Přišel vám e-mail od odběratele, pro kterého děláte montáže nebo servis. V příloze je dotazník na dvacet otázek o kybernetické bezpečnosti, žádost o doložení certifikátů a věta, že bez vyplnění nebude prodloužena smlouva. Vy máte pět lidí, dodávku a účetní na dohodu.
Tenhle článek je o tom, co s tím. Bez paniky a bez toho, abyste kupovali audit za sto tisíc.
Nejdřív dobrá zpráva: zákon na vás nejspíš nedopadá
Zákon č. 264/2025 Sb. o kybernetické bezpečnosti platí od 1. listopadu 2025 a přenáší do Česka evropskou směrnici NIS2. Aby na firmu dopadl přímo, musí být splněny tři podmínky zároveň:
- Odvětví. Firma působí v jednom z regulovaných odvětví — energetika, doprava, zdravotnictví, voda, digitální infrastruktura, veřejná správa, výroba potravin, chemie a další. Truhlářství, elektroinstalace, montáže ani stavební práce mezi nimi nejsou.
- Konkrétní služba. Poskytuje službu, kterou pro dané odvětví vyjmenovává vyhláška č. 408/2025 Sb.
- Velikost. Zpravidla od 50 zaměstnanců nebo obratu nad 10 milionů eur. Mikropodniky a malé podniky zákon obvykle nereguluje.
Když nesedí byť jediná podmínka, nejste regulovaný subjekt, nemáte co ohlašovat NÚKIBu a nehrozí vám pokuty z tohoto zákona.
Výjimka existuje: úřad může určit i menší subjekt, pokud je jediným poskytovatelem služby nebo by jeho výpadek ohrozil velké množství lidí. To se běžné řemeslné firmy netýká.
Špatná zpráva: to neznamená, že dotazník můžete ignorovat
Váš odběratel regulovaný nejspíš je. A zákon mu ukládá, aby řídil rizika svého dodavatelského řetězce — tedy prověřoval dodavatele, promítal bezpečnostní požadavky do smluv a kontroloval jejich plnění.
Odběratel tím pádem nepřenáší na vás zákon. Přenáší na vás smluvní podmínku. Rozdíl je zásadní:
- Neplníte zákon → pokuta od úřadu. Tohle vám nehrozí.
- Neplníte smlouvu → odběratel s vámi nepodepíše nebo od smlouvy odstoupí. Tohle vám hrozí velmi reálně.
Jinými slovy: není to povinnost, je to podmínka obchodu. A jako každou obchodní podmínku ji lze splnit, vyjednat, nebo odmítnout.
Co dotazník obvykle chce
Formuláře se liší, ale okruhy se opakují:
- Kdo u vás odpovídá za IT a bezpečnost (může to být externí firma nebo jeden jednatel).
- Jak řešíte hesla a přístupy, jestli máte dvoufázové ověření.
- Jestli zálohujete a jestli jste obnovu někdy zkoušeli.
- Jak dlouho trvá, než nahlásíte bezpečnostní incident.
- Kdo má přístup k datům odběratele a co se s nimi stane po skončení spolupráce.
- Zda máte pojištění odpovědnosti.
- Jestli používáte subdodavatele a jak je prověřujete.
Všimněte si, že skoro nic z toho nevyžaduje certifikát. Vyžaduje to odpověď.
Jak odpovídat, když nemáte ISO ani IT oddělení
Nelžete
Tohle je jediné pravidlo, které nejde obejít. Vyplněný dotazník bývá přílohou smlouvy. Když do něj napíšete, že zálohy testujete čtvrtletně, a při incidentu se ukáže, že jste netestovali nikdy, je to nepravdivé prohlášení ve smluvním dokumentu — se vším, co z toho plyne.
Nebojte se napsat „nemáme"
Odběratel nečeká, že pětičlenná montážní firma bude mít bezpečnostní oddělení. Čeká, že se dozví pravdivý stav a bude umět odhadnout riziko. Poctivá odpověď zní třeba takhle:
Formalizovanou bezpečnostní politiku nemáme. Přístupy do systémů má jednatel a dva technici, každý pod vlastním účtem, s dvoufázovým ověřením. Zálohy notebooků jedou denně na šifrovaný disk mimo dílnu, obnovu jsme naposledy zkoušeli v květnu 2026.
Tahle odpověď je lepší než zaškrtnutá kolonka „ANO — máme zavedený ISMS", kterou nikdo neumí doložit.
Rozlišujte, co se týká vás a co odběratele
Řada otázek míří na data odběratele, ne na vaše. Když k jeho systémům nemáte přístup a jen mu montujete regály, napište to. Zúžit rozsah je legitimní odpověď — a často výrazně zkrátí zbytek formuláře.
Minimum, které stojí za zavedení
Pokud budete něco měnit, tohle je pořadí podle poměru užitku a ceny:
- Dvoufázové ověření na e-mail a banku. Zdarma, hodina práce.
- Vlastní účet pro každého člověka. Žádné sdílené přihlášení „firma/firma".
- Správce hesel místo excelu a papírků. Do dvou tisíc ročně.
- Záloha mimo dílnu a jeden test obnovy ročně. Napište si do kalendáře datum, ať máte co odpovědět.
- Jedna A4 s postupem, komu volat, když se něco stane. To je celá vaše „dokumentace" a pro tuhle velikost firmy stačí.
Za tohle utratíte řádově tisíce a odpovíte kladně na většinu otázek, které dotazník klade.
Na co si dát pozor ve smlouvě
Dotazník bývá jen začátek. V příloze smlouvy pak bývají závazky, které je potřeba přečíst dřív, než je podepíšete:
Lhůta pro hlášení incidentů. Běžně 24 nebo 48 hodin od zjištění. To je splnitelné, ale musíte vědět, komu voláte a kdo to hlásí, když jste zrovna na montáži.
Právo na audit. Odběratel si vyhrazuje kontrolu u vás. Ověřte, že je s předchozím oznámením a v pracovní době, ne kdykoliv.
Smluvní pokuty. Pokuta za pozdní hlášení incidentu ve výši, která zlikviduje firmu, je důvod k vyjednávání. Nechte si strop odvodit od hodnoty zakázky.
Přenos na vaše subdodavatele. Když si na část práce někoho najímáte, obvykle máte povinnost přenést tytéž podmínky dál. Počítejte s tím, že ten dotazník budete jednou rozesílat vy.
Kdy říct ne
Když požadavky zjevně neodpovídají tomu, co pro odběratele děláte — chce certifikaci ISO 27001 po firmě, která mu jednou ročně vymění kotel — je legitimní se ozvat a navrhnout přiměřený rozsah. Velké firmy často rozesílají jeden formulář všem dodavatelům bez rozlišení a o úpravě se dá jednat častěji, než si lidé myslí.
Rozhodnutí je nakonec obchodní, ne technické: co ta zakázka vynáší a kolik stojí podmínky, za kterých ji udržíte.
Líbil se ti článek? Napiš mi, co bys chtěl číst dál — info@ajtak.it.