Rozhodnutí o registraci regulované služby od NÚKIB přišlo.
Autor: Splnit.eu, Redakce Splnit.eu
Než se pustíme do plánu, je důležité pochopit, co sazí. nZKB dává NÚKIB nástroje k sankcionování firem, které neplní povinnosti:
Nejde tedy jen o papírový soulad — jde o reputaci firmy, důvěru zákazníků a provozní schopnost.
| Fáze | Termín | Co musíte udělat |
|---|---|---|
| Okamžitě | Do 24 hodin od rozhodnutí | Zaregistrovat přijetí, nastavit upomínky |
| Fáze 0 | Do 30 dnů od rozhodnutí | Nahlásit kontaktní a doplňující údaje (§ 11 nZKB) |
| Fáze 1 | Měsíc 1–2 | Stanovit rozsah řízení KB + gap analýza |
| Fáze 2 | Měsíc 2–5 | Dokumentace a bezpečnostní politiky |
| Fáze 3 | Měsíc 3–9 | Zavádění technických opatření |
| Fáze 4 | Měsíc 8–11 | Testování, školení, doladění |
| Fáze 5 | Měsíc 12 | Připravenost na hlášení incidentů + přezkum |
**Potvrzení přijetí rozhodnutí** je formální krok, ale důležitý. Rozhodnutí o registraci je správní rozhodnutí — začíná lhůta. Ujistěte se, že víte, od jakého data lhůty běží.
**Nastavte si tři datum-upomínky do kalendáře:**
**Informujte vedení firmy.** nZKB výslovně počítá s odpovědností vedení — vedoucí osoby musejí být o povinnostech informovány a aktivně se podílet na jejich plnění. Compliance není jen záležitost IT oddělení.
Toto platí bez ohledu na to, v jaké fázi přípravy se nacházíte: pokud NÚKIB vydá výstrahu, varování nebo reaktivní protiopatření, jste povinni reagovat **ihned**. Rozhodnutí o protiopatření má okamžitý účinek bez odkladné lhůty.
Co to v praxi znamená: sledujte Portál NÚKIB (portal.nukib.gov.cz) a nastavte si e-mailové notifikace nebo RSS feed na bezpečnostní varování.
Pokud jste kontaktní údaje nenahlásili již při ohlašování regulované služby, máte na to **30 dní od doručení rozhodnutí o registraci**. Jde o:
**Proč je to důležité:** NÚKIB bez těchto údajů nemůže kontaktovat vaši firmu při incidentu, varování nebo protiopatření. Navíc jejich nenahlášení je samo o sobě porušením povinnosti.
**Praktická rada:** formulář nejde uložit rozpracovaný — mějte všechny údaje připravené před tím, než ho otevřete. Zkontrolujte si aktuální IP rozsahy, doménová jména a kontaktní osoby předem.
**Kde to udělat:** Portál NÚKIB → sekce „Chci vyřídit" → formulář Hlášení údajů.
Toto je pravděpodobně nejdůležitější rozhodnutí celého roku — a většina firem ho přeskočí nebo podcení.
**Co to znamená:** Musíte definovat, která aktiva, systémy, procesy a organizační části jsou zahrnuty do rozsahu vašeho řízení kyberbezpečnosti (tzv. ISMS scope).
**Proč záleží:** Pokud rozsah nestanovíte, zákon automaticky předpokládá, že opatření aplikujete na **veškerá aktiva celé organizace**. To je v praxi pro MSP nebo středně velkou firmu nepraktické a mnohonásobně nákladnější.
**Jak rozsah stanovit:**
Začněte od regulované služby — co je nezbytné pro její poskytování? Zahrňte:
**Co nemusí být v rozsahu:** podpůrné systémy bez přístupu k regulované službě, administrativa, marketing — pokud tyto oblasti nemají přístup k regulovaným systémům nebo datům.
**Zdokumentujte rozsah** formálně — jako interní dokument podepsaný vedením. Tento dokument je první, co NÚKIB nebo auditor při kontrole požaduje.
Gap analýza je structured přehled rozdílu mezi tím, kde jste teď, a tím, kde musíte být za 12 měsíců. Bez ní nevíte, kolik práce vás čeká — a nemůžete prioritizovat.
**Co gap analýza zjišťuje:**
Pro každé bezpečnostní opatření požadované vyhláškou (pro váš režim) určuje:
**Kolik opatření vás čeká:**
**Výsledkem gap analýzy** je prioritizovaný seznam toho, co je potřeba udělat — s odhadem náročnosti a časové náročnosti každé položky. Tento plán se pak stává základem pro fáze 2 a 3.
**Tip:** I přesto, že mnoho firem má část opatření fakticky zavedených (aktualizace systémů, zálohy, přístupy), chybí jim dokumentace. Velká část gap analýzy u MSP odhalí ne absenci opatření, ale absenci jejich záznamu.
Dokumentace není byrokracie — je to zákonný požadavek a zároveň praktický nástroj. Při incidentu, auditu nebo personální změně vám ušetří obrovské množství práce.
**Politika řízení rizik** Základní dokument. Definuje, jak vaše firma identifikuje, hodnotí a zvládá bezpečnostní rizika. Bez ní nemůžete ospravedlnit, proč jste vybrali ta konkrétní opatření, která máte.
