Mapa povinností
Mapa povinností NIS2 pro nižší režim
Od ohlášení NÚKIB přes přípravu dokumentace a zavedení opatření až po pravidelné kontroly a řešení incidentů. U každého úkolu zjistíte, kdo ho udělá, do kdy a co má být výsledkem.
Načítáme mapu povinností…
Kde začít
- Ještě jste službu neohlásili: ověřte režim a připravte ohlášení NÚKIB. Neodkládejte ho, ani když 60 dnů už uplynulo. Připravit ohlášení
- Ohlášení jste odeslali, rozhodnutí ještě nemáte: určete pověřenou osobu a sbírejte podklady o firmě. Datum zapíšete, až rozhodnutí dorazí. Určit pověřenou osobu
- Rozhodnutí o registraci už máte: zapište datum doručení a ověřte, že jste nahlásili potřebné údaje. Pak pokračujte v nedokončených úkolech. Zapsat rozhodnutí
- Došlo k incidentu nebo máte podezření: zapojte pověřenou osobu a IT. Zapište čas zjištění. Řešit incident
Kroky ukazují doporučený postup. Příprava podkladů, jednání s dodavateli a zavádění jednotlivých opatření mohou probíhat souběžně. Konkrétní návaznosti a termíny najdete u úkolů.
Teď je na vásOvěřit, zda firma spadá do nižšího režimu a od kdy
Compligen z vašich odpovědí připraví vyhodnocení, plán nápravy a dokumentaci. Podání úřadu, školení, smlouvy a změny ve firmě zajistíte vy a vaši kolegové.
Kdo je kdoVedení určí pověřenou osobu, která celý postup koordinuje. Rozhodnutí o kapacitě, penězích a prioritách zůstávají vedení. Technickou práci dělá IT, další úkoly lidé podle své role.
Teď je na vás
Ověřit, zda firma spadá do nižšího režimu a od kdy
Nižší režim = mírnější ze dvou sad povinností zákona o kyberbezpečnosti. Zařazení závisí na poskytované činnosti, ne jen na počtu zaměstnanců. Při určování velikosti firmy zohledněte také partnerské a propojené firmy. Výjimkou jsou firmy, jejichž technická aktiva jsou zcela oddělená od těch, která používáte při poskytování regulované služby. Takovou firmu nezapočítáváte. Technická aktiva jsou například systémy, sítě a zařízení. Zda je oddělení úplné, ověřte s IT. Vybrané digitální služby podle § 18 zákona (např. poskytování cloudu nebo datového centra) mají zvláštní pravidla, mapa je nepokrývá; samotné používání cloudu z firmy poskytovatele nedělá.
Připravit údaje pro ohlášení
K přípravě využijte i účetní podklady. Ujasněte si, kdo podání provede: jednatel zapsaný v rejstříku, nebo zástupce pověřený na Portálu NÚKIB.
Ohlásit regulovanou službu NÚKIB
Ohlášení odesíláte vy, rozhodnutí o registraci vydá NÚKIB; odeslané ohlášení ještě není doručené rozhodnutí. Během čekání určete pověřenou osobu a sbírejte podklady o firmě. Rozhodnutí může přijít i bez ohlášení, úřad může řízení zahájit sám. Pokud 60 dnů už uplynulo, povinnost trvá: ohlaste službu co nejdříve, stejně jako v termínu. Zmeškání lhůty je porušení zákona, které může NÚKIB řešit. Přihlíží přitom i k délce zpoždění, proto ohlášení dál neodkládejte. Lhůty pro hlášení údajů, zavedení opatření a hlášení incidentů začnou běžet až od doručení rozhodnutí. Poznamenejte si, od kdy firma podmínky splňuje, kdy jste to zjistili a kdy jste službu ohlásili. Pokud vám NÚKIB už poslal výzvu, řiďte se jí.
Zapsat datum doručení rozhodnutí o registraci do aplikace
Tento úkol odškrtne Compligen sám.
