Kyberbezpečnost není úkol pro IT, ale strategické rozhodnutí managementu
Nový zákon o kybernetické bezpečnosti, který do českého práva implementuje evropskou směrnici NIS2, platí již od listopadu 2025. Přestože tisíce firem již měly splnit povinnost registrace, mnohé stále podceňují největší riziko: delegování celé agendy výhradně na IT oddělení. Podle odborníků i aktuálních dat NÚKIB se přitom kybernetické hrozby stávají otázkou přežití celého podniku.
Útoků ubývá, jejich dopad je však ničivý
Statistiky NÚKIB za rok 2025 ukazují zdánlivý paradox. Úřad evidoval 203 incidentů, což je o 65 méně než v předchozím roce. Varovným signálem je však rostoucí sofistikovanost útoků, kterou pohání mimo jiné nástup umělé inteligence. Počet „velmi významných“ incidentů se meziročně zdvojnásobil. Právě na tento trend reaguje nová legislativa, která přenáší odpovědnost na tisíce subjektů poskytujících tzv. regulované služby.
Past jménem samoidentifikace
Zákon o kybernetické bezpečnosti staví na principu samoidentifikace. Organizace musí samy posoudit, zda pod nová pravidla spadají, a nahlásit se úřadu. Pro stávající poskytovatele tato lhůta vypršela koncem roku 2025. Firmy, které tak neučinily, se vystavují riziku pokut dosahujících v přísnějším režimu až 250 milionů korun nebo dvou procent z celosvětového obratu. V krajních případech hrozí manažerům i dočasný zákaz výkonu funkce.
IT dodá nástroje, strategii musí určit vedení
„NIS2 je strategická záležitost vrcholového managementu. Žádná externí firma vám směrnici nenaimplementuje od nuly, aniž by věděla, jak fungujete. IT firma vám může pomoci s kuchařkou a najde správné hrnce, ale vaření je na vás,“ vysvětluje Martin Hnídek, výkonný ředitel společnosti ANAFRA.
Vedení firem musí definovat bezpečnostní předpisy, metodiku školení a pravidla pro dodavatelské řetězce. IT oddělení je v tomto procesu až exekutivním článkem, který na základě zadání vybírá konkrétní nástroje, řeší segmentaci sítě či oddělení záloh.
Skryté náklady: Lidé a čas
Implementace NIS2 s sebou nese značné personální náklady. Zkušenosti z praxe ukazují, že firmy v režimu vyšších povinností musí vyčlenit až čtyři specializované role, což může zvýšit mzdové náklady podniku až o čtvrtinu. Výhodu mají subjekty se zavedenými standardy ISO 27001 nebo TISAX. Pro ostatní je zavedení funkčního systému otázkou měsíců až let – a podle odborníků bylo pro mnohé „včera pozdě“.
Klíčová fakta o NIS2 v ČR:
- Účinnost zákona: od 1. listopadu 2025.
- Registrační lhůta: pro stávající firmy vypršela koncem roku 2025.
- Sankce: až 250 mil. Kč / 2 % z obratu a osobní odpovědnost managementu.
- Hlavní výzva: přechod od technického řešení k procesnímu řízení bezpečnosti.
(red)
