Registrace u NÚKIB proběhla. Co musíte stihnout do konce roku

Registrace byla ta snadná část. Od doručení rozhodnutí běží rok na zavedení opatření — a hlášení incidentů do 24 hodin platí už teď. Časová osa, plán po měsících a co bude chtít kontrola.

Zákon o kybernetické bezpečnosti dopadl na několik tisíc firem, které do konce roku 2025 musely ohlásit svou službu Národnímu úřadu pro kybernetickou a informační bezpečnost. Většina to zvládla — formulář, kontaktní osoba, odesláno.

A pak nastalo ticho. Nejčastější věta, kterou od té doby slyšíme, zní: „jsme registrovaní, máme to za sebou."

Nemáte. Registrace je přihláška, ne splnění. Teprve po ní začíná běžet lhůta na to hlavní — zavést bezpečnostní opatření. A dvě povinnosti platí dokonce okamžitě, bez ohledu na to, kolik času vám na opatření zbývá.

Tři lhůty, které se nejčastěji pletou

Rok na opatření běží od doručení rozhodnutí, ne od Nového roku

Zákon dává na zavedení bezpečnostních opatření lhůtu jednoho roku ode dne, kdy vám bylo doručeno rozhodnutí o registraci regulované služby. To je zásadní detail: každá firma má jiné datum. Nikde není společný termín „do konce roku 2026", i když se tak o tom běžně mluví — u hlavní vlny, která se registrovala na přelomu let 2025 a 2026, prostě většina lhůt spadá do druhé poloviny roku 2026 a na začátek roku 2027.

Praktický důsledek: přesné datum máte ve svém rozhodnutí. Než začnete cokoli plánovat, najděte ten dokument a datum doručení si napište na první stránku plánu. Podle něj se odvíjí všechno ostatní.

Hlášení incidentu: 24 hodin, 72 hodin, 30 dnů — a platí hned

Tohle je rozdíl, na kterém firmy nejčastěji tratí. Hlášení významného incidentu nečeká na konec roční lhůty. Jakmile jste registrovaní, platí:

• do 24 hodin od zjištění — prvotní hlášení, i když ještě nevíte, co přesně se stalo,
• do 72 hodin — doplňující informace, jak se situace vyvíjí,
• do 30 dnů — závěrečná zpráva.

Čtyřiadvacet hodin je málo. Zvlášť když incident začne v pátek večer a člověk, který má přístup do portálu úřadu, je na horách. Proto do plánu patří jedna nudná věc, kterou nikdo nedělá rád: kdo hlásí, z jakého účtu, a kdo ho zastoupí. Vyzkoušet přihlášení do portálu předem stojí deset minut. Během incidentu je to nejcennějších deset minut, které máte.

A co je vlastně „významný" incident?

Hlásí se incident, který má závažný dopad na poskytování vaší regulované služby — typicky výpadek, únik dat nebo narušení, které službu vážně omezí. Hranici si musí každá firma stanovit sama a předem, protože ve chvíli, kdy se to děje, na diskusi není čas.

Doporučení z praxe: napište si tři až pět konkrétních situací z vašeho provozu, u kterých platí „tohle hlásíme" (například zašifrování serveru s výrobním systémem, ztráta přístupu do Microsoftu 365 pro celou firmu, prokázaný únik dat zákazníků). Když si nejste jistí, jestli daná situace pod hlášení spadá, hlásí se — pozdní hlášení je horší než zbytečné.

Změny se hlásí průběžně

Třetí lhůta se nedá naplánovat, protože závisí na vás. Když se změní kontaktní osoba, rozsah služby nebo údaje, které jste při ohlášení uvedli, musíte to úřadu oznámit. Nejčastější zdroj problému je banální: kontaktní osobou je člověk, který už ve firmě nepracuje, a úřední zpráva chodí do schránky, kterou nikdo nečte.

Co konkrétně musí být hotové

Rozsah se liší podle toho, jestli jste v režimu nižších, nebo vyšších povinností. Zjednodušeně: nižší režim má menší rozsah a méně formálních nároků, vyšší režim znamená víc dokumentace, víc rolí a přísnější prokazování. Oblasti jsou ale v obou případech stejné — přístupy a vícefaktorové ověřování, logování, zálohy a obnova, řízení dodavatelů, zvládání incidentů. Rozdíl mezi režimy vysvětlujeme běžnou řečí na rozcestníku k NIS2.

