Tato příručka se zaměřuje na prodejce HR a mzdového softwaru, kteří spravují firemní a osobní údaje zaměstnanců pro více organizací. Pochopíte, které konkrétní bezpečnostní opatření musíte zavést podle zákona č. 264/2025 Sb. a jak se vyhnout pokutám až 7 milionů EUR.
Poskytovatele digitálních služeb spadají pod NIS2, pokud poskytují software nebo služby pro správu mezd, personalistiku nebo údaje zaměstnanců více klientům a jejich nefunkčnost by měla závažný dopad na hospodářství nebo společnost. Zákon se týká jak domácích, tak zahraničních poskytovatelů obsluhy tuzemských podniků a institucí. Malí poskytovatelé s minimálním počtem klientů či omezeným dopadem mohou spadat do nižší kategorie, ale typicky se zde jedná o střední až velké SaaS operátoři.
Poskytovatelé HR a mzdového softwaru spadající pod Přílohu II, kteří byli v působnosti zákona k 1. listopadu 2025, měli NÚKIB oznámit své zařazení nebo podat samohodnocení do 31. prosince 2025 (lhůta již uplynula); noví poskytovatelé se registrují do 60 dnů od naplnění kritérií. Registrací potvrzujete, že jste důležitou jednotkou a zavádíte technická opatření v souladu se zákonem č. 264/2025 Sb. Tato opatření musíte mít zcela funkční nejpozději do 1 roku od doručení rozhodnutí o registraci u NÚKIB (pro většinu subjektů to prakticky znamená přibližně konec roku 2026). Opožděná registrace může vést k pokutě až 7 milionů EUR nebo 1,4 % ročního obratu.
Pokud dojde k porušení bezpečnosti nebo kybernetického útoku na váš HR či mzdový systém, musíte NÚKIB poslat předčasné varování do 24 hodin a formální oznámení do 72 hodin. Finální zprávu odevzdáte nejpozději jeden měsíc po incidentu. Vzhledem k tomu, že spravujete údaje pro více klientů, je incident u vás považován za mnohem závažnější a vyžaduje okamžité jednání. Ignorování lhůt pro hlášení vede k dodatečným pokutám.
Váš systém musí zajišťovat úplnou separaci údajů mezi jednotlivými klienty (tenant isolation), aby zaměstnanec jedné firmy nemohl vidět data druhé. Všechny přístupy správců k mzdovým a personálním datům musí být chráněny hardwarovou MFA (klíče, čipové karty) a podrobně protokolovány. Nesmíte umožňovat vzdálený přístup bez dodatečné autentizace a musíte mít formální postup pro okamžitou revokaci přístupu po výpovědi nebo změně role.
Smlouvy se všemi klienty musí obsahovat jasně definovanou povinnost bezpečného odstranění nebo vrácení všech jejich dat včetně záloh po skončení poskytování služby. Musíte mít dokumentovaný proces, který zaručuje, že žádná kopie dat nezbude na vašich serverech, zálohách nebo u třetích stran. Incident reporting musíte rozšířit i na situace, kdy dojde k úniku dat v důsledku nedostatečného smazání. Všechny údaje o zaměstnancích jsou osobními údaji a reguluje je také GDPR.
Pokud používáte podpůrné služby od cloudových providerů, databázových správců nebo bezpečnostních auditorů, musíte s nimi uzavřít smlouvy s jasně definovanými bezpečnostními požadavky a právy kontroly. Vaši klíčoví subdodavatelé (např. cloud provider) musí splňovat stejné nebo srovnatelné bezpečnostní standardy. Musíte pravidelně ověřovat, že vaši partnři udržují bezpečnost a nejste sami zodpovědní za incident v jejich systému, pokud máte řádný dohled.
Pokud poskytujete HR nebo mzdový software více klientům a nefunkčnost by měla závažný dopad na hospodářství nebo společnost, ano. Zákon č. 264/2025 Sb. vás automaticky zařadí do Přílohy II. Pokud jste byli v působnosti zákona k 1. listopadu 2025, lhůta pro samohodnocení a oznámení NÚKIB byla 31. prosince 2025 (již uplynula); jinak máte 60 dní od naplnění kritérií. Ověřit si svou povinnost můžete konzultací s NÚKIB nebo právním poradcem.
Musíte poslat NÚKIB předčasné varování do 24 hodin a detailní oznámení do 72 hodin. Vzhledem k rozsahu (mnoho klientů najednou) se jedná o kritický incident. Zároveň musíte kontaktovat všechny postižené klienty a jejich údaje hlásit úřadu na ochranu osobních údajů. Porušení lhůt hlášení vede k pokutě až 7 milionů EUR. Pokud incident vznikl kvůli nedostatečné izolaci tenantů na vaší straně, můžete být zodpovědní také za škodu vůči všem klientům.
Pro důležité jednotky (Příloha II) je maximální pokuta až 7 milionů EUR nebo 1,4 % celkového ročního obratu, pokud je tato hodnota vyšší. Pokuty ukládá NÚKIB. Při dlouhodobém porušení povinností (např. chybějící registrace, nefunkční incident reporting nebo nedostatečné bezpečnostní opatření) může NÚKIB ukládat pokuty i opakovaně.