NIS2 pro firmy bez paniky: co řeší vedení a co IT dodavatel
Přehled, odpovědnost a postupné kroky. Žádná panika. Co po vás nový zákon o kybernetické bezpečnosti opravdu chce — a co z toho vyřeší váš IT partner.
NIS2 se v posledních měsících skloňuje čím dál častěji. Pro řadu firem to zní jako další složitá povinnost, další dokumentace a další riziko sankcí. Ve skutečnosti ale není cílem NIS2 udělat z každé firmy bezpečnostní korporát. Smyslem je, aby organizace, kterých se zákon týká, začaly kybernetickou bezpečnost řešit systematicky, přiměřeně své velikosti a skutečným rizikům.
V českém prostředí je důležité vědět, že konkrétní povinnosti vycházejí z nového zákona č. 264/2025 Sb., o kybernetické bezpečnosti, který je účinný od 1. listopadu 2025. Ten navazuje na evropskou směrnici NIS2 a upravuje, kterých organizací se nové povinnosti týkají a co mají v praxi zavést.
Dobrá zpráva je, že vedení firmy nemusí samo řešit technické detaily. Nemusí nastavovat firewall, spravovat servery ani konfigurovat Microsoft 365. Musí ale rozhodnout, že se bezpečnost začne řešit jako součást řízení firmy, ne jako okrajová věc, která se vytáhne až ve chvíli, kdy něco přestane fungovat.
NIS2 není jen o IT. Je hlavně o odpovědnosti
Častý omyl je představa, že NIS2 je úkol pro správce sítě nebo externí IT podporu. Technicky ano, mnoho opatření bude realizovat IT dodavatel. Ale odpovědnost za to, že firma bezpečnost vůbec řeší, leží na vedení.
Evropská komise u NIS2 uvádí, že směrnice zavádí odpovědnost nejvyššího vedení za nedodržování opatření k řízení kybernetických rizik. Český zákon zároveň mezi bezpečnostními opatřeními uvádí i požadavky na vrcholné vedení.
Pro majitele, jednatele nebo ředitele firmy to znamená jednoduchou věc: kybernetická bezpečnost už není jen otázka „máme antivir?“. Je to otázka provozní stability, ochrany dat, odpovědnosti vůči zákazníkům a schopnosti firmy fungovat i ve chvíli, kdy dojde k incidentu.
Týká se NIS2 každé firmy?
Ne. NIS2 a nový zákon o kybernetické bezpečnosti se netýkají každého podnikatele automaticky. Český zákon pracuje s pojmem poskytovatel regulované služby. Organizace se jím stává tehdy, pokud splní kritéria stanovená zejména vyhláškou č. 408/2025 Sb. o regulovaných službách.
První krok tedy není nákup nového bezpečnostního nástroje. První krok je ověřit, zda firma do regulace spadá. K tomu slouží mimo jiné online kalkulačka na Portálu NÚKIB.
I pokud firma pod zákon přímo nespadá, má smysl se tématem zabývat. V praxi se požadavky na kybernetickou bezpečnost často přenášejí i obchodně. Větší zákazník, regulovaný partner nebo veřejná instituce se může začít ptát, jak firma řeší zabezpečení dat, zálohování firemních dat, správu přístupů nebo obnovu dat po incidentu.
Co musí řešit vedení firmy
Vedení firmy by nemělo začínat technickým seznamem nástrojů. Mělo by začít otázkami: Máme přehled o tom, jaké systémy jsou pro chod firmy kritické? Víme, kde jsou uložená důležitá data? Kdo k nim má přístup? Máme otestované zálohy? Víme, co se stane, když vypadne server, ERP systém, e-mail nebo internet? Máme jasně určeného člověka, který řeší incidenty?
To jsou manažerská rozhodnutí. Ne proto, že by vedení mělo znát technické detaily, ale proto, že právě vedení určuje priority, rozpočet a odpovědnosti.