Konkrétně jde o tyhle oblasti — a u každé si zkuste hned odpovědět, jestli ji máte, nebo ne:

• Řízení přístupů a hesel — kdo se kam dostane, jak se to schvaluje a co se stane, když člověk odejde.
• Vícefaktorové ověřování — u všech účtů, včetně těch správcovských a servisních.
• Monitoring a logování — že se záznamy sbírají, uchovávají dost dlouho a někdo se do nich dívá.
• Zvládání incidentů — kdo je vyhodnocuje, kdo hlásí, koho zastupuje.
• Zálohy a obnova provozu — včetně vyzkoušené obnovy, ne jen běžící zálohovací úlohy.
• Řízení dodavatelů — kdo má do vašeho prostředí přístup zvenku a za jakých podmínek.
• Aktualizace a správa konfigurací — že se záplaty nasazují a nastavení se nerozjíždí.
• Školení a povědomí lidí — doložitelné, ne „to jsme jim říkali".

Praktické vodítko, které platí pro obojí: u každého opatření musí existovat trojice rozhodnutí — nastavení — důkaz. Rozhodnutí, že se to tak dělá (a kdo to schválil). Nastavení v systému. A důkaz, že to nastavení skutečně platí — export, snímek obrazovky, protokol o testu. Firmy nejčastěji mají prostřední článek a chybí jim ty dva krajní.

Plán na zbytek lhůty

Následující rozvržení počítá s tím, že jste teď zhruba v polovině roční lhůty. Když máte času víc, posuňte si to; když míň, začněte prvními dvěma řádky a zbytek dělejte souběžně.

Kde firmy ztrácejí nejvíc času

Čekání na rozhodnutí vedení. Technik nemůže sám rozhodnout, co je regulovaná služba a co se bude chránit. Dokud to vedení neschválí, dělá se všechno „asi". Tenhle bod bývá nejlevnější na provedení a nejdražší na odklad.

Dodavatelé. Bezpečnost dodavatelského řetězce znamená, že se musíte doptat firem, které vám spravují IT, stroje nebo účetní systém — jak se dostávají dovnitř, kdo u nich má přístup, co se stane při incidentu u nich. Odpověď trvá týdny a někdy vyžaduje dodatek smlouvy.

Vícefaktorové ověřování napříč všemi účty. Technicky práce na odpoledne, organizačně na měsíce — protože se najde deset výjimek, z nichž každá má svého obhájce. Čím dřív se do toho pustíte, tím míň to bolí.

Logování a jeho uchovávání. Zjištění, že se záznamy drží kratší dobu, než firma potřebuje, přijde obvykle pozdě. Změna se přitom týká licencí, tedy rozpočtu, tedy dalšího schvalování.

Hledání toho, co vlastně máme. Překvapivě častý brzdící faktor: firma nemá aktuální seznam serverů, aplikací, domén a účtů. Bez něj se nedá říct, co se chrání — takže první měsíc padne na soupis, který měl existovat dávno. Když to poznáváte, začněte ním; udělá se rychleji, než čekáte, a zpřehlední všechno ostatní.

Co se stane, když to nestihnete

Úřad může nařídit opatření k nápravě a uložit pokutu. Horní hranice jsou vysoké: v režimu vyšších povinností až 250 milionů Kč nebo 2 % čistého celosvětového ročního obratu, v režimu nižších povinností až 175 milionů Kč nebo 1,4 % obratu — vždy podle toho, která částka je vyšší.

Je férové dodat, že jde o horní hranice pro nejzávažnější případy a že se při ukládání zohledňují polehčující okolnosti. Nechceme na tom stavět prodejní argument — pokuta je fakt, ne pobídka. Podstatnější je něco jiného: odpovědnost leží na vedení firmy. Nejde ji přenést na správce IT ani na dodavatele. Detaily ke kontrolám a sankcím máme na rozcestníku.

