ISO/IEC 27001 není právním požadavkem NIS2 a sama o sobě nečiní subjekt NIS2-kompatibilním. ISMS postavený na 27001 pokrývá řadu opatření z článku 21 NIS2, ale řadu povinností NIS2 standard nezahrnuje.
Stáhnout pracovní list →ISO/IEC 27001:2022 je mezinárodní standard pro systémy řízení bezpečnosti informací (ISMS). NIS2 je evropní direktiva, která v Česku vstoupila v platnost dne 1. listopadu 2025 prostřednictvím zákona č. 264/2025 Sb. o kybernetické bezpečnosti.
Standard 27001 se zaměřuje na řízení rizik a bezpečnosti z pohledu organizace. NIS2 naopak určuje závazné opatření pro subjekty v kritické infrastruktuře a důležitých digitálních služby, včetně hlášení incidentů státnímu orgánu a registrace u NÚKIB.
Důležitý fakt: Certifikace ISO 27001 není právním požadavkem NIS2. Ale ISMS postavený na 27001 vám může ulehčit cestu k NIS2 souladu, protože pokrývá velkou část technických a procesních opatření článku 21(2) NIS2.
Následující tabulka ukazuje, které ISO 27001 kontroly se vztahují na jednotlivá opatření NIS2:
| Opatření NIS2 článek 21(2) | ISO 27001:2022 kontroly |
|---|---|
| (a) Politiky analýzy rizik a bezpečnosti IS | Klauzule 6.1, kontrola 5.1 |
| (b) Zvládání incidentů | Kontroly 5.24–5.28 |
| (c) Kontinuita provozu, zálohování, obnova po katastrofě, krizové řízení | Kontroly 5.29, 5.30, 8.13 |
| (d) Bezpečnost v dodavatelském řetězci | Kontroly 5.19–5.23 |
| (e) Bezpečnost při nákupu, vývoji, údržbě, řešení zranitelností | Kontroly 8.8, 8.25–8.29 |
| (f) Postupy pro posouzení účinnosti opatření | Klauzule 9, kontrola 5.35 |
| (g) Základní kybernetická hygiena a školení | Kontroly 6.3, 8.7 |
| (h) Kryptografie a šifrování | Kontrola 8.24 |
| (i) Bezpečnost HR, řízení přístupu, správa aktiv | Kontroly 6.1–6.6, 5.9–5.11, 5.15–5.18 |
| (j) Vícefaktorová nebo spojitá autentizace, zabezpečená komunikace | Kontroly 8.5, 5.14 |
Hlášení incidentů státnímu orgánu. ISO 27001 vyžaduje řízení incidentů, ale neurčuje státní lhůty. NIS2 články 23 požadují: včasné varování (early warning) do 24 hodin od zjištění významného incidentu, hlášení do 72 hodin a závěrečnou zprávu do jednoho měsíce příslušné CSIRT či orgánu.
Registrace u NÚKIB. Subjekty v rozsahu NIS2 se musí samy zaregistrovat v národním registru NÚKIB do 60 dnů od splnění kritérií. Subjekty již v rozsahu k 1. listopadu 2025 měly lhůtu do 31. prosince 2025 (již uplynulo). Nové subjekty registrují průběžně.
Povinnosti vedení organizace (management board). NIS2 článek 20 požaduje, aby vedení organizace: schválilo opatření, dohlíželo na jejich implementaci, absolvovalo školení a mohlo být osobně odpovědné za porušení.
Administrační pokuty. NIS2 nebere ohled na certifikaci ISO 27001 při určení pokut. Článek 34 umožňuje pokutám až EUR 10 milionů nebo 2 % celosvětového ročního obratu pro subjekty v oblasti důležitých služeb (essential entities), resp. EUR 7 milionů nebo 1,4 % pro subjekty v oblasti důležitých digitálních služeb (important entities). Dohledové orgány posuzují každý případ individuálně podle okolností a faktorů uvedených v článcích 32–34.
