Tato stránka je určena ředitelům realitních agentur, správcům nemovitostí a provozovatelům proptech platforem, kterým zákon č. 264/2025 Sb. o kybernetické bezpečnosti (ZoKB) ukládá povinnosti důležité entity. Dozví se zde konkrétní bezpečnostní opatření, lhůty compliance a typické chyby v jejich odvětví.
Povinnosti NIS2 se vztahují na realitní agentury a správce nemovitostí s více než 50 zaměstnanci nebo ročním obratem přesahujícím 10 milionů EUR, které spravují údaje o nájemnících nebo vlastnících a provozují digitální infrastrukturu kritickou pro provoz nemovitostí. Patří sem také poskytovatelé proptech platforem (správa nemovitostí, pronájem, řízení záloh) zpracovávající osobní údaje nájemců nebo vlastníků.
Musíte zajistit, aby všechny informační systémy ukládající údaje o nájemnících a vlastnících (osobní údaje, kontakty, doklady, finanční záznamy) byly chráněny šifrováním přenášených dat i dat v klidu. Registrace u NÚKIB byla povinná do 31. prosince 2025; technická opatření musí být zavedena nejpozději do 1 roku od doručení rozhodnutí o registraci NÚKIB. Tuto bezpečnost je třeba udržovat neustále, včetně pravidelných auditů přístupu.
Pokud spravujete systémy chytrých budov (přístupové karty, dveřní zámky, teplotní řízení, elektrifikace), musíte zavést víceúrovňové ověřování (MFA) pro práva správců a zajistit, aby tato zařízení nebyla připojena k internetu bez sítě VPN či izolace. Všechny přístupy k infrastruktuře musíte zaznamenávat a uchovávat záznamy po dobu nejméně 90 dnů pro účely auditu a vyšetřování bezpečnostních incidentů.
Pokud dojde k úniku nebo cyberutoku postihujícímu vaše systémy (zejména příslušenství budov, zabezpečení, přístupové kontroly), musíte jej hlásit NÚKIB v časovém rámci: včasné varování do 24 hodin, formal notifikaci do 72 hodin a závěrečná zpráva do jednoho měsíce. Povinnost hlášení zahrnuje také ohrožení dostupnosti služeb pro nájemce (např. výpadek online pronájmu, zpřístupnění osobních údajů).
Pokud používáte externí proptech platformy, cloudové služby nebo API pro správu nemovitostí, software pro správu záloh nebo pronájem, musíte mít s těmito dodavateli smlouvy obsahující explicitní bezpečnostní požadavky: šifrování dat, pravidla zálohování, povinnost ohlášení incidentů a právo na audit. Řídící osoba (CISO nebo bezpečnostní tým) musí pravidelně (minimálně ročně) ověřovat, že dodavatelé tyto požadavky splňují.
Musíte mít plán zotavení z havárie pro všechny kritické systémy (pronájem, správa dat, přístupové řízení). Plan musí obsahovat postupy zálohování (data zálohovaná mimo místo provádění), záložní komunikační kanály a odhad času obnovy (RTO). Tento plán musíte testovat minimálně jedenkrát za rok a vést si záznamy o testech; součástí musí být instruktáž zaměstnanců, včetně postupů při sociálním inženýrství a phishingu.
Registrace či vlastní posouzení měly být provedeny do 31. prosince 2025. Technická bezpečnostní opatření (šifrování, MFA, plány obnovy) musí být zavedena nejpozději do 1 roku od doručení rozhodnutí o registraci NÚKIB. Pokud jste se registrovali později, platí lhůta 60 dnů od splnění kritérií.
Máte povinnost hlásit takový incident NÚKIB v časovém rámci: včasné varování do 24 hodin, formální notifikace do 72 hodin, závěrečná zpráva do jednoho měsíce. Součástí hlášení musí být popis incidentu, rozsah údajů či vlivu na budovu a přijatá opatření. Zpoždění nebo nepřesné hlášení může vést k pokutě až 7 milionů EUR nebo 1,4 % ročního obratu.
Pro důležité entity (jako jsou vaše realitní agentury) je maximální pokuta 7 milionů EUR nebo 1,4 % ročního světového obratu, podle toho, která částka je vyšší. Pokud nehlásíte incidenty včas, nemajeté smluvní bezpečnostní doložky s dodavateli nebo šifrování dat nájemců, hrozí vám pokuta. NÚKIB má právo také naříditi provozuschopnost infrastruktury a veřejně zveřejnit porušení.