Nový kyberzákon vyvolává u majitelů firem spoustu otázek. A taky nervozitu. My v servisu to vidíme denně – podnikatelé neví, jestli se jich zákon vůbec týká, a pokud ano, co přesně musí splnit. Pojďme si to vyjasnit. Bez právničiny, bez strašení, na rovinu.
Rychlý verdikt
- Netýká se každé malé firmy — rozhoduje, jestli poskytujete regulovanou službu a jak jste velcí.
- Když spadáte pod zákon, antivir nestačí — řeší se zálohy, přístupy, dokumentace, dodavatelé a incidenty.
- Incident se hlásí rychle — prvotně do 24 h, u významného dopadu doplnění do 72 h, závěrečná zpráva typicky do 30 dnů od oznámení.
- První krok: nehádejte — ověřte službu a režim v kalkulačce NÚKIB, potom řešte konkrétní opatření.
Praktická příprava firmy: přehled zařízení, zálohy, MFA a jednoduchý plán incidentu. Nejde o efektní prezentaci, ale o funkční pořádek.
NIS2 ve zkratce: co má firma udělat hned
Pokud hledáte rychlou odpověď, začněte tady: nový kyberzákon neřešte jako papír pro šanon, ale jako kontrolu, jestli firma po útoku nebo výpadku vůbec obnoví provoz. Pro běžnou firmu v Brně to typicky znamená projít dopad NIS2, zkontrolovat zálohy, zapnout MFA, sepsat odpovědnosti a vědět, kdy volat NÚKIB.
Nejrychlejší praktická cesta:
- Ověřit, jestli poskytujete regulovanou službu a do jakého režimu spadáte.
- Udělat přehled zařízení, účtů, dodavatelů a systémů, na kterých stojí provoz.
- Zkontrolovat zálohování dat a aspoň jednou obnovu opravdu vyzkoušet.
- Zapnout MFA na e-mailu, cloudu, VPN, účetnictví a správcovských účtech.
- Připravit krátký postup pro incident: kdo rozhoduje, kdo technicky řeší, kdo komunikuje.
Co se změnilo od 1. listopadu 2025
Od 1. listopadu 2025 platí nový zákon o kybernetické bezpečnosti č. 264/2025 Sb. Ten do českého práva převádí evropskou směrnici NIS2. Cíl je jednoduchý: zvýšit odolnost firem a organizací, které jsou důležité pro fungování státu a ekonomiky.
Co je jinak oproti starému zákonu? Hlavně se rozšířil okruh povinných osob. Zatímco dřív se kyberzákon týkal jen několika stovek subjektů, teď NÚKIB očekával kolem 6 000 organizací. K 8. únoru 2026 se jich nahlásilo 4 825. To je pořád výrazně víc než dřív – a hlavně to znamená, že se zákon nově dotýká i středních firem, které doteď kyberbezpečnost řešily spíš okrajově.
Pro nás v servisu to znamená jediné: najednou řešíme klienty, kteří dřív spadali mimo jakoukoliv regulaci, a teď musí splnit konkrétní povinnosti. A často o tom ani neví.
Týká se to vaší firmy?
Tohle je nejdůležitější otázka. Zákon se netýká automaticky každé firmy. Rozhoduje kombinace tří věcí:
- Poskytujete regulovanou službu? Seznam je ve vyhlášce č. 408/2025 Sb. Typicky jde o IT služby, energetiku, dopravu, zdravotnictví, vodní hospodářství, digitální infrastrukturu a další.
- Jste střední nebo velký podnik? Podle doporučení Komise 2003/361/ES se posuzuje počet zaměstnanců a finanční ukazatele. Orientačně: pokud se blížíte hranici 50 zaměstnanců nebo 10 milionů eur obratu/bilanční sumy, už to ověřujte pečlivě.
- Nejste jinak významní pro stát? I menší firma může spadat pod zákon, pokud je pro fungování státu nebo společnosti klíčová.
