Průvodce pro výrobce s připojenými výrobními linkami, PLC a průmyslem 4.0. Zjistěte konkrétní povinnosti podle zákona č. 264/2025 Sb. a termíny jejich splnění.
Průmyslové výrobce s více než 50 zaměstnanci a ročním obratem přesahujícím 10 milionů EUR nebo bilancí nad 10 milionů EUR, kteří provozují výrobní linky ovládané digitálními řídícími systémy (PLC, SCADA, MES) nebo IoT zařízeními. Povinnost registrace u NÚKIB platila do 31. prosince 2025; nově vznikající subjekty se registrují do 60 dnů od splnění kritérií. Výrobci kritických komponent pro energetiku, zdravotnictví nebo veřejnou správu jsou klasifikováni jako důležité subjekty bez ohledu na velikost.
Zajistěte oddělení sítě řídících prvků (PLC, roboty, měřicí zařízení) od podnikové IT sítě pomocí segmentace a firewallů. Implementujte monitorování anomálií v komunikaci mezi výrobní linkou a korporátní sítí. Vydejte bezpečnostní směrnici pro přístup údržbářů k řídícím systémům s explicitní autorizací a protokolováním.
Vytvořte inventarizaci všech průmyslových zařízení včetně výrobce, verze firmware a data poslední aktualizace. Ustanovte proces pro sledování a aplikování bezpečnostních záplat v rámci bezpečnostního okna, které minimalizuje prostoje výroby. Komunikujte se subdodavateli komponent a firmware (dodavatelé PLC, průmyslových senzorů, kontrolérů) o termínech vydání bezpečnostních aktualizací.
Nahraďte nezabezpečené protokoly (Telnet, nešifrovaný FTP) moderními řešeními (SSH, TLS, VPN s vícefaktorovou autentizací). Omezujte vzdálený přístup na střední úroveň (bastion host, jump server) s detailním protokolováním. Zvažte time-limited session tokeny a IP whitelisting pro kritické vzdálené připojení údržbářů.
Pokud výpadek nebo bezpečnostní incident ovlivní výrobní linku s významným ekonomickým dopadem (ztráta více než 1 milionů Kč na den nebo přerušení dodávek kritickým odběratelům), musíte podat brané hlášení NÚKIB do 24 hodin, notifikaci do 72 hodin a závěrečnou zprávu do 1 měsíce. Zaveďte interní proces pro klasifikaci incidentů a časování hlášení.
Požadujte od dodavatelů komponenty, firmware a vzdáleného přístupu (např. výrobci PLC, dodavatelé IoT senzorů) vyjádření bezpečnostní praxe včetně procesu pro hlášení zranitelností. Zařaďte do smluv klauzule o bezpečnostní incident notifikaci a o povinnosti upozornit na objevené zranitelnosti do 48 hodin.
Ne. Podle NIS2 musíte minimalizovat přímou připojení řídících prvků na IT síť pomocí segmentace. Ideální je oddělená OT síť se zabezpečeným brána (DMZ) pro monitorování a reporting. Pokud je připojení nutné, implementujte firewall se statesful inspecí a síťovým IDS/IPS.
Registrace a self-assessment u NÚKIB musela být provedena nejpozději do 31. prosince 2025. Následně máte přibližně 12 měsíců na implementaci technických bezpečnostních opatření. Incident reporting je povinný v případě výroby: brané hlášení do 24 h, formální notifikace do 72 h, závěrečná zpráva do 1 měsíce.
Pro důležité subjekty (výrobce s >50 zaměstnanci a >10 mil. EUR obratu) hrozí pokuty až do výše 7 milionů EUR nebo 1,4 % celkového roční obratu, podle toho, která částka je vyšší. Zvýšené pokuty jsou pro zneužívání dat nebo opakované porušení.