Máme ISO 27001. Kolik práce nám ubyde podle ZoKB?

Máme ISO 27001. Kolik práce nám ubyde podle ZoKB? 2 Nov 2026 · @Marco Certifikovaný ISMS podle ISO/IEC 27001 vám dá proti novému zákonu o kybernetické bezpečnosti náskok, ne výjimku. Politiky, role, školení, řízení přístupů, dodavatelé, zálohy i incidentní postupy se dají namapovat na českou vyhlášku, ale registraci u NÚKIB, hlášení údajů, zákonné lhůty incidentů a vlastní přehled bezpečnostních opatření certifikát nevyřeší. Krátká odpověď: ISO 27001 pomůže, ale nenahrazuje ZoKB Sám NÚKIB v důvodové zprávě k vyhlášce č. 410/2025 Sb. uvádí, že požadavky pro režim nižších povinností vycházejí z vyhlášky pro vyšší režim a z normy ISO/IEC 27001, jen kladou na povinné osoby nižší nároky. Pokud tedy máte ISMS skutečně zavedený, a ne jen certifikát v šuplíku, většinu stavebních kamenů už máte: politiky, role, evidenci školení, pravidla pro přístupy, dodavatelské požadavky, zálohování a incidentní postupy. Náskok ale neznamená náhradu. ZoKB stojí na vlastním právním režimu: firma musí posoudit, zda poskytuje regulovanou službu, ohlásit ji NÚKIB, plnit bezpečnostní opatření ve stanoveném rozsahu řízení kybernetické bezpečnosti (§ 12 ZoKB) a dodržet zákonné lhůty. Certifikát ISO/IEC 27001 není rozhodnutím o registraci, není hlášením údajů, není hlášením incidentu a není ani automatickým důkazem, že každé opatření podle české vyhlášky je splněné. Kde ISMS zpravidla zkrátí práci První praktický krok je vzít existující dokumentaci ISMS a namapovat ji na požadavky vyhlášky č. 410/2025 Sb. Vyhláška v § 3 odst. 2 požaduje, aby povinná osoba vedla přehled bezpečnostních opatření podle přílohy č. 1: u každého opatření má být patrné, zda je zavedeno, bude zavedeno, nebo zavedeno není, včetně popisu, termínů, priorit a odpovědnosti. Pokud už v ISMS vedete katalog politik, opatření, vlastníků a záznamů, nepíšete nic od nuly. Převádíte existující materiály do struktury, kterou vyhláška očekává. Nejčastější úspora bývá v těchto oblastech: • Řízení přístupů. Certifikované firmy mají proces založení účtu, změny role, pravidelného přezkumu oprávnění a zrušení přístupu při odchodu. Vyhláška požaduje přidělování práv na nezbytnou úroveň, jedinečné identifikátory, oddělení uživatelských a administrátorských účtů, pravidelné přezkoumání práv a bezodkladné odebrání nebo změnu práv při změně pozice nebo ukončení vztahu. • Školení. Výhodou je, pokud ISMS už obsahuje vstupní a pravidelná školení, evidenci účastníků a zvláštní proškolení administrátorů. Vyhláška chce pravidla rozvoje bezpečnostního povědomí, školení vrcholného vedení, uživatelů, administrátorů a osoby pověřené kybernetickou bezpečností, a k tomu přehledy o provedených školeních a seznamy školených osob. • Bezpečnostní politika a dokumentace. Vyhláška v § 3 odst. 3 chce stanovenou a schválenou bezpečnostní politiku a dokumentaci ke všem požadovaným opatřením. To je přesně to, co ISMS už má; stačí ověřit, že pokrývá regulovanou službu, a doplnit odkazy na konkrétní paragrafy vyhlášky. Dodavatelé, zálohy a incidenty: dobrý základ, ale nutná kontrola detailu Dodavatelé. ISMS pomůže, pokud už máte bezpečnostní požadavky ve smlouvách, schvalování výjimek a hodnocení rizik dodavatelů. Vyhláška ale chce, aby se u smluv ve stanoveném rozsahu zohlednily hrozby a zranitelnosti spojené s dodavatelem i kvalita jeho produktů a postupů v kybernetické bezpečnosti a aby smlouvy obsahovaly ujednání podle přílohy vyhlášky. Ta výslovně uvádí důvěrnost, integritu a dostupnost informací, audit dodavatele, řetězení dodavatelů, exit strategii, incidenty, kontinuitu, SLA a bezpečný vývoj. Projděte smluvní vzory položku po položce; obecná klauzule o mlčenlivosti nestačí. Zálohy a kontinuita. Mnoho certifikovaných firem má postupy obnovy, testy záloh a odpovědnosti. Pro ZoKB je potřeba ověřit, že dokumentace pokrývá právě regulovanou službu a aktiva ve stanoveném rozsahu. Vyhláška požaduje stanovení priority technických aktiv, pořadí a postupů obnovy, odpovědnosti konkrétních osob a pravidelné zálohy informací, dat, konfigurací a nastavení technických aktiv potřebných pro obnovu regulované služby po incidentu. Incidenty. Obecný incident response plan nestačí. Vyhláška