Týká se zákon vaší firmy? Rozhoduje regulovaná služba, velikost a významnost — ověřte v kalkulačce NÚKIB.
| Situace | Spíš ano | Spíš ne | Nutno ověřit |
|---|---|---|---|
| IT firma s 60 zaměstnanci spravující systémy pro nemocnice | ✓ | ||
| Malá účetní firma s 5 lidmi | ✓ | ||
| Výrobní firma s 200 zaměstnanci – dodavatel pro energetiku | ✓ | ||
| E-shop s 30 zaměstnanci a obratem 300 mil. Kč | ✓ |
První krok: nehádejte. Použijte kalkulačku NÚKIB a projděte si Průvodce novým zákonem o kybernetické bezpečnosti. Kalkulačka vás navede, jestli pravděpodobně spadáte pod zákon a do jakého režimu.
A pozor – i když zákonu nepodléháte přímo, často vás dožene přes dodavatelský řetězec. Velký odběratel, který pod zákon spadá, po vás bude chtít doložit, že máte zabezpečení v pořádku. Takže i firmy mimo přímou regulaci nakonec podobná opatření řeší.
Vyšší vs. nižší režim
Zákon dělí povinné osoby do dvou skupin:
- Nižší režim – menší poskytovatelé regulovaných služeb, méně přísné požadavky
- Vyšší režim – významnější poskytovatelé, přísnější požadavky
V praxi to znamená, že pokud spadáte do vyššího režimu, máte víc povinností. Typicky jde o větší firmy nebo organizace, jejichž výpadek by měl vážné dopady. Do jakého režimu patříte, vám opět řekne kalkulačka NÚKIB.
Pro nás v servisu je klíčový hlavně rozdíl v zálohování. V nižším režimu řešíte pravidelné zálohy pro obnovu služby. Ve vyšším režimu zákon výslovně přidává i pravidelné testování integrity, dostupnosti a obnovitelnosti záloh a dokumentování výsledků. K tomu se ještě dostaneme.
Co musíte reálně řešit
Většina povinností nejsou žádné sci-fi požadavky. Jsou to věci, které by zdravě fungující firma měla mít stejně. Zákon je jen dělá povinné a kontrolovatelné.
Zálohy a test obnovy
Tohle je základ. Vyhláška 410/2025 Sb. pro nižší režim říká: musíte stanovit postupy obnovy a vytvářet pravidelné zálohy informací, dat, konfigurací a nastavení nutných pro obnovu služby. Pro vyšší režim (vyhláška 409/2025 Sb.) k tomu přibývá pravidelné testování integrity, dostupnosti a obnovitelnosti záloh – a dokumentování výsledků. Test obnovy už není „dobrá praxe”, ale povinnost.
Test obnovy je praktický důkaz, že zálohy nejsou jen nastavené, ale opravdu použitelné při výpadku nebo ransomwaru.
Vícefaktorové ověřování (MFA)
Na kritické účty a vzdálené přístupy musíte mít MFA. Žádné výmluvy, že „heslo je dost silné”. Není.
MFA má být hlavně na e-mailu, cloudu, VPN, účetnictví a správcovských účtech. Útočník se často nedostane přes firewall, ale přes ukradené heslo.
V praxi začínáme účty, jejichž zneužití má největší dopad: majitel firmy, účetní, správci Microsoft 365/Google Workspace, VPN, vzdálená plocha, bankovní a účetní systémy. U správcovských účtů je dobré mít i záložní přístup pro krizovou situaci, ale ten musí být uložený bezpečně a nesmí být běžně používaný.
Aktualizace a správa zranitelností
Musíte mít přehled o tom, jaké systémy používáte, a pravidelně je aktualizovat. Žádné Windows XP schované v koutě.
Evidence aktiv
Musíte vědět, co máte. Servery, počítače, síťové prvky, software, cloudové služby. Bez přehledu nemůžete řídit rizika.
Evidence aktiv nemusí začínat drahým nástrojem. První verze může být tabulka: zařízení, vlastník, účel, umístění, stav aktualizací a kdo má přístup.