Datum doručení najdete u zprávy v datové schránce firmy; nezadávejte datum vydání rozhodnutí ani den odeslání ohlášení. Obě lhůty běží od doručení. Pokud rozhodnutí ještě nemáte, můžete určit pověřenou osobu a sbírat podklady o firmě.
Nahlásit NÚKIB kontaktní osoby a doplňující údaje
Hlásí se: kdo za firmu jedná ve věcech zákona (jméno, funkce, telefon, e-mail), vlastnická struktura, domény a rozsahy IP adres služby (doplní IT) a kde službu poskytujete, včetně zahraničí. Pozdější změny těchto údajů řešíte v kroku 9 (Když nastane).
Pověřit osobu pro kyberbezpečnost a vymezit její pravomoci
V mapě jí říkáme „pověřená osoba“, ve vyhlášce „osoba pověřená kybernetickou bezpečností“; často je to vedoucí IT nebo provozní ředitel. Jméno pro dokumentaci zadáte v průvodci. Pokud má za firmu podávat hlášení NÚKIB, potřebuje navíc pověření zástupce na Portálu NÚKIB; to je jiné pověření.
Zajistit pověřené osobě odbornou znalost
Jde o odbornost pro řízení kyberbezpečnosti. Běžné školení zaměstnanců z kroku 7 ji nenahrazuje; další odborná školení se řídí její pracovní náplní.
Popsat v průvodci služby, informace, systémy a dodavatele
Tento úkol odškrtne Compligen sám.
Začněte činnostmi firmy a informacemi, které k nim potřebujete; IT doplní systémy a zařízení, kolegové lidi, dodavatele a prostory. Tento přehled najdete ve výstupech jako dokument Evidence aktiv. Rozsah určuje, na co se opatření vztahují. Co jste ještě neposoudili, patří do rozsahu automaticky, vyřadit můžete jen to, u čeho uvedete důvod.
Vyhodnotit, co už firma zavedla a co chybí
Tento úkol odškrtne Compligen sám.
Opatření = konkrétní pravidla a způsoby ochrany, např. správa přístupů, zálohování nebo školení. Popisujte skutečný stav; co neznáte, ověřte u člověka, který oblast spravuje. Vyhodnocení vychází z vašich údajů, není to technický audit.
Navrhnout v plánu nápravy, kdo opatření zavede, s jakou prioritou a do kdy
Tento úkol odškrtne Compligen sám.
Návrh plánu připraví Compligen. V návrhu počítejte s IT u technických úkolů a s vedením, personalistikou nebo nákupem u organizačních. Vedení pak rozhodne o kapacitě a penězích.
Popsat rozpracovaný stav a odůvodnit nezavedená opatření
Tento úkol odškrtne Compligen sám.
U rozpracovaného opatření popište, co už funguje a co zbývá. U nezavedeného vysvětlete proč a při plánovaném zavedení doplňte plán nápravy. Natrvalo nezavést s odůvodněním lze jen opatření podle § 7–9 a § 11–13 vyhlášky; opatření podle § 3–6 a § 10 vyhláška vyžaduje vždy, a pokud ještě nejsou zavedená, musí mít v plánu nápravy termín. Důvod musí obstát před kontrolou, „nechceme“ nestačí.
Připravit pravidla pro rozpoznání a vyhodnocení incidentu
Tento úkol odškrtne Compligen sám.
Podklad připraví Compligen: dokument Metodika posuzování incidentů (kapitola Únosná míra újmy a hodnoticí stupnice). Vedení určí, jaká újma je pro firmu ještě únosná. Incident = narušení bezpečnosti informací, např. napadení systému nebo únik dat zákazníků. Dopad je významný, když překročí únosnou újmu, kterou jste si stanovili, a zároveň ho vyhodnotíte jako závažný aspoň v jedné oblasti (např. služba, lidé, data, obnova provozu); nejde jen o délku výpadku. V nižším režimu si hranice určujete sami a hlásíte jen významné incidenty, postup najdete v kroku 9 (Když nastane).