Jinými slovy: vedení nastavuje směr. IT dodavatel pomáhá najít cestu a provést konkrétní kroky.
Co už patří IT dodavateli
Dobrý IT dodavatel nepřijde jen s tím, že „něco nainstaluje“. U NIS2 a kybernetické bezpečnosti pro firmy je důležité nejdříve pochopit, jak firma funguje. Jiný postup bude u výrobní firmy s vlastním ERP systémem, jiný u obchodní společnosti využívající cloud computing a Microsoft 365 a jiný u firmy, která má pobočky, kamerové systémy, vlastní servery nebo vzdálený přístup pro zaměstnance.
IT dodavatel by měl prakticky řešit zejména:
- audit IT infrastruktury
- správu počítačových sítí a síťovou bezpečnost
- zabezpečení serverů a pracovních stanic
- správu Microsoft 365
- řízení uživatelských účtů a oprávnění
- nastavení vícefaktorového ověřování
- zálohování dat a testování obnovy dat
- monitoring zařízení a logování událostí
- ochranu ERP systému a dalších klíčových aplikací
- bezpečnost vzdáleného přístupu
- plán reakce na incident
Český zákon mezi bezpečnostními opatřeními uvádí mimo jiné řízení aktiv, řízení rizik, řízení přístupu, řízení identit, detekci a zaznamenávání událostí, řešení incidentů, bezpečnost komunikačních sítí, aplikační bezpečnost a kryptografické algoritmy. To jsou přesně oblasti, kde se ukazuje rozdíl mezi běžnou IT podporou a dlouhodobým IT partnerem.
Typické slabiny, které firmy podceňují
V mnoha firmách bezpečnost nestojí na jednom velkém problému, ale na součtu menších slabin. Například: bývalí zaměstnanci mají stále aktivní účty. Hesla se sdílejí mezi více lidmi. Zálohování dat sice existuje, ale nikdo nikdy nezkusil data obnovit. Microsoft 365 funguje, ale není zapnuté vícefaktorové ověření. Kamerové systémy jsou připojené do sítě, ale nikdo neřeší jejich aktualizace. ERP systém obsahuje klíčová firemní data, ale přístupová práva se nastavovala postupně a nikdo je už dlouho nerevidoval.
Tohle nejsou výjimečné situace. To je realita běžných firem. NIS2 může být dobrá příležitost, jak tyto věci konečně narovnat. Ne formálně, ale prakticky. Tak, aby firma věděla, co má, kde to běží, kdo k tomu má přístup a jak rychle se dokáže vrátit do provozu, když nastane problém.
Zálohy nestačí. Důležitá je obnova
Jednou z nejčastějších vět ve firmách je: „Zálohy máme.“ Jenže klíčová otázka nezní, jestli zálohy existují. Klíčová otázka zní, zda z nich dokážete obnovit provoz v čase, který firma přežije.
Z pohledu provozu je velký rozdíl mezi tím, jestli obnova dat trvá dvě hodiny, dva dny, nebo týden. U ERP systému, účetnictví, výroby, e-mailů nebo zákaznické databáze může být delší výpadek zásadní obchodní problém. Proto by IT dodavatel neměl řešit jen zálohování firemních dat, ale také pravidelné testy obnovy. Firma by měla vědět:
- co se zálohuje
- jak často se to zálohuje
- kde jsou zálohy uložené
- kdo má k zálohám přístup
- jak rychle lze obnovit klíčové systémy
- kdy proběhl poslední test obnovy
Právě tady se kybernetická bezpečnost propojuje s dlouhodobou stabilitou firmy.
Microsoft 365 jako časté místo rizika
Microsoft 365 je dnes pro mnoho firem základní pracovní prostředí. E-maily, dokumenty, Teams, SharePoint, OneDrive, kalendáře, přístupy. Pokud není správně nastavený, stává se jedním z nejcitlivějších míst celé firmy.