Co u vás bude úřad chtít vidět

Kontrola nezačíná prohlídkou serverovny. Začíná dokumenty a otázkami, na které se odpovídá papírem nebo exportem ze systému. Připravte se na čtyři typy dotazů:

„Co je vaše regulovaná služba a co k ní patří?" Očekává se seznam systémů, dat a lidí, kterých se ochrana týká — a rozhodnutí vedení, které ten rozsah stanovilo.

„Jak to máte nastavené?" Tady nestačí popis. Chce se doklad ze systému: export nastavení, přehled pravidel, seznam účtů s vysokým oprávněním. Nejjednodušší je vytvořit si takový balíček jednou a pak ho jednou za čtvrtletí obnovit.

„Kdy jste to naposledy ověřili?" Nejčastější slabina. Zálohy běží, ale poslední zkušební obnova nebyla nikdy. Nouzový účet existuje, ale nikdo se jím nepřihlásil. Datum posledního testu je přitom to, co odlišuje splněnou povinnost od nesplněné.

„Kdo o tom rozhodl?" U každého opatření by mělo být dohledatelné, kdo ho schválil a kdy. Zápis z porady s podpisem stačí — nemusí to být nic honosného, ale musí to existovat.

Když si tyhle čtyři odpovědi připravíte průběžně, kontrola je administrativa. Když ne, je to týden hledání ve starých e-mailech.

Když jste ještě nezačali

Nejste sami a panika nepomůže. Tři kroky, které dávají smysl v tomhle pořadí:

1. Zjistěte, jak jste na tom zvenku. Bezplatný on-line security audit zkontroluje, co je z vaší domény veřejně vidět — SPF a DMARC, certifikáty, uniklá hesla. Pět minut, bez schůzky. Je to nejrychlejší způsob, jak mít první konkrétní seznam.

2. Zjistěte, jak jste na tom zevnitř. Většina opatření se u běžné firmy nastavuje v Microsoftu 365. Deset míst, kde to nejčastěji vázne, rozebíráme v článku NIS2 a Microsoft 365: 10 neshod, které nacházíme nejčastěji. Kdo chce mít prověřených všech zhruba padesát nastavení najednou, může si objednat NIS2 audit Microsoftu 365 za 14 900 Kč.

3. Dejte tomu vlastníka a termíny. Seznam bez data a jména je jen seznam. Tohle je jediný krok, který za vás nikdo neudělá.

Nejčastější otázky

Nestihli jsme se zaregistrovat. Co teď?

Povinnost tím nezmizela — trvá dál a prodlením se nic neruší. Nejrozumnější postup je ohlásit se co nejdřív; úřad běžně řeší situace, kdy firma povinnost zjistila pozdě. Odkládat to ale nemá smysl: čím dřív se registrujete, tím dřív začne běžet lhůta na opatření, kterou stejně budete potřebovat celou.

Musíme mít certifikaci, třeba ISO 27001?

Ne. Zákon certifikaci nevyžaduje. Existující systém řízení bezpečnosti vám splnění usnadní, protože máte hotovou část dokumentace a procesů, ale certifikát sám o sobě není podmínkou ani důkazem, že jste zákon splnili.

Stačí mít směrnice, nebo se kontroluje i nastavení?

Kontroluje se obojí. Směrnice říká, jak to má být; kontrola se ptá, jestli to tak je. Právě proto doporučujeme u každého opatření držet trojici rozhodnutí — nastavení — důkaz. Samotný dokument bez odpovídajícího nastavení je při kontrole spíš přitěžující: prokazuje, že jste o povinnosti věděli.

Kdo za to ve firmě odpovídá?

Vedení. To je asi nejdůležitější věta celého zákona pro majitele. Správce IT nebo externí dodavatel opatření zavádí, ale odpovědnost za to, že jsou zavedená, zůstává na vedení firmy. Prakticky to znamená mít jméno, které za to ručí, a psaný záznam o tom, co se schválilo a kdy.

Tenhle článek je orientační přehled, ne právní stanovisko. Vaše konkrétní zařazení, režim a přesná lhůta jsou ve vašem rozhodnutí o registraci.