Podpis, kterým jeden maraton končí a další začínají
Oficiální tisková zpráva Hradu z 26. června 2025 potvrzuje podpis zákona – zdroj.
Ve středu 26. června 2025 dorazila z Pražského hradu krátká, ale zásadní zpráva: prezident republiky svým podpisem završil legislativní cestu nového zákona o kybernetické bezpečnosti. Po roce a půl debat, pozměňovacích návrhů a dvou kolech hlasování v Parlamentu tak Česká republika oficiálně přejímá evropskou směrnici NIS2 do svého právního řádu.
Za normálních okolností by šlo o rutinní podpis. Tentokrát však jde o zákon, který se dotkne tisíců organizací – podle odhadů NÚKIB až 12 000. Poskytovatelé cloudových služeb, regionální nemocnice i středně velké výrobní podniky – všichni budou muset doložit, že mají kybernetickou odolnost pod kontrolou.
Co bude dál v legislativním kalendáři
Než se nový předpis skutečně „zapíše do života“, čekají nás ještě dvě formality. Nejprve se text objeví ve Sbírce zákonů – očekává se první polovina července. Tím odstartuje dvouměsíční vacatio legis – období, kdy už je zákon vyhlášen, ale ještě se neuplatňuje, aby měly organizace čas se připravit. Účinnost tedy připadá na 1. října 2025. Firma, která spadá pod regulaci, tak má nejvyšší čas na to, aby:
- zjistila, zda patří do kategorie základní nebo důležitý subjekt,
- zmapovala své největší slabiny,
- sestavila plán, jak se těchto slabin postupně zbavit.
Dlouhá léta se říká, že kyberbezpečnost je běh na dlouhou trať. Teď k němu přibyla i startovní čára a poplašňák.
Kde zákon zpřísňuje pravidla
Základní směrnice NIS2 má šestnáct článků; český ZoKB je rozpracovává do více než stovky paragrafů. Tři oblasti budou pro většinu firem nové nebo zásadně přísnější:
Dodavatelský řetězec
Povinnost hodnotit rizika u klíčových dodavatelů se přesouvá z manažerského doporučení na zákonný požadavek. V praxi to znamená, že smlouva s outsourcerem IT nebo výrobní linkou musí obsahovat jasné bezpečnostní parametry a dohodu o úrovni poskytované služby.
Osobní odpovědnost vedení
Zákon výslovně říká, že členové statutárního orgánu nesou přímou odpovědnost za plnění povinností. Přeloženo: pokud by vedení opakovaně ignorovalo bezpečnostní rizika, hrozí mu zákaz výkonu funkce až na tři roky.
Sankce inspirované GDPR
Horní hranice pokut dosahuje 10 mil. EUR nebo 2 % z globálního obratu – použije se vyšší z obou hodnot. Bič tak míří nejen na technologické kolosy, ale dokáže citelně zasáhnout i menší výrobní či logistické firmy.
Co to znamená pro podniky v praxi
„ZoKB přesouvá kyberbezpečnost z IT sklepení na úroveň představenstva.“ – komentář NÚKIB při zveřejnění finálního znění zákona
Rychlý rozcestník povinností
Oblast
Nová povinnost
Časová lhůta
Registrace u NÚKIB
Oznámení do 60 dnů od splnění kritérií
Ihned po účinnosti
Incident reporting
Prvotní hlášení do 24 h (kontaktní místo CSIRT/NÚKIB, min. údaje: čas zjištění, popis, předběžný dopad), upřesnění do 72 h
Trvale
Inventura aktiv
Vést a aktualizovat seznam IT/OT systémů a procesů
Do 12 měsíců
Hodnocení dodavatelů
Analyzovat rizika u klíčových dodavatelů (dotazník + smluvní SLA)
Do 12 měsíců
ISMS / řízení rizik
Zavést proces PDCA, pravidelné audity
Do 12 měsíců
Jak to zvládnout v terénu
- Zjistěte, jestli jste na seznamu. Potřebujete znát odvětví, počet zaměstnanců a obrat či bilanční sumu. Kraita nabízí bezplatný nástroj pro takové ověření.
- Začněte inventurou. Bez seznamu kritických aktiv, dat a procesů nelze nastavit ochranná opatření.
- Postavte „minimální ISMS“. Certifikaci ISO 27001 můžete řešit později (nebo vůbec ne); nyní musíte prokázat proces PDCA, kontrolu přístupů a plán obnovy.
- Vyřešte quick wins. MFA na administrátorské účty, nějaké to zálohování a centrální logování zvládnete do týdne a zásadně tím snížíte riziko. (Pozn.: Opravdu rozumné zálohování pak vyžaduje další hardware a software, o místě pro testování záloh nemluvě.)
Kraita jako záchytné lano v číslech
Funkce Kraity
Pmožná bezpečnostních opatření?řidaná hodnota
Kolik času zabere
Kraita Cyber One demo
Okamžité zařazení a právní režim
< 10 min
GAP analýza
Automatický audit vůči zákonu
1 den místo 2 týdnů
Dashboard souladu
Online přehled plnění povinností
Trvalý monitoring
Incident Manager
Šablona hlášení NÚKIB + workflow
30 min místo 4 h
S Kraitou se z maratonu stává půlmaraton – a běží se v rozumném tempu.
Závěrečné doporučení
- Nepodceňujte startovní analýzu. Nejprve zjistěte slabá místa, pak investujte do bezpečnostních opatření.
- Zapojte vedení hned na začátku. Board nese nově hmotnou odpovědnost – a uvolňuje zdroje.
- Zaměřte se na lidi. Většina incidentů začíná phishingem, nikoli selháním firewallu.
- Neodkládejte implementaci. Tři měsíce utečou rychle; co nestihnete do října, prověří NÚKIB.
Chcete mít jasno, co přesně na vás dopadne? Vyzkoušejte demo Kraita Cyber One a získejte detailní GAP analýzu do 24 hodin.
Odkaz na demo: https://www.kraita.io/