Pravidla práce ve firmě popisuje dokument Základní bezpečnostní politika a řízení kybernetické bezpečnosti. Jejich stav ukazuje Přehled bezpečnostních opatření a plán nápravy určuje potřebné změny. Dokumentaci otevřete ve výsledku průvodce; vedení ji projde v kroku 7 a lidé opatření provedou v kroku 8.
Ověřit bezpečnost u dodavatelů s vlivem na službu
Posouzení zapíšete v průvodci: z čeho jste vycházeli, co jste zjistili, kdy a kdo posuzoval.
Doplnit bezpečnostní ujednání do smluv s dodavateli
Podklady připraví Compligen
Návrh ujednání připraví Compligen pro dodavatele, se kterými lze jednat a jejichž smlouva některou oblast zatím plně nepokrývá (přehled: Příloha registru dodavatelů (kapitola Mezery ve smluvním pokrytí)). Odešlete ho sami; po podpisu označte sjednané oblasti v průvodci jako Pokryto.
Rozhodnout o zdrojích pro plán nápravy a o tom, co při výpadku obnovit nejdřív
Podklady připraví Compligen
Compligen připraví podklady: dokumenty Přehled bezpečnostních opatření a Plán nápravy. Vedení projde návrh plánu a rozhodne o kapacitě a penězích. Určí také, které služby a informace jsou při výpadku nejdůležitější. IT podle toho připraví pořadí obnovy systémů: dokument Plán obnovy (kapitola Priority obnovy primárních aktiv). Rozhodnutí zaznamenejte.
Přijmout pravidla a zpřístupnit je lidem, seznámit vedení s přehledem opatření
Podklady připraví Compligen
Dokumentaci vygeneruje Compligen. Nejdřív ověřte, že odpovídá firmě, včetně nezavedených opatření a plánu nápravy. Bezpečnostní politiku a další pravidla přijměte podle svého interního postupu. Přehled opatření není třeba schvalovat, vedení se s ním seznámí. Přijetí i seznámení doložte tak, aby šlo dohledat, kdo, kdy a s kterou verzí – podpisem, elektronickým schválením nebo zápisem. Lidem řekněte, kde najdou pravidla, která se jich týkají.
Proškolit vedení, zaměstnance a odborné role a vést seznam proškolených
Podklady připraví Compligen
Vedení se školí o svých povinnostech a o pravidlech, která popisuje dokument Základní bezpečnostní politika a řízení kybernetické bezpečnosti. Lidé se učí bezpečně pracovat a hlásit podezřelé situace. Správci systémů a pověřená osoba potřebují odborná školení podle své práce. Evidenci připraví Compligen: dokument Evidence školení kybernetické bezpečnosti. Samotné školení zajistíte sami. Opakování školení řešíte v kroku 9 (Pravidelně).
Předat schválené úkoly z plánu a potvrdit jejich převzetí
Podklady připraví Compligen
Vycházejte z plánu, který připravil Compligen a který jste doplnili: dokument Plán nápravy. Lidé potvrdí převzetí práce v dohodnutém pořadí a termínech. Změny odpovědností a termínů zapisujte do plánu.
Provést opatření, ověřit funkčnost a aktualizovat stav
Výsledek ověřte podle povahy opatření, např. kontrolou nastavení nebo zkušební obnovou ze zálohy. Hotovo potvrzuje ten, kdo opatření zavedl; faktura za zařízení ještě neznamená, že opatření funguje. Co zbývá, nechte v plánu s pravdivým stavem.
Pravidelně
Aktualizovat přehled, pravidla a vyhodnotit fungování opatření
Podklady připraví Compligen
Projděte, co se změnilo ve službách, systémech a dodavatelích, co z plánu je hotové a jak opatření fungují; prověřte i dodržování pravidel, ne jen jejich znění. Změny v odpovědích od minulé verze ukáže porovnání v části Verze dokumentace. Změny promítněte do údajů v průvodci a do dokumentace. Aktuální dokumentaci připraví Compligen. Samotné nové vygenerování souboru kontrolu nenahrazuje.