Sektorové pravidla. Nařízení Komise (EU) 2024/2690 přináší podrobné technické požadavky pro určité poskytovatele v oblastech digitální infrastruktury a digitálních služeb. Tyto požadavky jdou nad rámec ISO 27001.
1. Ověřte rozsah vůči NIS2. Ujistěte se, že váš ISMS pokrývá služby, na které se NIS2 vztahuje.
2. Přidejte proceduru hlášení incidentů. Zdokumentujte lhůty: včasné varování do 24 hodin, hlášení do 72 hodin, závěrečná zpráva do jednoho měsíce. Identifikujte příslušnou CSIRT či orgán dle Česka (NÚKIB).
3. Mapujte Statement of Applicability. Vysvětlete, jak vaše vybrané ISO 27001 kontroly pokrývají opatření článku 21(2)(a)–(j).
4. Zakotvěte schválení vedením. Zdokumentujte schválení opatření vedením a plán školení vedení.
5. Zaregistrujte se u NÚKIB. Pokud jste v rozsahu, ujistěte se, že jste se zaregistrovali. Lhůta pro zavedení bezpečnostních opatření běží individuálně — nejpozději do 1 roku od doručení registračního rozhodnutí, nikoli k pevnému datu.
Pomocník: Použijte kalkulátor rozsahu k ověření, zda jste v NIS2 rozsahu.
Časový plán. Zákon 264/2025 Sb. vstoupil v platnost 1. listopadu 2025. Subjekty v rozsahu k tomuto datu se měly zaregistrovat u NÚKIB do 31. prosince 2025 (lhůta již uplynula); nové subjekty se registrují průběžně do 60 dnů od splnění kritérií. Bezpečnostní opatření musí být zavedena nejpozději do 1 roku od doručení rozhodnutí o registraci, nikoli k jednotnému datu 31. prosince 2026.
Klíčové dokumenty k přípravě:
Další pomoc: Konzultujte s právníkem nebo bezpečnostním specialistou pro vaši konkrétní branši a rozsah.
Ne. ISO 27001 není právním požadavkem NIS2 a certifikace sama o sobě nečiní subjekt NIS2-kompatibilním. Ale ISMS postavený na ISO 27001 pokrývá řadu technických opatření článku 21(2) NIS2. Musíte přidat specifické NIS2 povinnosti, zejména hlášení incidentů státnímu orgánu a registraci u NÚKIB.
Ne. NIS2 nebere certifikaci ISO 27001 jako požadavek. Můžete implementovat ISMS na základě ISO 27001 bez certifikace. Certifikace je dobrovolná. Zákon 264/2025 Sb. požaduje splnění opatření podle NIS2 článku 21(2), nikoli certifikaci.
Celkem 10 kategorií opatření v článku 21(2) mapuje na více než 30 ISO 27001 kontrol. Například: risk assessment (kontrola 5.1), incident management (5.24–5.28), business continuity (5.29–5.30), supply chain security (5.19–5.23), development security (8.25–8.29), cryptography (8.24) a access control (5.9–5.18). Podrobné mapování naleznete v tabulce v sekci Mapování výše.
Zdokumentujte proceduru hlášení s třemi lhůtami: včasné varování (early warning) do 24 hodin od zjištění významného incidentu, hlášení (notification) do 72 hodin a závěrečná zpráva do jednoho měsíce. Identifikujte příslušnou CSIRT či NÚKIB jako příjemce. ISO 27001 vyžaduje incident management, ale neurčuje státní lhůty.
NIS2 neumoňuje automatické snížení pokut na základě certifikace ISO 27001. Dohledové orgány posuzují každý případ individuálně podle okolností a faktorů v článcích 32–34 NIS2 (zejména závažnost, rozsah, úmysl). Certifikace může být jedním z faktorů při posouzení, ale není právně závazná.
Máte ISO 27001 ISMS? Ověřte, zda splňuje NIS2 požadavky. Stáhněte si pracovní list s mapováním kontrol a kroky k implementaci NIS2 opatření.
Stáhnout pracovní list