Multi-regulace9 min24. května 2026

Tři předpisy, jedna firma: jak zvládnout NIS2, GDPR a EU AI Act najednou

Přišel bezpečnostní dotazník od potenciálního enterprise zákazníka.

Autor: Splnit.eu, Redakce Splnit.eu

O čem každý předpis je — v jedné minutě

Než se pustíme do průniků, rychlé shrnutí toho, co každý předpis řeší:

nZKB (Nový zákon o kybernetické bezpečnosti, zákon č. 264/2025 Sb.) — česká implementace NIS2

Zákon chráí sítě, informační systémy a digitální infrastrukturu. Zaměřuje se na firmy, které poskytují tzv. regulované služby — tedy služby, jejichž výpadek nebo narušení by mělo závažný dopad na ekonomiku, společnost nebo veřejnou správu. Patří sem poskytovatelé cloudových služeb, správci sítí, MSP, ale i subjekty z energetiky, zdravotnictví nebo dopravy.

Kde se předpisy překrývají: mapa průniků

Největší efektivita v compliance přichází z toho, že poznáte, kde předpisy sdílejí společné požadavky. Pak je řešíte jednou — ne třikrát.

1. Řízení rizik

Všechny tři předpisy vyžadují, abyste rizika systematicky identifikovali, hodnotili a řídili. Liší se jen „čočka", přes kterou na rizika nahlížíte:

**Řešení:** Veďte jeden registr rizik s více sloupci. Ke každému identifikovanému riziku přiřaďte, který předpis se ho týká a jaká opatření ho snižují. Nedělejte tři oddělené analýzy — to je zdroj chyb a plýtvání časem.

**GDPR:** Riziko pro práva a svobody fyzických osob (únik dat, neoprávněný přístup k osobním datům)
**nZKB:** Riziko pro dostupnost, důvěrnost a integritu sítí a systémů (kybernetický útok, výpadek)
**EU AI Act:** Riziko spojené s chováním AI systému (diskriminace, chybné rozhodnutí, bezpečnostní zranitelnost)

2. Dokumentace a interní politiky

Každý předpis vyžaduje určitou formu dokumentace, která dokazuje, že víte, co děláte:

**Řešení:** Vytvořte jedno sdílené úložiště interních předpisů. Bezpečnostní politika (nZKB) a politika ochrany osobních údajů (GDPR) jsou sice oddělené dokumenty, ale sdílejí společné sekce — definice, rozsah, odpovědnosti, přezkoumání. Použijte šablony, které tyto průniky reflektují.

**GDPR:** Záznamy o zpracovatelských činnostech (ROPA), smlouvy se zpracovateli (DPA), záznamy o incidentech
**nZKB:** Bezpečnostní politiky, přehled aktiv, dokumentace rozsahu řízení kyberbezpečnosti
**EU AI Act:** Technická dokumentace AI systémů, záznamy o použití u nasazovatelů systémů vysokého rizika

3. Hlášení incidentů — tři hodiny, jeden incident

Toto je oblast, kde nepozornost může mít nejrychlejší a nejbolestnější důsledky:

Skutečný kybernetický útok, při němž dojde k úniku zákaznických dat zpracovávaných AI systémem, může spustit všechny tři oznamovací povinnosti najednou — s různými lhůtami a různými příjemci. Bez předem připraveného plánu je prakticky nemožné zvládnout to v čase.

**Řešení:** Napište jeden incident response plán, který výslovně adresuje všechny tři předpisy. Pro každý typ incidentu definujte: kdo rozhoduje, kdo hlásí, komu, v jaké lhůtě a co se sděluje zákazníkům. Viz také článek o tabletop cvičeních na tomto blogu.

Předpis: GDPR | Co hlásit: Porušení zabezpečení osobních dat | Komu: ÚOOÚ | Do kdy: 72 hodin od zjištění
Předpis: nZKB | Co hlásit: Kybernetický bezpečnostní incident | Komu: NÚKIB (vyšší režim) nebo Národní CERT (nižší režim) | Do kdy: 24 hodin od zjištění
Předpis: EU AI Act | Co hlásit: Závažný incident nebo závažné selhání systému (pro poskytovatele systémů vysokého rizika) | Komu: Národní tržební dozorový orgán | Do kdy: Bez zbytečného odkladu

4. Správa dodavatelů

Ani jeden z předpisů vás neomlouvá, pokud za problém může váš dodavatel:

**Řešení:** Veďte jeden vendor seznam s více sloupci. Pro každého dodavatele označte: zda zpracovává osobní data (GDPR → DPA), zda je bezpečnostně významný (nZKB → hodnocení), zda poskytuje AI funkce (EU AI Act → riziková klasifikace).