chce, aby uživatelé, administrátoři, osoba pověřená kybernetickou bezpečností a další zaměstnanci oznamovali neobvyklé chování a podezření na zranitelnosti, aby existovala metodika posuzování událostí a incidentů včetně významnosti dopadu (v nižším režimu si významnost posuzuje povinná osoba sama podle § 14 vyhlášky) a aby byly zajištěny kroky k hlášení incidentu s významným dopadem a k závěrečné zprávě. Právě tady se ISMS a ZoKB nejčastěji rozcházejí: norma chce proces, zákon chce konkrétní úkon v konkrétní lhůtě vůči konkrétnímu úřadu. Co ISO certifikace nenahradí vůbec Čtyři věci řeší jen zákon a žádný auditor je za vás neudělá: Povinnost Co zákon chce Lhůta Registrace regulované služby (§ 6 ZoKB) Ohlásit službu NÚKIB přes Portál NÚKIB; registrace vzniká rozhodnutím Úřadu, ne certifikátem 60 dnů od splnění podmínek Hlášení kontaktních a doplňujících údajů (§ 11 ZoKB) Kontaktní osoby, vlastnická struktura, technické údaje, přeshraniční poskytování 30 dnů od doručení rozhodnutí o registraci; změny vybraných údajů do 14 dnů Hlášení incidentů (§ 15–16 ZoKB) V nižším režimu hlásit incidenty s významným dopadem Národnímu CERT; prvotní hlášení, oznámení, průběžné zprávy na výzvu, závěrečná zpráva Prvotní hlášení do 24 h od zjištění, oznámení do 72 h, závěrečná zpráva do 30 dnů od oznámení (nebo po vyřešení, pokud incident trvá) Začátek povinnosti hlásit Přechodná lhůta po registraci Nejpozději 1 rok od doručení rozhodnutí o registraci Všechny tyto úkony se provádějí přes Portál NÚKIB, ledaže zákon připouští náhradní postup. Registrační lhůty a postup v portálu rozebíráme podrobně v článku Registrace u NÚKIB podle nového ZoKB; tady jen připomínáme, že certifikát ISO v žádném z těchto kroků nefiguruje. Praktický postup pro certifikovanou firmu Neptejte se, zda „ISO splňuje ZoKB“, ale co už umíte doložit proti českému požadavku. Vezměte rozsah regulované služby, seznam aktiv a přehled opatření podle vyhlášky. Ke každému požadavku přiřaďte existující politiku, směrnici, záznam, smluvní vzor, školení, kontrolní mechanismus nebo plán doplnění. NÚKIB v březnu 2026 zveřejnil na svém portálu Manuál pro poskytovatele regulovaných služeb v režimu nižších povinností; jeho přílohou je vzorový přehled bezpečnostních opatření. Použijte ho jako cílovou strukturu mapovací tabulky, ať nevymýšlíte vlastní formát, který by kontrola musela teprve číst. 1. Připravte mapovací tabulku: požadavek vyhlášky → existující důkaz v ISMS → mezera → odpovědná osoba → termín. 2. Zvlášť ověřte registraci, kontaktní údaje, incidentní lhůty a přístup do Portálu NÚKIB. Ty certifikát neřeší. 3. Nepředkládejte certifikát jako „splněno“. Použijte ho jako vodítko k důkazům a jako vstup do přehledu opatření. 4. Zaveďte periodickou kontrolu přehledu opatření a rozsahu služby, aby po audit ISMS nezůstal přehled podle vyhlášky zastaralý. Výsledkem by měl být auditovatelný balíček pro český režim: kdo je odpovědný, jaký je stav každého opatření, kde je důkaz, kdy bude mezera odstraněna a jak se vyhodnocuje účinnost. NÚKIB vykonává kontrolu plnění povinností podle zákona a prováděcích vyhlášek; pokud zjistí nedostatky, může uložit jejich odstranění a oznámení provedení nápravného opatření. Dobře vedený ISMS tedy reálně snižuje práci: méně psaní od nuly, více mapování, zpřesňování rozsahu a doplňování českých formalit. Nešetří ale práci tam, kde zákon vyžaduje konkrétní úkon vůči NÚKIB nebo Národnímu CERT, konkrétní lhůtu nebo konkrétní evidenci podle české vyhlášky. Zdroje k ověření Před schválením ověřte každý zdroj proti odkazu. 1. Zákon č. 264/2025 Sb., o kybernetické bezpečnosti — § 6 (ohlášení), § 11 (hlášení údajů), § 12 (rozsah řízení), § 15–16 (incidenty) 2. Vyhláška č. 410/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu nižších povinností — § 3 odst. 2 a 3, § 14, příloha č. 1 3. NÚKIB: Důvodová zpráva k vyhlášce č. 410/2025 Sb. 4. NÚKIB: Manuál pro poskytovatele regulovaných služeb v režimu nižších povinností, verze 1 (březen 2026) 5. NÚKIB: Podpůrný materiál – Hlášení incidentů (říjen 2025) 6. NÚKIB: Přednáška k vyhlášce č. 410/2025 Sb. (přechodná lhůta 1 rok) Tento text je pracovní návrh pro orientaci a nenahrazuje právní posouzení konkrétní služby.