Kybernetické útoky se v posledních letech staly každodenní realitou. Zasaženy jsou nejen velké nadnárodní korporace, ale i menší podniky, nemocnice, úřady nebo provozovatelé kritické infrastruktury. Aby byla Evropská unie schopna těmto hrozbám čelit, přijala v roce 2022 směrnici NIS2 (Directive (EU) 2022/2555), která zásadně zpřísňuje požadavky na kybernetickou bezpečnost v členských státech.
Od 17. října 2024 platí povinnost mít NIS2 transponovanou do národní legislativy. Firmy a organizace, které spadají do její působnosti, se musí připravit na nové povinnosti, audity i sankce. Tento článek vysvětluje, co NIS2 znamená v praxi, kdo se jí musí řídit a jaké konkrétní kroky udělat, abyste byli v souladu s pravidly a zároveň posílili vlastní bezpečnost.
Co je NIS2 a proč vznikla
Předchůdcem NIS2 byla směrnice NIS z roku 2016. Ta položila základní rámec kybernetické bezpečnosti v EU, ale ukázala se jako příliš úzká a nedostatečná.
NIS2 byla proto vytvořena s cílem:
- rozšířit okruh organizací, které spadají pod regulaci,
- harmonizovat požadavky napříč státy EU,
- zavést přísnější povinnosti a sankce,
- a posílit odolnost vůči kybernetickým hrozbám, jako jsou ransomware útoky, DDoS, zneužívání dodavatelských řetězců nebo útoky na cloudové služby.
Význam směrnice je tedy dvojí: chrání kritické služby, na kterých závisí fungování společnosti (například elektřina, voda, zdravotnictví), a zároveň nutí firmy i instituce zlepšit vlastní bezpečnostní standardy.
Kdo spadá pod NIS2
Směrnice rozlišuje dva typy organizací:
- Essential entities (zásadní subjekty) – např. energetika, doprava, banky, zdravotnictví, veřejná správa, poskytovatelé digitální infrastruktury (cloud, datacentra, DNS, TLD registry).
- Important entities (důležité subjekty) – např. poštovní služby, odpadové hospodářství, chemický a potravinářský průmysl, výroba zdravotnických prostředků, dodavatelé ICT.
Klíčové kritérium je velikost: střední a velké podniky v uvedených sektorech. Malé firmy se NIS2 obvykle netýká, pokud ale poskytují kritickou službu (např. provozují páteřní infrastrukturu), mohou být zahrnuty také.
Praktický příklad:
- Velká nemocnice → jednoznačně spadá do kategorie essential entity.
- Středně velký dopravce zajišťující regionální dopravu → important entity.
- Malá IT firma vyvíjející software → mimo rámec, pokud nedodává služby kritické infrastruktuře.
Jaké jsou hlavní povinnosti podle NIS2
1. Řízení rizik a bezpečnostní politika
Každá organizace musí zavést komplexní systém řízení kybernetických rizik. Nejde o jednorázovou aktivitu, ale o průběžný proces:
- pravidelné vyhodnocování hrozeb,
- aktualizace bezpečnostní politiky,
- stanovení odpovědných osob,
- zavedení pravidel pro přístupová práva, správu zranitelností a zálohování.
2. Hlášení incidentů
NIS2 zavádí přesně definované lhůty pro hlášení:
- Do 24 hodin – tzv. early warning: krátká zpráva, že došlo k incidentu, s popisem základních dopadů.
- Do 72 hodin – podrobnější zpráva s detailním popisem, analýzou příčin a přijatými opatřeními.
- Do 1 měsíce – závěrečná zpráva shrnující všechny informace a zkušenosti.
3. Bezpečnost dodavatelského řetězce
Organizace nesou odpovědnost nejen za sebe, ale i za své dodavatele a partnery. To znamená:
- hodnotit jejich bezpečnostní opatření,
- zahrnovat bezpečnost do smluv (SLA),
- kontrolovat jejich praxi formou auditů.
4. Odpovědnost managementu
NIS2 klade důraz na to, že vrcholové vedení (ředitelé, představenstvo) nese přímou odpovědnost za plnění povinností. Manažeři musí absolvovat školení a mohou být sankcionováni za zanedbání.