Opakovat školení a doplňovat odborné znalosti
Týká se i vedení. Správci systémů a pověřená osoba potřebují odborné vzdělávání podle své práce. Vyhláška neurčuje všem stejnou roční frekvenci, termín si stanovíte sami v pravidlech firmy; evidenci vedete v dokumentu Evidence školení kybernetické bezpečnosti.
Udržovat opatření v provozu
Patří sem zálohování, aktualizace, správa přístupů a řešení bezpečnostních událostí; při nástupu nebo odchodu člověka řešte jeho přístupy. U nového systému nebo dodavatele prověřte zabezpečení, smluvní ujednání a změny dokumentace. Pravidla pro jednotlivé oblasti najdete v navazujících politikách; rozcestník po nich najdete v dokumentu Základní bezpečnostní politika a řízení kybernetické bezpečnosti (kapitola Bezpečnostní dokumentace a navazující politiky).
Uchovávat všechny verze přehledu opatření
Vygenerované verze najdete v přehledu Moje dokumentace v části Verze dokumentace, kde je stáhnete nebo porovnáte s aktuálními odpověďmi. Compligen za vás ale archiv nevede: ukládá jen vygenerované soubory. Verze přehledu, se kterými se seznámilo vedení, proto ukládejte i u sebe, každou aspoň 4 roky.
Když nastane
Ohlásit NÚKIB změnu údajů nebo služby
Kontaktní nebo doplňující údaje (např. nový telefon kontaktní osoby) · do 14 dnů od změny
Nahlásit změnu údajů (otevře se v nové kartě)
Údaje o firmě, které stát vede v základních registrech (např. název nebo sídlo), znovu nehlásíte. Při změně jednatele ale zkontrolujte, zda se mění i kontaktní osoba nahlášená NÚKIB. Pokud ano, aktualizujte ji na Portálu NÚKIB. Stejně postupujte při změně telefonu nebo e-mailu kontaktní osoby.
Změna, která může ovlivnit režim (např. nová služba nebo růst firmy) · do 60 dnů od změny
Spravovat registraci (otevře se v nové kartě)
Samotný počet zaměstnanců nemusí rozhodovat. Při přechodu do vyššího režimu běží nové lhůty podle zákona, vyšší režim tato mapa nepokrývá.
Nová regulovaná služba · do 60 dnů od splnění podmínek · ověřte podmínky podle úkolu 1.1 a ohlaste ji
Ohlásit službu (otevře se v nové kartě)
Každou službu ohlašujete zvlášť, dřívější ohlášení jiné služby ji nepokrývá. Pokud 60 dnů už uplynulo, ohlaste ji co nejdříve.
Služba už nesplňuje podmínky registrace · kdykoli po změně · můžete požádat o zrušení registrace
Spravovat registraci (otevře se v nové kartě)
O zrušení rozhoduje NÚKIB, samotné zmenšení firmy z režimu nevyvádí.
Vyřešit incident a podat hlášení Národnímu CERT přes Portál NÚKIB
Podklady připraví Compligen
Národní CERT přijímá za stát hlášení incidentů od firem v nižším režimu. Kdo ho provozuje, zveřejňuje NÚKIB. Podklady pro řešení a hlášení incidentu najdete v dokumentu Metodika posuzování incidentů. Příloha č. 3 této metodiky slouží k přípravě závěrečné zprávy Národnímu CERT. Dokument Interní záznamy o vyřešených incidentech slouží k interní zjednodušené evidenci a závěrečnou zprávu nenahrazuje. Co je významný incident, jste si stanovili v kroku 5: dokument Metodika posuzování incidentů (kapitola Únosná míra újmy a hodnoticí stupnice). Povinnost hlásit incidenty vám vzniká nejpozději 1 rok od doručení rozhodnutí; do té doby je hlášení dobrovolné, pokud firma nebyla regulovaná už podle dřívějšího zákona o kybernetické bezpečnosti. Dobrovolné je ale jen hlášení: incidenty i podezření na ně řešte už během přípravy.
