Tato stránka určena pro IT vedoucí, rektory a bezpečnostní specialisty vysokých škol a privatních škol s digitální infrastrukturou. Dozvíte se, jak splnit povinnosti podle zákona č. 264/2025 Sb. o kybernetické bezpečnosti, včetně registračního procesu, hlášení incidentů a konkrétních bezpečnostních opatření specifických pro vzdělávací sektor.
Vysoké školy a vzdělávací instituce spadají pod NIS2 jako důležité subjekty v sektoru vzdělání, pokud spravují rozsáhlou digitální infrastrukturu zahrnující informační systémy studentů, výukové platformy, výzkumné sítě nebo cloudové služby. Povinnost se vztahuje na veřejné univerzity, státní vysoké školy a soukromé školy s více než 250 zaměstnanci nebo s ročním obratem přesahujícím 50 milionů EUR.
Každá vysoká škola či vzdělávací instituce spadající pod NIS2, která byla v rozsahu zákona již k 1. listopadu 2025, musela do 31. prosince 2025 provést registraci a samovyhodnocení u NÚKIB; nové instituce se registrují do 60 dnů od splnění kritérií. Registrace obsahuje identifikaci kritických systémů (například systémy pro správu studentů, learning management systémy, výzkumné datové sítě) a predbežné opatření k ochraně citlivých dat. Bezpečnostní opatření musí být zavedena nejpozději do 1 roku od doručení rozhodnutí o registraci, nikoli k jednotnému datu 31. prosince 2026.
Vysoké školy musí zavést komplexní bezpečnostní kontroly nad systémy obsahujícími osobní údaje studentů, včetně šifrování v přenosu a v klidu, řízení přístupu na základě práv, a pravidelných bezpečnostních auditů. Velká pozornost se věnuje ochraně learning management systémů (LMS) jako Moodle nebo Canvas, které jsou často připojeny k internetu a přístupné zvenčí. Tyto systémy musí disponovat vícefaktorovou autentizací pro přístup pedagogů a administrátorů.
Školy musí hlásit incidenty zasahující údaje studentů, výzkumné materiály nebo dostupnost klíčových služeb. Predbežné varování se hlásí do 24 hodin od zjištění incidentu, formální oznámení do 72 hodin a detailní zpráva do 1 měsíce. Typické incidenty ve školách zahrnují úniky dat při hackování LMS, ztrátu dostupnosti během ransomu nebo neoprávněný přístup ke studentským informacím přes slabá hesla.
Vysoké školy musí ověřit bezpečnostní stav dodavatelů digitálních služeb, zejména poskytovatelů cloudových platforem (Google Classroom, Microsoft 365, Amazon Web Services) a výrobců LMS. Podepište smlouvy se jasně definovanými povinnostmi v oblasti bezpečnosti, zálohování a dostupnosti. Minimálně jednou ročně si vyžádejte certifikáty jako ISO/IEC 27001 nebo SOC 2 Type II od těchto dodavatelů.
Všichhlí zaměstnanci (akademičtí pracovníci, administrativa, IT) a estudenti s přístupem k institucionalním systémům musí podstoupit školicí program zaměřený na rozpoznávání phishingu, bezpečné chování s hesly a hlášení podezřelých aktivit. Školení se musí konat minimálně jednou ročně a měla by být přizpůsobena rolím (IT specialisté dostanou pokročilejší školení). Studenti by měli být edukováni o bezpečném chování v akademickém prostředí, zejména při práci na sdílených počítačích a WiFi sítích.
Ne, NIS2 nevyžaduje konkrétní typ LMS, ale vyžaduje bezpečnostní opatření bez ohledu na platformu. Pokud používáte privátní LMS (Blackboard, Canvas), implementujte šifrování, vícefaktorovou autentizaci a pravidelné audity. Pokud zvolíte open-source řešení (Moodle), zajistěte si administraci bezpečnosti a bezpečnostní záplaty v rámci smlouvy s dodavatelem nebo interního IT týmu.
Po registraci u NÚKIB máte na implementaci technických a organizačních opatření čas 1 rok od doručení rozhodnutí o registraci. Znamená to, že kritické opatření (šifrování studentských dat, vícefaktorová autentizace na LMS) by měla být nasazena do konce této roční lhůty. Školení zaměstnanců se musí uskutečnit nejpozději do konce stejné roční lhůty.
Vysoké školy jako důležité subjekty (Příloha II) čelí pokutám až do výše 7 milionů EUR nebo 1,4 % obratu za porušení bezpečnostních opatření. Nehlášení incidentu v souladu s lhůtami (24 h predbežné varování, 72 h oznámení) se postihuje samostatně. Pokud instituci v rozsahu zákona k 1. listopadu 2025 nezaregistrujete, hrozila pokuta již za samotné nesplnění registrační povinnosti do 31. prosince 2025; nové subjekty musí registraci provést do 60 dnů od splnění kritérií.