Tato stránka je určena IT outsourcerům, system integrátorům a IT konzultantům spravujícím infrastrukturu klientů. Dozvíte se konkrétní povinnosti podle zákona č. 264/2025 Sb., deadline registrace a technické opatření nezbytné k dosažení souladu.
IT outsourcingové společnosti, system integrátoři a IT konzultanci, které spravují nebo provozují informační systémy pro třetí strany a jsou registrovány nebo sebehodnoceny u NÚKIB, spadají pod zákona č. 264/2025 Sb. Jedná se typicky o firmy, které poskytují služby managementu infrastruktury, cloudových služeb nebo síťových prostředků klientům. Povinnost registrace vzniká do 60 dnů od naplnění kritérií; pro subjekty v působnosti zákona k 1. listopadu 2025 platila lhůta 31. prosince 2025, která již uplynula.
Musíte implementovat vícefaktorovou autentizaci pro všechny vzdálené přístupy do klientských systémů a zajistit, aby privilegované přihlašovací údaje nebyly sdíleny mezi klientskými prostředími. Každý přístup musí být zaznamenán a auditován. Nejpozději do 12 měsíců od registrace implementujte řešení pro správu privilegovaného přístupu (PAM), které umožňuje granulární kontrolu a sledování všech operací.
Všechny nové smlouvy o poskytování IT služeb musí obsahovat konkrétní klauzule týkající se kybernetické bezpečnosti, včetně povinnosti vás informovat o bezpečnostních incidentech a zajistit koordinaci oznamování. Musíte určit, kdo nese odpovědnost za implementaci bezpečnostních opatření v každé vrstvě (váš tým versus tým klienta). Tyto smlouvy musí být soudní se nejméně ekvivalentními standardy jako uvádíte ve vlastních bezpečnostních politikách.
Pokud bezpečnostní incident ve vašich systémech způsobí přerušení služby klienta, jste povinni informovat NÚKIB v režimu: včasné upozornění do 24 hodin, notifikace do 72 hodin a závěrečná zpráva do 1 měsíce. Kontrakty s klienty musí obsahovat povinnost vás promptně informovat, abyste splnili tyto lhůty. Nezávisle zdokumentujte dopad na poskytovatele a jeho klienty.
Musíte vést přehled všech subdodavatelů a subdodavatelů druhého řádu, kteří mají přístup k infrastruktuře nebo datům klientů. Provedete bezpečnostní posouzení jejich bezpečnostní úrovně a zajistíte, aby splňovali alespoň základní bezpečnostní standardy srovnatelné s vašimi. Při změně kritického subdodavatele nebo zjištění bezpečnostního rizika musíte neprodleně informovat dotčené klienty a NÚKIB, pokud je dopad podstatný.
Implementujte technické opatření uvedená v nařízení NIS2 (kryptografie, detekce anomálií, segmentace sítě, zálohování) do 12 měsíců od registrace. Každoročně proveďte nezávislý audit compliance s NIS2 nebo interní audit s účastí nezávislého ověřovatele. Dokumentujte všechna opatření, včetně jejich stavu implementace a případných odchylek s plány nápravy.
Pokud jste byli v působnosti zákona k 1. listopadu 2025, lhůta pro registraci nebo sebeevaluaci byla 31. prosince 2025 (již uplynula); noví povinní mají 60 dní od naplnění kritérií. Pokud již poskytujete IT outsourcing nebo system integration služby klientům a spadáte pod Přílohu II zákona č. 264/2025 Sb., musíte technická bezpečnostní opatření zavést nejpozději do 1 roku od doručení rozhodnutí o registraci u NÚKIB (pro většinu subjektů přibližně konec roku 2026).
Jste povinni informovat NÚKIB v následujícím režimu: včasné upozornění do 24 hodin, úplná notifikace do 72 hodin a závěrečná zpráva do 1 měsíce. Zároveň musíte informovat postižené klienty. Pokud incident neoznamete včas, hrozí vám pokuta až do výše 7 milionů eur nebo 1,4 % vašeho ročního obratu.
Ano. Všechny smlouvy se subdodavateli, kteří mají přístup k klientské infrastruktuře nebo datům, musí obsahovat bezpečnostní požadavky ekvivalentní vašim. Zároveň musíte vést přehled všech subdodavatelů (včetně subdodavatelů druhého stupně), provádět jejich bezpečnostní posouzení a dokumentovat výsledky pro NÚKIB.