Nahlásit incident (otevře se v nové kartě)Náhradní způsob hlášení (otevře se v nové kartě)
Postup při incidentu
- Zapojte pověřenou osobu a IT. Zapište čas zjištění. Pokud firemní systémy nefungují, použijte domluvený náhradní způsob komunikace.
- Vyhodnoťte významnost podle pravidel pro incidenty, která jste si stanovili v kroku 5: dokument Metodika posuzování incidentů (kapitola Únosná míra újmy a hodnoticí stupnice). Hlásíte incident, který zasáhl služby, systémy nebo data, které jste zmapovali v kroku 4, přišel z kyberprostoru, má významný dopad na regulovanou službu a u kterého v době prvotního hlášení nelze vyloučit úmysl (např. ransomware ano, výpadek proudu ne). Nejistotu řešte s pověřenou osobou a odbornou podporou.
- Podejte hlášení Národnímu CERT přes Portál NÚKIB. Prvotní hlášení je krátká zpráva, že k incidentu došlo, i bez všech podrobností; podáte ho bez zbytečného odkladu, nejpozději do 24 hodin od zjištění. Oznámení ho do 72 hodin od zjištění doplní o první posouzení, dopad a technické stopy útoku, pokud je máte (např. škodlivé adresy nebo soubory). Nečekejte na konec lhůty.
- Dokončete navazující zprávy: závěrečnou zprávu, která popíše, jak jste incident vyřešili, podáte do 30 dnů od oznámení. Pokud incident trvá déle, podejte po 30 dnech průběžnou zprávu a závěrečnou do 30 dnů od vyřešení. Průběžnou zprávu dodáte i na výzvu NÚKIB nebo Národního CERT.
- Prověřte, zda máte informovat ohrožené uživatele služby (samostatný úkol níže). Hlášení Národnímu CERT ho nenahrazuje.
Portál nefunguje:
Hlášení zašlete na e-mail určený pro incidenty nebo do datové schránky Národního CERT. Aktuální adresy i náhradní formulář najdete na stránce NÚKIB o hlášení incidentů. Uchovejte doklad o odeslání.
Informovat ohrožené uživatele služby
Uživatelé služby = vaši zákazníci a odběratelé, ne zaměstnanci. Při významné hrozbě (např. zneužitelná chyba v systému, přes který zákazníci objednávají) jim řekněte, co mohou udělat, aby omezili dopad, a pokud je to vhodné, i o hrozbě samotné; hrozba může vzniknout i bez incidentu. U významného incidentu vyhodnoťte, zda je informování vhodné (§ 19 odst. 1 zákona); NÚKIB ho může nařídit i zakázat a hlášení Národnímu CERT tuto povinnost nenahrazuje.
Reagovat na protiopatření, výzvy a kontrolu NÚKIB
Reaktivní protiopatření = konkrétní příkaz úřadu proti hrozbě nebo incidentu, např. odpojit napadený systém nebo nasadit opravu. Pokud úřad neurčí jinak, oznamte jeho provedení a výsledek bez zbytečného odkladu, nejpozději v uložené lhůtě. Varování upozorňuje na závažnou hrozbu nebo zranitelnost a samo nic nenařizuje. Výstraha je veřejné oznámení o incidentu nebo o porušování povinností u konkrétní firmy; NÚKIB jí může rozhodnutím uložit, aby veřejnost informovala sama. Určete, kdo sdělení úřadu sleduje. U každého ověřte, zda se firmy týká a co do kdy provést; při výzvě poskytněte součinnost, při kontrole připravte podklady.
Portál NÚKIB (otevře se v nové kartě)Úřední deska NÚKIB (otevře se v nové kartě)
Orientační přehled postupu. Splnění povinností posuzuje NÚKIB.
Mapa popisuje postup podle zákona č. 264/2025 Sb. a vyhlášky č. 410/2025 Sb. pro nižší režim. Vyšší režim, zvláštní pravidla vybraných digitálních služeb podle § 18 a povinnosti podle jiných předpisů nejsou jejím předmětem.