Tato stránka je určena pro manažery bezpečnosti, vedoucí IT operací a vlastníky MSP/MSSP, kteří musí splnit povinnosti zákona č. 264/2025 Sb.; technická bezpečnostní opatření musí zavést nejpozději do jednoho roku od doručení rozhodnutí o registraci NÚKIB. Naučíte se, které bezpečnostní kontroly jsou pro váš sektor kritické, jak dokumentovat compliance a vyhnout se pokutám až 10 milionů eur.
Povinný subjekt je poskytovatel spravovaných služeb nebo spravovaných bezpečnostních služeb (MSP/MSSP), který poskytuje služby na území České republiky minimálně 30 právnickým osobám nebo má roční tržby přesahující prahové hodnoty stanoveného NÚKIB. Spadají sem společnosti, které spravují síťovou infrastrukturu, řídí vzdálený přístup klientů nebo provozují bezpečnostní monitorování pro třetí strany.
Musíte implementovat vícefaktorovou autentizaci (MFA) na všech nástrojích pro vzdálený přístup (RMM, RDP, SSH). Zakažte sdílené administrativní přihlašovací údaje mezi klienty – každé připojení musí mít audit trail. Implementujte mikrosegmentaci a princip nejmenších práv (zero-trust) tak, aby technici měli přístup pouze do určitých částí klientské infrastruktury, kterou spravují.
Pokud dojde k porušení bezpečnosti vaší infrastruktury, která ovlivní systémy klienta, musíte podat včasné upozornění NÚKIB do 24 hodin a formální oznámení do 72 hodin. Klasifikujte incident podle impact na klienty – pokud zasáhne důvěrnost, integritu nebo dostupnost údajů, musíte jej hlásit, i když sám klient není subjektem NIS2.
Veškeré smlouvy s klienty a třetími stranami (subdodavatelé, výrobci software) musí obsahovat závazné klauzule o kybernetické bezpečnosti. Zajistěte, aby klienti implementovali základní opatření (zálohy, aktualizace, monitoring) a aby poskytli přístup k bezpečnostním loggům. Vedou si seznam všech subdodavatelů a provádějte jejich bezpečnostní audity minimálně ročně.
Provádějte nejméně jednou za 12 měsíců nezávislé penetrační testy vaší RMM platformy, management rozhraní a interních systémů. Výsledky musí být dokumentovány a odchylky (kritické, vysoké) musí být odstraněny do 30 dnů. Testy musí zahrnovat testování autentizace, autorizace a segregace klientských dat.
Vytvořte a používejte standardizovaný bezpečnostní dotazník pro všechny dodavatele kritických nástrojů (ticketing systémy, monitoring, antivirus). Ověřujte jejich bezpečnostní certifikace (ISO/IEC 27001), postupy incident response a data governance. Dokumentujte odpovědi a periodicky (minimálně ročně) je aktualizujte, zejména pro dodavatele v klíčových prvocích (cloud storage, komunikační platformy).
Ano, absolutně. Pokud byl napadený váš RMM server a došlo k úniku nebo přístupu k údajům či systémům klienta, musíte podat včasné upozornění NÚKIB do 24 hodin a detailní oznámení do 72 hodin. Nezáleží na tom, zda je sám klient subjektem NIS2 – důležitý je dopad na bezpečnost jeho dat. Výjimkou je pouze, pokud můžete prokázat, že údaje byly zcela anonymizovány a neohrožuje je diskrétnost, integritu nebo dostupnost.
Registrace a samohodnocení musely být provedeny do 31. prosince 2025. Technická bezpečnostní opatření (MFA na RMM, penetrační testy, bezpečnostní dotazníky) pak musíte implementovat nejpozději do jednoho roku od doručení rozhodnutí o registraci NÚKIB. NÚKIB může poskytnout výjimku, pokud můžete prokázat, že opatření vyžaduje podstatné investice, ale nesmíte je odkládat bez důvodu.
Pokuty pro subjekty kritické důležitosti (do kterého spadáte jako MSSP/MSP) jsou až 10 milionů eur nebo 2 procenta celosvětových ročních tržeb – podle toho, která suma je vyšší. Pokuty vymáhá NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost). Nejčastějšími důvody pokut jsou: chybějící incident report, absence MFA na kritických systémech, nekomplexní penetrační testování a nedostatečné dokumentace bezpečnostních opatření.