Typicky se při první inventuře najde něco, co firma už roky „nějak používá“, ale nikdo za to reálně neodpovídá: starý NAS, zapomenutý router, sdílený účet, bývalý zaměstnanec v cloudu, stará VPN nebo software, který už nedostává aktualizace. Přesně tyhle věci pak dělají problém při incidentu.
Řízení dodavatelů
Musíte vědět, kdo vám co dodává, a mít ošetřené, jak dodavatelé řeší bezpečnost. Typicky přes smlouvy nebo bezpečnostní dotazníky.
Externí IT, cloud, účetní systém, kamerový systém nebo webhosting: dodavatel je často přímá cesta k vašim datům.
U dodavatelů se neptáme jen „kdo nám to spravuje“, ale hlavně „k čemu má přístup, jak rychle reaguje, jak chrání svoje účty, jestli umí doložit zálohy a kdo rozhoduje při incidentu“. U malých firem bývá slabé místo jednoduché: jeden externí správce má přístup všude, ale smlouva neříká, co má dělat při výpadku nebo útoku.
Postup pro incident
Musíte mít plán, kdo co dělá, když se něco stane. A hlavně kdo rozhodne, že se incident hlásí NÚKIB.
Checklist NIS2 pro prvních 30 dnů
Největší pokrok uděláte ve chvíli, kdy z povinností uděláte konkrétní úkoly. Tohle je jednoduchý rámec, který používáme při prvním technickém průchodu u firem: zjistit dopad, zavřít největší rizika, otestovat obnovu a připravit reakci na incident.
Checklist není právní analýza. Je to technický start: co projít, aby firma nebyla bez přehledu, bez záloh a bez rozhodovacího postupu.
Do 7 dnů: ověřit dopad v kalkulačce NÚKIB, určit odpovědnou osobu, sepsat kritické systémy a účty.
Do 30 dnů: zapnout MFA, zkontrolovat zálohy, provést test obnovy, sepsat incident playbook a zkontrolovat hlavní dodavatele.
Do 90 dnů: doplnit dokumentaci, nastavit pravidelné kontroly, zpracovat rizika a sladit interní postupy se smlouvami a dodavateli.
Hlášení incidentu NÚKIB krok za krokem
Tohle je věc, která majitele firem děsí nejvíc. Přitom ten proces je logický. Zákon v § 16 stanovuje tři lhůty:
U incidentu rozhoduje rychlost a role: technik řeší, odpovědná osoba rozhoduje, firma ví, kdy a co hlásit.
Lhůty hlášení incidentu: prvotní do 24 h, oznámení do 72 h, závěrečná zpráva do 30 dnů od oznámení.
Do 24 hodin od zjištění incidentu – prvotní hlášení. Stručné, žádná románová zpráva. Stačí říct: stalo se něco, řešíme to, tady je kontakt.
Do 72 hodin – oznámení o incidentu, pokud má významný dopad. Tady už musíte popsat, co se stalo, jaký to má dopad, co s tím děláte.
Do 30 dnů od oznámení – závěrečná zpráva. Co se přesně stalo, proč, jak jste to vyřešili, co uděláte, aby se to neopakovalo. Pokud incident pořád trvá, nejde o „hotovo za 30 dní“ – podává se průběžná zpráva a závěrečná zpráva až po vyřešení.
Klíčová otázka: kdo ve firmě rozhodne, že se incident hlásí? Musí to být jasně dané. Typicky je to jednatel, ředitel nebo bezpečnostní manažer. Ne IT technik, který zrovna něco opravuje. Ten to musí eskalovat.
A pozor – u služeb vytvářejících důvěru (např. certifikační autority) platí zvláštní 24hodinová lhůta i pro to 72hodinové oznámení.
Jak začít bez velkého rozpočtu
Největší chyba je myslet si, že „na to nemáme peníze, tak to nebudeme řešit”. Zákon nevyžaduje hned drahé enterprise nástroje. Vyžaduje rozumná opatření odpovídající vaší velikosti, službě a riziku.
