Nejčastěji kladené otázky o NIS2 a KSC v České republice (FAQ 2026)

Lhůta sebeidentifikace vypršíá 3. října 2026 — přesně 6 měsíců od dne nabytí účinnosti zákona. Do tohoto data musí každý subjekt podléhající KSC:

1. Posoudit, zda splňuje kritéria kriticky důležité nebo důležité entity
2. Zaregistrovat se v příslušném rejstříku spravovaném příslušným sektorovým orgánem
3. Jmenovat osobu odpovědnou za kybernetickou bezpečnost

Absence registrace do 3. října 2026 může vést k sankci.

Plná technická shoda (zavedená opatření řízení rizik, postupy, ISMS) je vyžadována do 3. dubna 2027 — rok od nabytí účinnosti zákona. Externí audit kybernetické bezpečnosti pro kriticky důležité entity je vyžadován do 3. dubna 2028.

Zákon vyžaduje jmenování osoby nebo týmu odpovědného za řízení kybernetické bezpečnosti. Nemusí to být fulltime CISO — může to být:

• Interní IT pracovník s rozšířenými povinnostmi
• Externí konzultant nebo servisní firma (MSSP)
• Ředitel nebo vedoucí v případě malých důležitých entit

Klíčové je formální jmenování této role v dokumentaci a její skutečné plnění.

KSC vyžaduje třístupňové hlášení bezpečnostních incidentů v kybernetice:

• 24 hodin od odhalení: brzké varování regulačnímu orgánu (NÚKIB nebo sektorový regulační orgán)
• 72 hodin od odhalení: úplné hlášení incidentu s posouzením jeho dopadu
• 1 měsíc od odhalení: podrobná závěrečná zpráva s analýzou příčin a přijatými opatřeními

Hlášení se týká pouze závažných incidentů mající podstatný vliv na kontinuitu služeb — ne každého bezpečnostního upozornění.

Článek 21 směrnice NIS2 (implementovaný prostřednictvím KSC) vyžaduje nejméně:

1. Politiky analýzy rizik a bezpečnosti informačních systémů
2. Postupy zpracování bezpečnostních incidentů (detekce, hlášení, reagování)
3. Řízení kontinuity provozu (zálohování, obnova po havárii, krizové řízení)
4. Bezpečnost dodavatelského řetězce (posouzení dodavatelů a partnerů)
5. Bezpečnost nákupu, vývoje a údržby sítě a systémů
6. Politiky a postupy posouzení účinnosti opatření řízení rizik
7. Základní postupy kybernetické hygieny a školení
8. Politiky a postupy týkající se kryptografie a šifrování
9. Bezpečnost lidských zdrojů, kontrola přístupu, řízení majetku
10. Uplatňování vícefaktorového ověřování (MFA) nebo SSO

Nástroje ISMS pokrývají všechny tyto požadavky — porovnej nástroje →

Zcela mě nezvalňuje, ale výrazně usnadňuje splnění požadavků. ISO 27001 a KSC/NIS2 mají překrývající se rozsah — odhaduje se, že firma s certifikátem ISO 27001 splňuje přibližně 80-85 % technických požadavků KSC.

Zbývajících 15-20 % jsou prvky specifické pro NIS2: postupy hlášení incidentů veřejným orgánům, posouzení bezpečnosti dodavatelského řetězce podle kritérií KSC, registrace v rejstříku subjektů. Posedání ISO 27001 však může zmírnit pokuty a je pozitivně hodnoceno regulačními orgány.

Není žádný právní požadavek na nákup konkrétního softwaru. KSC vyžaduje splnění technických a procedurálních požadavků — neurčuje, jak firma tyto procesy bude řídit.

V praxi si velké firmy (kriticky důležité entity) budou potřebovat nástroj GRC na správu dokumentace, důkazů a monitorování — ruční správa je nerealistická pro 50+ kontrol. Malé důležité entity mohou začít s bezplatným plánem Reglyze nebo Microsoft Purview. Porovnej možnosti →

ISMS (Information Security Management System) je systém řízení bezpečnosti informací — soubor politik, procedur, procesů a kontrol sloužících k řízení kybernetických bezpečnostních rizik. Standardem definujícím ISMS je ISO/IEC 27001.

NIS2/KSC nevyžaduje certifikaci ISO 27001, ale vyžaduje zavedení prvků ISMS (bezpečnostní politiky, řízení rizik, postupy řešení incidentů). Nástroje jako Reglyze, Secfix nebo ISMS.online automatizují budování a údržbu ISMS speciálně pro NIS2.

Náklady implementace se výrazně liší v závislosti na přístupu a velikosti firmy:

• Malé firmy (důležitá entita, 50-100 zaměstnanců): €2 000–15 000 jednoráz + €500–2 000/rok na nástroje a údržbu
• Střední firmy (100-250 zaměstnanců): €10 000–50 000 implementace + €3 000–8 000/rok
• Velké firmy (kriticky důležitá entita): €50 000–250 000+ implementace + €15 000–50 000/rok

Náklady auditu ISO 27001 (volitelné, ale užitečné) jsou dalších €8 000–25 000 v závislosti na auditorské společnosti.

Kriticky důležité entity:

• Až 10 000 000 EUR nebo 2 % celkového ročního celosvětového obratu (vyšší z částek)
• Zákaz řídících funkcí osobám odpovědným za porušení

Důležité entity:

• Až 7 000 000 EUR nebo 1,4 % celkového ročního celosvětového obratu (vyšší z částek)

Regulační orgány mohou ukládat pokuty za: neregistraci, chybějící ISMS, neohlášení incidentů, nesplnění technických požadavků. První pokuty se očekávají po skončení přechodného období (po 3. dubnu 2027).

Dohled nad KSC v České republice provádějí různé orgány v závislosti na sektoru:

• NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) — celkové řízení, sektor veřejné správy
• Ministerstvo průmyslu a obchodu (MPO) — sektor energetiky
• Český telekomunikační úřad (ČTÚ) — digitální infrastruktura a telekomunikace
• Česká národní banka (ČNB) — sektor bankovnictví a financí
• Ministerstvo zdravotnictví — sektor zdravotnictví
• Ministerstvo dopravy, Letiště Václava Havla apod. — sektor dopravy

Kriticky důležité entity podléhají aktivním audytům z iniciativy orgánu. Důležité entity — reaktivním kontrolám (po incidentu nebo stížnosti).