Tato stránka je určena pro vedení IT, compliance a risk management oddělení pojišťoven a makléřských kanceláří. Dozvíte se konkrétní povinnosti vyplývající ze zákona č. 264/2025 Sb., termíny splnění a typické mezery v zabezpečení dat pojistníků.
Pojišťovny, pojišťovací makléři a zajišťovny registrované v Česku, které zpracovávají údaje pojistníků nebo provádějí underwriting a pojistná plnění, patří mezi důležité entity podle NIS2. Povinnost registrace se vztahuje také na větší makléřské kanceláře s více než 50 zaměstnanci nebo obratem přesahujícím 10 milionů EUR, pokud provozují vlastní IT systémy pro správu pojistných smluv.
Musíte implementovat technické a organizační opatření k ochraně osobních údajů pojistníků před kybernetickými útoky. Systémy pro správu pojistných smluv, pojistné matematické výpočty a údaje o nárocích musí obsahovat autentizaci vícefaktorovým ověřením (MFA), šifrování přenosu a v klidu, a logování přístupu. Prvotní splnění je vyžadováno nejpozději do 1 roku od doručení rozhodnutí o registraci u NÚKIB pro danou regulovanou službu (pro většinu subjektů to prakticky znamená přibližně konec roku 2026).
Pojišťovny a makléři musí zajistit, aby jejich klíčové systémy pro zpracování pojistných nároků a underwriting mohly pokračovat v provozu nebo se obnovit do 72 hodin od incidentu. Vyžaduje se testování disaster recovery plánů nejméně jednou za rok a dokumentace všech postupů zotavení. Tento požadavek se neuplatňuje na makléře, kteří používají pouze SaaS řešení třetích stran a nemají vlastní infrastrukturu.
Pokud používáte software od třetích stran (např. underwriting tools, policy management systémy, CRM platformy), musíte provádět formální hodnocení jejich bezpečnosti před nákupem a minimálně jednou ročně. Zhodnotit jejich schopnost oznamování incidentů, provádění bezpečnostních aktualizací a dodržování NIS2. Smluvně musíte zajistit, že poskytovatelé hlášují vážné incidenty do 72 hodin.
Pokud nabízíte pojistné produkty online (webové portály, mobilní aplikace, agregátoři), musíte identifikovat rizika s frekvencí minimálně jednou ročně. Rizika zahrnují phishing na klienty, neoprávněný přístup k účtům, injekcí kódu a úniky osobních údajů. Výsledky posudku musíte zdokumentovat a implementovat zmírnění pro kritická rizika do 3 měsíců.
Při zjištění vážného incidentu (např. úniku dat pojistníků, výpadku claims systému déle než 4 hodiny, zcizení čisté prémie) musíte NÚKIB poslat včasné upozornění během 24 hodin a oficiální hlášení do 72 hodin od detekce. Do 1 měsíce podáte podrobný finální zpráv. Zjišťování a hlášení bez zbytečného zpoždění je právní povinností; nedodržení hrozí pokutou do 7 milionů EUR nebo 1,4 % obratu.
Pokud používáte pouze cloudové SaaS služby (např. webový portál pojišťovny, email) a nemáte vlastní IT systémy pro správu smluv, NIS2 se na vás vztahuje minimálně. Pokud však spravujete databázi klientů vlastním softwarem nebo máte více než 50 zaměstnanců, registrace je povinná. Kontaktujte NÚKIB, abyste si ověřili svůj status.
MFA na portálem dostupné brankám, logování přístupu do claims systémů, a řízení přístupu k osobním údajům pojistníků (ne všichni zaměstnanci je potřebují vidět). Mnoho pojišťoven také nemá smluvní povinnosti dodavatelů, aby hlásili incidenty — to je kritická mezera.
Pro důležité entity (jako je vaše pojišťovna) je pokuta až 7 milionů EUR nebo 1,4 % celkového ročního obratu (kterékoli číslo je vyšší). Tato pokuta se vztahuje na porušení hlášení incidentů (72 hodin), neiplementaci technických opatření (nejpozději do 1 roku od doručení rozhodnutí o registraci u NÚKIB, pro většinu subjektů přibližně konec roku 2026) nebo na nezamítnutí povinných bezpečnostních auditů. Pro subjekty v působnosti zákona k 1. listopadu 2025 platila lhůta registrace 31. prosince 2025 (již uplynula); noví povinní se registrují do 60 dnů od naplnění kritérií.