*Co musí obsahovat:* metodiku hodnocení rizik (stupnice pravděpodobnosti a dopadu), role a odpovědnosti, frekvenci přezkumu, způsob evidence.
**Politika řízení přístupů** Definuje, kdo smí přistupovat k jakým systémům a datům, za jakých podmínek a jak se přístupy udělují, mění a odebírají.
*Proč je kritická:* neoprávněný přístup nebo přístup bývalého zaměstnance patří k nejčastějším zdrojům bezpečnostních incidentů.
*Co musí obsahovat:* princip nejmenšího oprávnění, process onboardingu a offboardingu, požadavky na MFA, správu privilegovaných účtů.
**Politika řízení dodavatelů** Popisuje, jak hodnotíte bezpečnostní způsobilost dodavatelů, jaké požadavky na ně kladete a jak smluvně ošetřujete bezpečnostní závazky.
**Politika bezpečnosti lidských zdrojů** Pokrývá bezpečnostní aspekty celého životního cyklu zaměstnance: nábor (background check tam, kde je relevantní), onboarding (školení, přístupy), práci (pravidla chování) a offboarding (odebrání přístupů, vrácení zařízení).
**Politika řízení kontinuity a obnovy po havárii** Co se stane, když klíčový systém vypadne? Kdo co dělá, jak se obnovuje provoz, jak se komunikuje zákazníkům a NÚKIB?
**Politika řízení incidentů** Postup pro detekci, klasifikaci, eskalaci, řešení a dokumentaci bezpečnostních incidentů. Tato politika přímo podmiňuje vaši schopnost plnit zákonné oznamovací lhůty.
Tři zásady, které rozlišují funkční politiky od šanonového papírování:
Technická opatření zavádějte paralelně s dokumentací, ne po ní. Začněte těmi s nejvyšším rizikovým dopadem a nejnižší náročností implementace.
Toto je nejrychlejší win — a jedno z nejúčinnějších opatření.
**Co zavést:**
**Pravidlo 3-2-1:** 3 kopie dat, na 2 různých typech médií, 1 mimo primární lokalitu (nebo offsite/cloudová záloha). Zálohy jsou k ničemu, pokud je nikdy netestujete.
**Co zavést:**
**Co zavést:**
**Co zavést:**
**Co zavést:**
Než uplyne rok, musíte být připraveni incidenty skutečně hlásit. To vyžaduje víc než mít plán napsaný — musíte ho otestovat.
**Proveďte tabletop cvičení:** Vyberte realistický scénář (ransomware, únik přihlašovacích údajů, výpadek klíčového systému) a projděte postup se všemi zodpovědnými osobami. Cílem je odhalit mezery — ne ukázat, jak dobří jste. Více o tom v článku o incident response cvičeních na tomto blogu.
**Co testovat:**
Bezpečnostní opatření selžou, pokud je zaměstnanci obcházejí — vědomě nebo nevědomě.
**Minimální obsah školení:**
**Uchovávejte záznamy** o tom, kdo byl proškolen a kdy. Tyto záznamy jsou důkaz pro NÚKIB i zákaznické auditory.
Před samotným dvanáctým měsícem si proveďte interní audit: projděte každé požadované opatření a ověřte, že je skutečně zavedené a zdokumentované, ne jen plánované.
Po uplynutí 12 měsíců od potvrzení registrace musíte plnit všechny zákonné povinnosti souběžně. To zahrnuje:
✅ Zavedená bezpečnostní opatření odpovídající vašemu režimu (nižší nebo vyšší) ✅ Aktivní hlášení kybernetických bezpečnostních incidentů (funkční proces, ne jen dokument) ✅ Aktuální bezpečnostní dokumentace a politiky ✅ Proškolení zaměstnanci se záznamy o školení ✅ Otestovaný incident response plán ✅ Pravidelné přezkumy nastaveny do kalendáře pro nadcházející rok
**Čekání na „ideální čas"** Compliance nikdy nepřijde ve vhodný moment. Čím dřív začnete, tím méně stresu v posledních měsících. Začněte gap analýzou okamžitě po obdržení rozhodnutí.
**Přeskočení stanovení rozsahu** Bez definovaného rozsahu jsou opatření zbytečně rozsáhlá a nákladná. Toto je nejdůležitější investice prvních dvou měsíců.
**Politiky bez zodpovědností** „Zálohy se dělají automaticky" nestačí. Politika musí říkat kdo, co, kdy a jak. A kdo odpovídá za to, že to funguje.
**Opatření bez testování** Zálohy, které se netestují, jsou jen falešná jistota. Incident response plán, který nikdo nezkušel, selže v nejdůležitější chvíli.
**Ignorování dodavatelů** Velká část bezpečnostních incidentů přichází přes kompromitované dodavatele. Hodnocení dodavatelů není volitelný luxus — je to zákonný požadavek pro vyšší režim a nezbytná praxe pro nižší.
Související přehled předpisu
Otevřít přehled: ZoKB / NIS2 →Splnit.eu automatizuje compliance pro NIS2, GDPR, ISO 27001 a EU AI Act. Sledujte svůj stav v reálném čase.
Začít zdarma