Směrnice NIS2 je v Česku transponovaná zákonem č. 264/2025 Sb. o kybernetické bezpečnosti, účinným od 1. listopadu 2025. Povinnosti dopadají na firmy ve vybraných odvětvích zpravidla od 50 zaměstnanců nebo obratu nad 10 milionů eur; podle NÚKIBu jde o víc než šest tisíc organizací. Většina dodavatelů auditů ti řekne, že potřebuješ projekt za 200 tisíc plus měsíční retainer. Většinou to není pravda — záleží, do jaké regulatorní kategorie spadáš a jakou IT infrastrukturu provozuješ.
Tohle je praktický průvodce pro firmy do 250 zaměstnanců. Nejde o právní rozbor — jde o konkrétní seznam, co reálně musíš zajistit a v jakém pořadí.
Spadáš do NIS2 vůbec?
Krátký rozhodovací strom:
- Sektor: Energetika, doprava, distribuce, zdravotnictví, voda, finanční služby, digitální infrastruktura, veřejná správa, výroba potravin, chemie, výzkum, poskytovatelé digitálních služeb (e-commerce, cloud, search), poštovní a kurýrní služby, odpadové hospodářství.
- Velikost: 50+ zaměstnanců nebo roční obrat 10M+ EUR.
- Kategorie: „Essential" (energetika, doprava, banky…) má přísnější režim. „Important" (potraviny, výroba, e-commerce) má volnější.
Pokud spadáš, musíš se ohlásit NÚKIBu přes jeho portál, a to do 60 dnů od chvíle, kdy podmínky splníš (kdo je splňoval už k 1. 11. 2025, měl ohlásit do 31. 12. 2025 — do konce roku to stihlo přes 4 800 organizací). Když ne, máš to za sebou — ale i tak NIS2 baseline je rozumný benchmark.
Co reálně NIS2 chce
Konkrétní regulované služby vyjmenovává vyhláška č. 408/2025 Sb.; bezpečnostní opatření se dělí na pět hlavních oblastí:
1. Řízení rizik kybernetické bezpečnosti
Mít risk register. Konkrétní seznam: aktiva → hrozby → opatření → reziduální riziko. Excel stačí, pokud ho udržuješ.
2. Provozní bezpečnost
- Patch management (security updates do 30 dní, kritické do 72 hodin)
- Backup s testem obnovy alespoň 1× ročně
- Segmentace sítě (VLAN minimálně mezi IT a OT, mezi public a internal)
- Logging s retention 6+ měsíců
3. Identity & access management
- MFA pro všechny privilegované účty (admini, externí dodavatelé)
- Princip nejmenších privilegií — žádný „domain admin" pro denní práci
- Off-boarding procedura (kdy se ruší přístupy bývalých zaměstnanců)
4. Incident response
- Plan kdo dělá co při incidentu
- Reporting NÚKIB do 24 hodin (early warning), 72 hodin (notification), 1 měsíc (final report)
- Komunikace s klienty a partnery (template emailů připravený dopředu)
5. Dodavatelský řetězec
- Soupis dodavatelů s přístupem do tvé infrastruktury
- Smluvní povinnosti dodavatelů (NIS2 compliance, breach notification, audit right)
Co NIS2 NECHCE (a marketing tvrdí, že jo)
- ISO 27001 certifikaci. Pomáhá, ale není povinná.
- Penetrační testy 4× ročně. Pen test 1× ročně + průběžné skenování stačí.
- Dedikovaného CISO. Stačí „odpovědná osoba" — může to být IT manažer.
- EDR od konkrétního vendora. Stačí, aby endpointy měly basic ochranu, monitoring a možnost incident response.
Praktický postup pro firmu do 100 zaměstnanců
Reálný 4-měsíční plán, který používám u klientů:
Měsíc 1 — Audit současného stavu
- Gap analýza podle vyhlášky NÚKIB
- Risk register (kritické aktiva, threat modeling)
- Inventář dodavatelů a přístupů
Měsíc 2 — Quick wins
- MFA pro všechny privilegované účty
- Patch management proces (Ansible / Intune / WSUS)
- Backup 3-2-1 s testem obnovy
- Logging do centrálního SIEM (Loki, Wazuh, ELK)
Měsíc 3 — Procesy & dokumentace
- Incident response runbook (kdo, co, kdy)
- Komunikační template pro NÚKIB notifikaci
- Smluvní dodatky pro dodavatele
- BYOD / password / data classification policy
Měsíc 4 — Validace & registrace
- Externí pen test
- Tabletop exercise (simulace incidentu)
- Registrace u NÚKIB
- Předání dokumentace odpovědné osobě
Cena pro středně složitou firmu (50–100 lidí, mix on-prem + cloud): typicky 80–180 tisíc za celý projekt + měsíční podpora po dokončení.
Závěr
NIS2 je výrazně přátelštější, než ho marketing prezentuje. Pokud máš základní IT hygienu (patch, MFA, backup, segmentace, logging), 80 % požadavků už splňuješ — jen to potřebuješ napsat na papír a doplnit chybějících 20 %.
Pokud chceš konkrétně: napiš mi a po krátkém audit hovoru (zdarma, 30 min) ti řeknu, co reálně potřebuješ. Bez retaineru, bez PowerPointu.
Aktualizováno 17. 8. 2026: doplněna čísla předpisů a lhůty poté, co zákon č. 264/2025 Sb. nabyl účinnosti. Pokud řešíte dotazník od odběratele a sami do regulace nespadáte, je pro vás praktičtější text Přišel vám dotazník k NIS2?
Líbil se ti článek? Napiš mi, co bys chtěl číst dál — info@ajtak.it.