Tady je praktický plán, jak začít:
- Audit současného stavu – sedněte si s někým, kdo tomu rozumí, a projděte, co máte a co vám chybí. Trvá to pár hodin.
- MFA na kritické účty – Microsoft 365, Google Workspace, VPN, bankovnictví. Zapnutí MFA je otázka minut a často nic nestojí.
- Zálohy 3-2-1 + test obnovy – tři kopie dat, na dvou různých médiích, jedna mimo firmu. A jednou za čas zkuste data opravdu obnovit. Bez testu je záloha jen přání.
- Seznam systémů – Excel tabulka stačí. Napište si, co máte, kdo to spravuje, jak je to staré.
- Krátký incident playbook – jednostránkový dokument: kdo co dělá, když se něco stane. Kdo rozhoduje o hlášení. Kam volat.
Většina těchto kroků nestojí majlant. Stojí čas a disciplínu.
Kolik práce to reálně znamená
U menší firmy se dá první technický průchod udělat rozumně: projít služby, účty, počítače, síť, zálohy, dodavatele a obnovu provozu. Nejde o to koupit nejdražší bezpečnostní nástroj. Jde o to dostat pod kontrolu základní věci, které se dají obhájit a hlavně fungují v krizi.
Nejvyšší prioritu mají obvykle:
- e-mail a cloudové účty bez MFA,
- neotestované zálohy,
- staré servery a routery bez aktualizací,
- vzdálený přístup bez jasných pravidel,
- externí správce IT bez popsaných odpovědností,
- chybějící kontakt a postup pro incident.
Pokud už řešíte správu PC a firemního IT, dá se velká část přípravy spojit s běžnou údržbou: inventura, aktualizace, zálohování, kontrola účtů a pravidelné testy obnovy.
Jak vypadá technický audit v praxi
První audit nemusí být složitý projekt na měsíce. U menší firmy dává smysl začít technickým průchodem, který ukáže, kde jsou největší rizika a co lze opravit rychle. Teprve potom má smysl řešit širší dokumentaci a procesy.
Typický průchod vypadá takto:
| Oblast | Co kontrolujeme | Proč je to důležité |
|---|---|---|
| Účty a přístupy | MFA, správci, bývalí zaměstnanci, sdílené účty | Nejčastější vstup do firmy je zneužitý účet |
| Zálohy | co se zálohuje, kam, jak často, kdy se testovala obnova | Bez obnovy není záloha důkaz, jen naděje |
| Síť | router, firewall, wifi, VPN, vzdálená plocha | Staré síťové prvky často nikdo neaktualizuje |
| Koncová zařízení | Windows aktualizace, šifrování, antivir, lokální admin práva | Jeden notebook umí otevřít cestu do celé firmy |
| Dodavatelé | smlouvy, přístupy, odpovědnosti, reakční doby | Firma odpovídá i za rizika přes dodavatele |
| Incidenty | kontakty, rozhodování, evidence, lhůty | V krizi není čas hledat, kdo má co udělat |
Výstup má být použitelný: seznam rizik podle priority, jasné úkoly, odpovědná osoba a termín. Ne dokument, který nikdo neotevře.
Nejčastější chyby, které vidíme u firem
NIS2 často jen pojmenuje věci, které už byly problém i bez zákona. V praxi se opakují hlavně tyto chyby:
- zálohy běží, ale nikdo nikdy nezkusil obnovu,
- MFA je zapnuté jen někde, ale správce cloudu ho nemá,
- všichni používají jeden sdílený účet pro NAS nebo účetnictví,
- router nebo firewall má roky starý firmware,
- externí IT má přístup všude, ale není jasné, jak rychle má reagovat,
- chybí jednoduchý seznam zařízení a služeb,
- incident se řeší až ve chvíli, kdy už nejde e-mail, účetnictví ani sdílený disk.