Správa Microsoft 365 by proto neměla znamenat jen založení nového e-mailu. Měla by zahrnovat bezpečnostní nastavení účtů, vícefaktorové ověřování, správu oprávnění, ochranu proti phishingu, pravidla pro sdílení dokumentů a kontrolu zařízení, ze kterých se lidé přihlašují.
Pro vedení je důležité vědět, že právě e-mail a uživatelské účty bývají častou cestou, kudy se útočník dostane do firmy. Pro IT dodavatele je to naopak jedna z oblastí, kde lze relativně rychle zvýšit úroveň zabezpečení dat bez zásahu do celého provozu firmy.
IT outsourcing jako cesta, jak to zvládnout bez vlastního bezpečnostního týmu
Menší a střední firmy často nemají vlastní interní IT oddělení. A i když ho mají, nemusí mít kapacitu na kybernetickou bezpečnost, dokumentaci, monitoring, incidenty a strategické řízení rizik.
Právě tady dává smysl IT outsourcing nebo externí IT správa. Ne jako náhrada odpovědnosti vedení, ale jako praktická pomoc s realizací. Vedení definuje priority a schvaluje rozhodnutí. IT partner navrhne opatření, spravuje infrastrukturu, hlídá technická rizika a pomáhá firmě udržet bezpečnost dlouhodobě.
Důležité je vybrat partnera, který rozumí nejen jednotlivým zařízením, ale celému prostředí firmy: sítím, serverům, cloudovým službám, Microsoft 365, ERP systému, zálohám, kamerovým systémům i provozním návaznostem.
Kde začít bez paniky
Nejhorší postup je čekat, až bude problém. Druhý nejhorší postup je začít nákupem náhodných bezpečnostních nástrojů bez jasného plánu. Skoro vždycky se totiž ukáže, že peníze šly do nástroje, který řeší okrajové riziko, zatímco ta skutečně slabá místa zůstala nedotčená.
Rozumný start proto nestojí na technologii, ale na přehledu. Než cokoli nakoupíte nebo zapnete, je dobré vědět, co vlastně firma má, které systémy jsou pro provoz kritické a co by se stalo, kdyby vypadly. Teprve z toho vyplyne, kam dává smysl investovat jako první.
Dobrá zpráva je, že nemusíte zvládnout všechno najednou. Kybernetická bezpečnost není závod, který se dá vyhrát jedním velkým projektem. Funguje líp jako řada menších, srozumitelných kroků, které na sebe navazují a postupně zvyšují odolnost firmy.
Následující postup berte jako orientační kostru. U menší firmy bude jednodušší, u větší s vlastním ERP a pobočkami podrobnější. Smysl ale zůstává stejný: jít od přehledu k prioritám a od priorit ke konkrétním opatřením.
- 1Ověřit, zda se firmy týká nový zákon o kybernetické bezpečnosti
- 2
- 3Sepsat klíčové systémy, data a dodavatele
- 4Zkontrolovat přístupy, účty a oprávnění
- 5Prověřit zálohování dat a otestovat obnovu
- 6
- 7Připravit jednoduchý plán reakce na incident
- 8Určit, kdo za co odpovídá
- 9Nastavit pravidelnou kontrolu a zlepšování
Závěr: NIS2 jako příležitost uklidit firemní IT
NIS2 může na první pohled působit jako další administrativní zátěž. V praxi ale může být užitečným impulsem k tomu, aby firma konečně získala přehled o svém IT, datech, přístupech, zálohách a dodavatelích.
Vedení firmy by nemělo řešit technické detaily. Musí ale vědět, že kybernetická bezpečnost je součást řízení rizik a stability firmy. IT dodavatel by měl dodat praktické know-how, převést požadavky do konkrétních opatření a postarat se o to, aby bezpečnost fungovala nejen na papíře, ale i v běžném provozu.
A právě v tom je hlavní pointa NIS2 pro firmy: nejde o paniku. Jde o přehled, odpovědnost a postupné kroky, které sníží riziko výpadku, ztráty dat i provozních problémů.