniklá stopa polohy jsou bezpečnostní události a lidé venku musí vědět, jak je nahlásit.
• Řízení kontinuity činností: naplánujte, jak čety pracují bez sítě a bez centrálního systému. V praxi to znamená offline mapy a data přímo v zařízení.
• Řízení dodavatelů: dodavatele vybírejte podle požadavků bezpečnostních opatření a tyto požadavky dejte do smluv (§ 13 odst. 5).
• Akvizice, vývoj a údržba, včetně řešení zranitelností.
• Audit a kontrola účinnosti zavedených opatření (v režimu vyšších povinností).
• Bezpečnost lidských zdrojů a vzdělávání: zámky obrazovky, aktualizace a phishing se týkají i lidí venku.
• Kryptografické prostředky, které mají pokrýt i zprávy, fotky a soubory posílané z terénu.
• Řízení aktiv a přístupu: vědět, jaká zařízení existují, kdo je má, a při odchodu člověka mu přístup hned odebrat.
• Správa a ověřování identit: vícefaktorové ověření a zabezpečená komunikace hlasem, videem i textem.

Službu, která splňuje podmínky, musíte NÚKIB ohlásit do 60 dnů ode dne, kdy podmínky začala splňovat (§ 6), a do 30 dnů od doručení rozhodnutí o registraci doplnit kontaktní a další údaje (§ 11). V režimu vyšších povinností patří mezi organizační opatření výslovně požadavky na vrcholné vedení, které rozvádí vyhláška č. 409/2025 Sb. Výjezdy přitom často řídí lidé, kteří bezpečnostní politiku nikdy neviděli, a od vedení, které ji podepisuje, se čeká, že ví, jak se uplatní venku.

Za nejzávažnější přestupky zákon umožňuje uložit pokutu až 250 milionů Kč nebo 2 % celosvětového ročního obratu v režimu vyšších povinností a až 175 milionů Kč nebo 1,4 % obratu v režimu nižších povinností, podle toho, která částka je vyšší.

Sinkaos drží koordinaci v terénu v jednom systému, za který se dá ručit: vlastní klíče a odpojení každého zařízení, vícefaktorové ověření a passkeys, koncově šifrované zprávy a soubory, práce bez sítě, auditní záznam odolný proti úpravám a volba mezi provozem v EU, na vašich serverech nebo na odpojeném uzlu. Pomáhá vám plnit povinnosti podle zákona, sám o sobě ale soulad nezajistí. Podrobnosti najdete na stránce o bezpečnosti a provozu.