5. Technická opatření
Směrnice výslovně uvádí oblasti, které mají být zajištěny:
- vícefaktorová autentizace,
- bezpečnost sítí a systémů,
- šifrování dat,
- pravidelné testování a audity,
- plány kontinuity provozu a obnovy po havárii (BCP/DR).
Jak vypadá hlášení incidentů (šablony)
A) Rychlé oznámení (do 24 hodin)
Předmět: Early Warning – Kybernetický incident
Organizace: [název]
Datum a čas detekce: [DD/MM/RRRR, HH:MM]
Typ incidentu: [např. ransomware, DDoS, únik dat]
Stručný popis: [krátké shrnutí]
Předpokládaný dopad: [např. omezení služeb, ohrožení dat]
Kontaktní osoba: [jméno, telefon, e-mail]
B) Podrobné hlášení (do 72 hodin)
Předmět: Incident Report – 72 hodin
Organizace: [název]
Popis incidentu: [detailní informace o průběhu]
Postižené systémy: [seznam]
Dopad: [rozsah, počet uživatelů, kritické služby]
Příčina / způsob útoku: [pokud znám]
Přijatá opatření: [okamžité kroky, mitigace]
Plán dalšího postupu: [obnova, monitoring]
Kontaktní osoba: [jméno, telefon, e-mail]
C) Závěrečná zpráva (do 1 měsíce)
Obsahuje kompletní analýzu, lessons learned a plán pro prevenci opakování.
Praktický checklist pro organizace
✅ Ověřte, zda spadáte pod NIS2 (Annex I/II, velikost podniku).
✅ Určete odpovědnou osobu pro kybernetickou bezpečnost.
✅ Vypracujte bezpečnostní politiku a plán řízení rizik.
✅ Zajistěte vícefaktorovou autentizaci a správu přístupů.
✅ Zavádějte pravidelné zálohy a testujte obnovu.
✅ Vybudujte proces pro hlášení incidentů (24/72 h).
✅ Proveďte inventarizaci kritických systémů a dodavatelů.
✅ Uzavřete smluvní podmínky s dodavateli zahrnující bezpečnost.
✅ Proškolte zaměstnance a management.
✅ Připravte dokumentaci pro případný audit.
Podívejte se i na článek o whitepaperu. Najdete tam i praktický checklist pro firmy a IT týmy:
Sankce za neplnění
NIS2 dává členským státům pravomoc ukládat výrazné pokuty. Ty se mohou vyšplhat až na miliony eur, podle velikosti firmy a závažnosti porušení. Kromě finančních postihů hrozí také dočasné pozastavení činnosti, zákaz výkonu funkce pro manažery nebo povinnost přijmout nápravná opatření pod dohledem.
Nevíte jak jste na tom? Vyhněte se likvidačním sankcím. Nechte si udělat profesionální audit, zaškolit své zaměstnance nebo realizovat technická opatření.
Jak se připravit – doporučení krok za krokem
- Zjistěte, zda se vás NIS2 týká.
- Proveďte analýzu rizik a gap analysis – zjistěte, co už splňujete a co vám chybí.
- Nastavte interní procesy – hlášení incidentů, řízení přístupů, zálohování.
- Zajistěte dodavatelský řetězec – kontrolujte smlouvy a SLA.
- Vyškolte lidi – nejen IT, ale i management a běžné zaměstnance.
- Pravidelně testujte – pentesty, cvičení reakce na incident.
- Dokumentujte – vše musíte být schopni doložit při kontrole.
Nevíte jak na to? Nechte si poradit od profesionálů.
Závěr
Směrnice NIS2 není jen dalším „papírovým“ nařízením z Bruselu. Je to praktický rámec, který má zajistit, aby služby, na nichž stojí naše každodenní fungování, byly odolnější vůči kybernetickým hrozbám.
Pro firmy a instituce to znamená nové povinnosti, ale i příležitost: zvýšit vlastní bezpečnostní úroveň, získat důvěru zákazníků a minimalizovat riziko fatálních útoků.
Pokud začnete s přípravou včas a budete postupovat systematicky, může pro vás být NIS2 spíše investicí do budoucí stability než strašákem.