Dobrá zpráva: většina těchto věcí se dá výrazně zlepšit bez nákupu drahé platformy. Stačí začít pořádkem v účtech, zálohách, aktualizacích a odpovědnostech.
Pokuty a rizika nesplnění
Ano, pokuty jsou vysoké. Zákon v § 59 stanovuje:
- Vyšší režim: až 250 milionů Kč nebo 2 % celosvětového ročního obratu (co je vyšší)
- Nižší režim: až 175 milionů Kč nebo 1,4 % celosvětového ročního obratu
Ale nepropadejte panice. Tyhle částky jsou maximální stropy pro vybrané závažné přestupky. Konkrétní sankce závisí na tom, o jaký přestupek jde, v jakém jste režimu a jaké byly následky. Článek proto nemá stát na strašení pokutou, ale na tom, že firma má mít funkční bezpečnost a obnovu provozu.
Důležitější než výše pokuty je reálné riziko: pokud nemáte zálohy a přijdou ransomwarové útoky, škoda bude pravděpodobně mnohem vyšší než jakákoliv pokuta. A to už mluvíme o existenci firmy, ne o papírové sankci.
Časté dotazy
Týká se zákon firmy s méně než 50 zaměstnanci? Obecně ne – pokud nejste významní pro stát nebo neposkytujete specifickou regulovanou službu, kde velikost nehraje roli. Ale ověřte si to v kalkulačce NÚKIB. Výjimky existují.
Musím hlásit každý zavirovaný počítač? Ne. Hlásí se incidenty, které mají nebo můžou mít významný dopad na poskytování regulované služby. Běžná viróza na jednom PC, kterou vyřešíte antivirem, se typicky nehlásí.
Stačí cloud jako záloha? Sám o sobě ne. Cloud je jedno médium. Potřebujete minimálně dvě různá média a jednu kopii mimo firmu. Cloud může být to „mimo firmu”, ale potřebujete ještě lokální zálohu na jiném médiu.
Jak často testovat obnovu? Pro vyšší režim je testování povinné a musí být pravidelné. Frekvenci si stanovíte podle rizika – typicky jednou za čtvrtletí až jednou ročně. Pro nižší režim to zákon výslovně nevyžaduje, ale zdravý rozum ano.
Co když mám IT externě? I tak jste za plnění povinností zodpovědní vy. Externí IT firmu musíte řídit jako dodavatele – mít smlouvu, vědět, co dělají, a mít jistotu, že plní vaše požadavky. My v servisu tohle s klienty řešíme denně – nastavíme pravidla, dokumentaci i technická opatření tak, aby firma zákonu vyhověla.
Zdroje a ověření
Právní stav a metodiku je dobré ověřovat přímo u NÚKIB, protože výkladové materiály se mohou měnit. Pro tento článek jsme vycházeli hlavně z Průvodce novým zákonem o kybernetické bezpečnosti, kalkulačky NÚKIB, zákona č. 264/2025 Sb., vyhlášky k regulovaným službám a prováděcích vyhlášek pro vyšší režim a nižší režim. NÚKIB také zveřejnil, že k 8. únoru 2026 evidoval 4 825 ohlášených subjektů.
Pomůžeme to nastavit
Nový kyberzákon není důvod k panice. Je to důvod udělat si pořádek. Většina povinností jsou věci, které chrání vaši firmu před reálnými hrozbami – nejen před pokutou.
My v servisu pomáháme firmám v Brně s kompletním nastavením kyberbezpečnosti. Od správy IT a počítačů přes zálohování dat a testování obnovy až po ochranu před ransomwarem a antivirovou ochranu. Uděláme bezpečnostní audit, navrhneme opatření na míru a postaráme se, aby vaše firma splnila požadavky zákona – a hlavně byla odolná proti reálným hrozbám.
Ozvěte se, sedneme si nad tím bez strašení. Jsme technici, ne úředníci.
Nechce se vám to řešit svépomocí?
Objednejte diagnostiku v Brně — cenu řekneme předem, bez vašeho souhlasu se do ničeho nepouštíme.