Tato stránka je určena vedoucím IT bezpečnosti, compliance oficeům a provozním manažerům velkých maloobchodních řetězců a e-commerce podniků, kteří zpracovávají platby a údaje zákazníků. Dozvíte se konkrétní povinnosti podle zákona č. 264/2025 Sb., lhůty a nejčastější nedostatky v zabezpečení POS terminálů, supply chain a datových skladů.
Pod NIS2 spadají velké maloobchodní řetězce a e-commerce operátoři se znamenitým postavením v dodavatelských řetězcích, typicky s roční produkcí přesahující 50 milionů EUR nebo s více než 1 000 zaměstnanci a kritickou infrastrukturou pro platby a správu zásob. Všechny subjekty, které provozují POS terminály, zpracovávají platby kartou nebo uchovávají osobní údaje více než 100 000 zákazníků, jsou povinné splnit požadavky NIS2.
Všechny terminály pro přijetí plateb, včetně těch integrovaných do samoobslužných pokladen, musí splňovat normy PCI-DSS a dodatečně NIS2 požadavky na autentizaci a monitoring. Zajistěte, aby starší terminály nebyly ignorovány a měly aktivní bezpečnostní záplaty; proveďte inventuru všech bodů prodeje a implementujte end-to-end encryption pro všechny transakce do 12 měsíců od registrace.
Provozovatelé e-commerce jsou povinni vést rejstřík všech datových porušení v reálném čase. Při zjištění incidentu, který ovlivňuje osobní údaje (čísla kreditních karet, adresy, telefonní čísla), musíte NÚKIB a zasažené zákazníky oznámit nejpozději do 72 hodin; předchozí oznámení v 24 hodinách je povinné. Zajistěte, aby bylo možné rychle zjistit rozsah úniku a identifikovat všechny dotčené osoby.
Všichni dodavatelé s přístupem k inventárním systémům, logistickým platformám nebo centrálnímu datovému skladu musí být zařazeni do auditu bezpečnosti. Implementujte principem nejmenšího privilegia (least privilege) přístupová práva, monitorujte jejich činnost prostřednictvím logů a pravidelně proveřujte jejich bezpečnostní posture. Uzavřete contractuální záväzy s právními dohodami o bezpečnosti (DPA, SLA pro bezpečnost).
V případě kyberútoku, který způsobí výpadek online obchodu nebo pokladního systému trvající více než 15 minut, jste povinni hlásit incident NÚKIB. Zavedení SOC nebo outsourcovaného monitoringu (MSSP) s 24/7 pokrytím je doporučeno; musíte mít zdokumentovaný plán eskalace a komunikace s vedením firmy a regulátorem.
Všechny bezdrátové sítě (Wi-Fi) v prodejnách a administrativních centrech musí být šifrovány nejméně WPA3 (nebo silná WPA2), odděleny pro zákazníky a zaměstnance a monitorovány na neautorizované zařízení. Zajistěte, aby čelní zaměstnanci (prodejci) nemohli přistupovat k backendu s údaji zákazníků bez ověření prostřednictvím VPN nebo vyhrazeného zabezpečeného přístupu.
Všechny subjekty s ročním obratem přesahujícím 50 milionů EUR nebo s více než 1 000 zaměstnanci, které zpracovávají platby nebo uchovávají údaje více než 100 000 zákazníků, jsou klasifikovány jako důležité subjekty (Příloha II). Registrace byla povinná do 31. prosince 2025; pokud jste ji ještě nezaregistrovali, kontaktujte NÚKIB bez zbytečného zpoždění.
Pokud neoznámíte incident NÚKIB do 72 hodin (včetně včasného varování do 24 hodin), hrozí vám pokuta až 7 milionů EUR nebo 1,4 % vašeho ročního obratu. Vedení must mít procesní pokyn na oznamování incidentů s jasnou odpovědností za eskalaci.
NIS2 nevyžaduje povinně ISO 27001, ale výrazně usnadňuje soulad; měli byste minimálně implementovat ISMS (Information Security Management System) s ochranovými opatřeními pro POS, payment gateway, zákaznická data a supply chain. ISO 27001 je vhodné pro velké řetězce s více než 10 provozovnami.