Kontrola připravenosti na NIS2
Zjistěte, co vám chybí podle zákona o kybernetické bezpečnosti a vyhlášky č. 410/2025 Sb. pro režim nižších povinností. Zdarma, s odkazy na paragrafy a bez odesílání odpovědí.
Odpovědi zůstávají ve vašem prohlížeči. Nikam je neodesíláme.
Řízení a dokumentace
Lidé a školení
Dodavatelé
Obnova a incidenty
Technická opatření
Opatření z § 7–9 a § 11–13 vyhlášky můžete výjimečně nezavést, pokud to v přehledu bezpečnostních opatření řádně odůvodníte. Ostatní opatření v této kontrole jsou povinné minimum.
Spočítáme, do kdy musíte opatření zavést.
Zodpovězeno 0 z 28
Co kontrola pokrývá
Kontrola prochází minimum, které pro režim nižších povinností stanoví vyhláška č. 410/2025 Sb., a evidenci aktiv podle § 12 zákona č. 264/2025 Sb. U každé otázky uvádíme paragraf, abyste požadavek snadno dohledali v textu předpisu.
Vyhláška rozlišuje dva druhy opatření:
- Povinné minimum – § 3 odst. 2 až 6 a § 4, 5, 6 a 10: řízení, dokumentace, školení, dodavatelé, obnova a řešení incidentů. Tato opatření musíte zavést vždy.
- Technická opatření – § 7 až 9 a § 11 až 13: přístupy, vícefaktorové ověřování a hesla, zaznamenávání událostí, síť, aktualizace a skenování zranitelností, kryptografie. Pokud některé z nich zatím nezavedete, musíte to v přehledu bezpečnostních opatření řádně odůvodnit.
Jak číst výsledek
Výsledek neobsahuje procento souladu. Počet splněných otázek neříká, jak dobře opatření fungují, a soulad může posoudit jen kontrola skutečného stavu.
- Povinné minimum: chybí nebo je zavedeno jen částečně – mezery, které nelze nahradit odůvodněním. Začněte jimi.
- Technická opatření: zavést, nebo odůvodnit – každé takové opatření zaveďte, nebo ho v přehledu uveďte jako „V procesu“ s termínem, prioritou a odpovědnou osobou, případně jako „Nezavedeno“ s odůvodněním.
- Zjistěte – otázky, na které jste odpověděli „Nevím“ nebo je přeskočili. Dokud to neověříte, berte je jako chybějící.
Lhůty podle zákona
- Ohlášení regulované služby – nejpozději do 60 dnů ode dne, kdy začnete splňovat podmínky (§ 6 zákona).
- Kontaktní a doplňující údaje – do 30 dnů od doručení rozhodnutí o registraci, změny do 14 dnů (§ 11 zákona).
- Zavedení bezpečnostních opatření – nejpozději do 1 roku ode dne doručení rozhodnutí o registraci (§ 13 odst. 4 zákona). Ve stejné lhůtě začíná povinnost hlásit incidenty (§ 15 odst. 4).
- Hlášení významného incidentu – Národnímu CERT do 24 hodin od zjištění, oznámení do 72 hodin a závěrečná zpráva do 30 dnů od oznámení (§ 16 zákona).
Co kontrola neříká
- Nejde o právní poradenství ani o osvědčení souladu. Závazný je text zákona a vyhlášky.
- Neověřuje, jak dobře opatření fungují v praxi. Odpovídáte sami a výsledek je jen tak přesný jako vaše odpovědi.
- Režim vyšších povinností (vyhláška č. 409/2025 Sb.) vyžaduje víc, například hodnocení rizik, audit a penetrační testy.
- Odpovědi ukládáme jen ve vašem prohlížeči, abyste se ke kontrole mohli vrátit. Nikam je neodesíláme a smažete je tlačítkem Smazat odpovědi.
Časté otázky
Musíme v režimu nižších povinností dělat penetrační testy?
Vyhláška č. 410/2025 Sb. penetrační testy nevyžaduje. Požaduje pravidelné skenování zranitelností (§ 12 písm. c)), pokud ho v přehledu bezpečnostních opatření neodůvodníte. V režimu vyšších povinností jsou penetrační testy z vnitřní i vnější sítě povinné alespoň jednou za 2 roky (§ 24 odst. 5 vyhlášky č. 409/2025 Sb.).
Jak často musí být školení?
Vyhláška interval neurčuje. Vyžaduje vstupní i pravidelná školení pro vedení, uživatele a administrátory a záznamy o nich (§ 5). NÚKIB v důvodové zprávě doporučuje školit alespoň jednou ročně.
Můžeme některé opatření nezavést?
Jen technická opatření z § 7 až 9 a § 11 až 13, a to s odůvodněním v přehledu bezpečnostních opatření. Pokud je plánujete zavést později, uveďte je jako „V procesu“ s termínem, prioritou a odpovědnou osobou. Povinné minimum nahradit nelze.
Jaké hrozí pokuty?
V režimu nižších povinností až 175 milionů Kč nebo 1,4 % celosvětového ročního obratu, podle toho, co je vyšší (§ 59 zákona). Za neohlášení regulované služby až 250 milionů Kč nebo 2 % obratu (§ 60).
Byli jsme regulovaní už podle starého zákona. Platí pro nás stejné lhůty?
Podle přechodných ustanovení (§ 71 zákona) plníte dosavadní povinnosti v rozsahu povinností režimu nižších povinností až do uplynutí nových lhůt. Incidenty ale hlásíte novým způsobem už od doručení rozhodnutí o registraci.
Potřebujete pomoc s doplněním mezer?
Pomůžeme se školením vedení i zaměstnanců a penetračním testem ověříme zabezpečení vašich systémů.
Ozvěte se námChystáte školení pro tým?
Školení kyberbezpečnosti pro zaměstnance