**GDPR:** Musíte mít uzavřenou DPA (smlouvu o zpracování osobních údajů) s každým subjektem, který zpracovává osobní data vaším jménem.
**nZKB:** Bezpečnostně významní dodavatelé musejí být hodnoceni z pohledu kybernetické bezpečnosti.
**EU AI Act:** Pokud používáte AI systém třetí strany, musíte mít k dispozici jeho technickou dokumentaci a vědět, do jaké rizikové kategorie spadá.

5. Školení zaměstnanců

Všechny tři předpisy předpokládají, že zaměstnanci vědí, jak se chovat bezpečně a v souladu s pravidly:

**Řešení:** Jedno roční školení pokrývající všechny tři oblasti je lepší než tři oddělené akce. Záznamy o školení jsou důkaz pro všechny tři regulace.

GDPR vyžaduje školení o ochraně osobních dat
nZKB vyžaduje bezpečnostní školení jako součást politiky bezpečnosti lidských zdrojů
EU AI Act vyžaduje, aby nasazovatelé systémů vysokého rizika zajistili odpovídající AI gramotnost obsluhy

Praktický postup: kde začít, když musíte řešit všechny tři

Krok 1: Inventura — jeden dokument, tři sekce

Než začnete cokoli řešit, potřebujete vědět, co máte. Proveďte inventuru:

**Sekce A — Data (GDPR):** Jaká osobní data zpracováváte? Kde jsou uložena? Kdo k nim má přístup? Kdo jsou vaši zpracovatelé?

**Sekce B — Systémy a sítě (nZKB):** Jaké IT systémy a sítě provozujete nebo spravujete? Které z nich jsou součástí regulované služby? Kteří dodavatelé mají přístup?

**Sekce C — AI nástroje (EU AI Act):** Jaké AI nástroje nebo funkce vaše firma používá nebo nabízí? Do jaké rizikové kategorie spadají? Ovlivňují rozhodnutí o lidech?

Krok 2: Registr rizik — jeden, průřezový

Ke každému riziku v registru přiřaďte relevantní regulaci (GDPR / nZKB / EU AI Act nebo jejich kombinaci). Opatření ke snížení rizika pak navrhujte s ohledem na všechny dotčené předpisy — ne izolovaně.

Krok 3: Prioritizujte podle termínů a sankcí

Pokud máte od NÚKIB rozhodnutí o registraci, máte zákonné lhůty (30 dní na kontaktní údaje, 12 měsíců na opatření). Ty jsou závaznější než obecné GDPR nebo AI Act povinnosti bez konkrétního deadline. Začněte tedy nZKB — a průběžně integrujte GDPR a AI Act.

Krok 4: Sdílená dokumentační páteř

Vytvořte sadu základních dokumentů, které slouží pro více předpisů:

Dokument: Registr aktiv (data, systémy, AI nástroje) | Slouží pro: GDPR + nZKB + EU AI Act
Dokument: Registr rizik | Slouží pro: GDPR + nZKB + EU AI Act
Dokument: Vendor seznam s kategorizací | Slouží pro: GDPR + nZKB + EU AI Act
Dokument: Incident response plán | Slouží pro: GDPR + nZKB + EU AI Act
Dokument: Politika školení zaměstnanců | Slouží pro: GDPR + nZKB + EU AI Act
Dokument: ROPA | Slouží pro: GDPR
Dokument: Bezpečnostní politiky | Slouží pro: nZKB
Dokument: AI systémová dokumentace | Slouží pro: EU AI Act

Krok 5: Jeden přezkum ročně — nebo po každé změně

Každá změna ve firmě — nový dodavatel, nový AI nástroj, nová funkce produktu, nový typ zákazníka — může mít dopad na soulad se všemi třemi předpisy. Nastavte interní proces: před každou větší změnou se ptejte, zda ovlivňuje GDPR, nZKB nebo AI Act soulad.

Tři předpisy, jedna firma: jak zvládnout NIS2, GDPR a EU AI Act najednou

O čem každý předpis je — v jedné minutě

nZKB (Nový zákon o kybernetické bezpečnosti, zákon č. 264/2025 Sb.) — česká implementace NIS2

GDPR (Obecné nařízení o ochraně osobních údajů, nařízení EU 2016/679)

EU AI Act (Nařízení EU 2024/1689)

Koho se týkají všechny tři najednou?