Tato stránka vysvětluje konkrétní povinnosti pro účetní firmy, daňové poradce a auditory spravující citlivá klientská finanční data a daňové záznamy podle zákona č. 264/2025 Sb. Dozvíte se, které organizace musí splnit standardy NIS2, jaké jsou klíčové bezpečnostní opatření a jak se vyhnout nejčastějším chybám.
Musí se zaregistrovat účetní firmy, daňové poradny a auditorské společnosti, které spravují finanční data, daňové záznamy nebo účetnictví klientů a jejichž ztráta nebo poškození by mohla ovlivnit kritickou infrastrukturu nebo ekonomické zájmy ČR. Zejména pokud mají více než 10 zaměstnanců nebo obratu přesahujícího určitou prahovou hodnotu podle metodiky NÚKIB.
Musíte zavést technické a organizační opatření k ochraně klientských finančních dat, daňových záznamů a účetnictví před neoprávněným přístupem a ztrátou. To zahrnuje šifrování dat v klidu i při přenosu, zálohování a kontrolu přístupu pro každého zaměstnance na základě jeho role a potřeby. Minimálně zajistěte, že citlivá data nejsou uložena v nešifrované podobě na lokálních discích bez monitorování.
Ustavte formální systém řízení přístupu (IAM) pro váš účetní software, daňové aplikace a cloudové platformy, kde uchováváte klientská data. Každý uživatel musí mít jedinečné přihlašovací údaje, které jsou pravidelně auditovány; zakažte sdílené účty. Implementujte dvoustupňové ověřování pro přístup k systémům obsahujícím klientská data a kontrolujte vzdálený přístup přes bezpečné kanály (nikoliv přes Teamviewer nebo nezabezpečenou RDP).
Vytvořte a dokumentujte proces, který automaticky nebo v souladu s harmonogramem ruší přístup zaměstnance ke všem účetním aplikacím, cloudovým účtům a klientským datům v den jeho odchodu nebo přeřazení. Bez formálního procesu offline zůstávají účty bývalých zaměstnanců aktivní, což vede k riziku úniku dat nebo neautorizovaného přístupu.
Vyžadujte od výrobců nebo poskytovatelů vašeho účetního software a cloudových služeb splnění bezpečnostních standardů, včetně pravidelných bezpečnostních kontrol a oznamování incidentů. Podepište smlouvy obsahující povinnost hlásit bezpečnostní incidenty do 24 hodin a zajistěte, aby měli právo na testy bezpečnosti a kontroly auditoru vaší volby.
V případě bezpečnostního incidentu postihujícího klientská finanční data nebo daňové záznamy musíte podat včasné varování NÚKIB do 24 hodin od zjištění a formální oznámení do 72 hodin. Finální zprávu podejte do 1 měsíce. Nedodržení těchto termínů může vést k pokutě až 7 milionů EUR nebo 1,4 % vašeho obratu.
Pokud vaše firma spravuje pouze několik klientů a neobsahuje citlivá data ovlivňující kritickou infrastrukturu nebo ekonomické zájmy ČR, nemusíte se registrovat. NÚKIB má metodiku pro určení, zda jste "důležitou osobou". Doporučuji kontaktovat NÚKIB přímo nebo konzultovat své právní oddělení; nejistota je dražší než konzultace.
Termín registrace u NÚKIB pro subjekty v působnosti zákona k 1. 11. 2025 byl 31. prosince 2025 (již uplynul); nové subjekty se registrují průběžně do 60 dnů od naplnění kritérií. Technická opatření (přístupové kontroly, šifrování, monitorování) musíte mít zavedena nejpozději do 1 roku od doručení rozhodnutí NÚKIB o registraci. Zpoždění hlášení nebo implementace může vést k pokutě až 7 milionů EUR.
Musíte podat včasné varování NÚKIB do 24 hodin od zjištění incidentu a formální oznámení do 72 hodin. Pokud incident postihuje důvěrnost nebo integritu klientských dat, informujte také dotčené klienty. Finální zprávu podejte do 1 měsíce. Nedodržení hlášení může vést k pokutě až 7 milionů EUR nebo 1,4 % vašeho obratu.