Ve zkratce:
- Opatření musíte zavést do roka od rozhodnutí o registraci.
- V nižším režimu je vždy povinný přehled opatření, odpovědná osoba, školení, zálohy a řešení incidentů. Ostatní podle svých potřeb, s odůvodněním toho, co nezavedete.
- Ochrana webu jako WEDOS NIS2 Standard pomůže u detekce, logů, sítě a aplikační bezpečnosti webu. Organizační část zákona nepokryje.
Opatření po oblastech
| Oblast | Nižší režim (410/2025) | Vyšší režim navíc (409/2025) | Pomůže ochrana webu |
|---|---|---|---|
| Přehled opatření§ 3 | tabulka všech opatření: zavedeno, v procesu (s termínem, prioritou a odpovědnou osobou), nezavedeno (s odůvodněním); aktualizace aspoň jednou ročně, uchovat 4 roky | systém řízení bezpečnosti informací (§ 3), prohlášení o aplikovatelnosti (§ 8) | ne |
| Odpovědné osoby§ 4 | osoba pověřená kybernetickou bezpečností, přehled aktiv a jejich priorit | výbor pro řízení KB, manažer, architekt, garanti aktiv, auditor (§ 4, § 5) | ne |
| Lidé a školení§ 5 | politika bezpečného chování, poučení a školení uživatelů, administrátorů i vedení, kontrola dodržování | plán rozvoje bezpečnostního povědomí (§ 10) | ne |
| Kontinuita a zálohy§ 6 | priority a pořadí obnovy aktiv, odpovědné osoby, pravidelné zálohy dat i konfigurací | analýza dopadů, minimální úroveň služby, doba obnovení chodu a bod obnovení dat, testované plány kontinuity a obnovy (§ 15) | částečně CDN a cache drží web dostupný i při výpadku serveru, zálohy ale nenahradí |
| Řízení přístupu§ 7 | práva jen v nutném rozsahu, oddělené uživatelské a administrátorské účty, pravidelné přezkoumání | samostatná pravidla pro řízení přístupových práv (§ 13, § 20) | ne |
| Ověření identity§ 8 | vícefaktorové přihlášení; dokud ho nemáte, klíče nebo certifikáty; nejméně hesla 12 znaků pro uživatele, 17 pro administrátory, 22 pro technické účty, změna aspoň jednou za 18 měsíců | správa a ověřování identit podle § 19, do zavedení vícefaktorového přihlášení evidence aktiv, účtů a způsobů přihlášení | ne |
| Detekce a logy§ 9 | kontrola provozu na perimetru a blokování nežádoucí komunikace, antimalware na serverech a stanicích, záznam událostí (čas, typ, aktivum, účet, výsledek); dobu uchování si určíte sami | centrálně spravovaný nástroj detekce (§ 21), logy aspoň 18 měsíců (§ 22), vyhodnocování událostí (§ 23) | částečně WAF a DDoS filtr na perimetru webu, logy 6 měsíců (Důležité) nebo 18 měsíců (Klíčové), reporty |
| Řešení incidentů§ 10 | nahlašování podezření zaměstnanci, metodika posuzování událostí, detekce, hlášení a závěrečná zpráva | procesy a přidělené odpovědnosti pro zvládání incidentů, sběr a uchování podkladů pro analýzu (§ 14) | částečně podklady pro hlášení útoků na web; u Klíčové upozornění na incidenty |
| Bezpečnost sítě§ 11 | segmentace sítě včetně oddělení záloh, omezení komunikace na perimetru, bezpečné protokoly, kontrola vzdáleného přístupu | dokumentovaná segmentace včetně vývojového, testovacího a administrátorského prostředí, časové omezení vzdáleného přístupu (§ 18) | částečně filtr provozu před webem, anycast DNS, HTTPS |
| Aplikační bezpečnost§ 12 | bezodkladné bezpečnostní aktualizace, náhrada nepodporovaného softwaru, skenování zranitelností | skenování zranitelností aspoň ročně, penetrační testy aspoň jednou za 2 roky (§ 24) | částečně WAF zachytí běžné útoky na web (SQL injection, XSS), aktualizace ale nenahradí |
| Kryptografie§ 13 | odolné šifrování podle doporučení NÚKIB, bezpečná e-mailová, hlasová a nouzová komunikace | nástroj pro správu kryptografických klíčů a certifikátů (§ 25) | částečně HTTPS certifikát pro web |
Zkrácený přehled. Úplné znění: vyhláška 410/2025 Sb. a vyhláška 409/2025 Sb. Vyšší režim má i další oblasti: řízení aktiv (§ 7), rizik (§ 8), dodavatelů (§ 9), změn (§ 11), audit (§ 16), fyzickou bezpečnost (§ 17), dostupnost služby (§ 26) a průmyslové systémy (§ 27).
Přehled opatření: s čím začít
V nižším režimu je základem tabulka podle přílohy 1 vyhlášky 410/2025 Sb. Pro každé opatření uvedete, jestli je zavedeno, v procesu, nebo nezavedeno, a k rozpracovaným termín, prioritu a odpovědnou osobu. Tabulku aktualizujete aspoň jednou ročně a starší verze uchováte 4 roky. Kontrola NÚKIB začne nejspíš právě u ní.
- Sepište služby a technická aktiva, na kterých stojí (servery, síť, web, cloud, účetnictví).
- Zapněte vícefaktorové přihlášení všude, kde to jde: e-mail, VPN, administrace webu, hosting, doména.
- Oddělte administrátorské účty od běžných.
- Zálohujte mimo produkční síť a obnovu jednou vyzkoušejte.
- Zapněte logování přihlášení a změn a určete, jak dlouho logy držíte.
- Nastavte, kdo a jak posoudí incident a nahlásí ho do 24 hodin (viz hlášení incidentů).
Co zajistí ochrana webu a co ne
Služby typu WEDOS NIS2 Standard stojí před webem: odfiltrují DDoS útoky a škodlivé požadavky (WAF), drží web přes CDN a anycast DNS dostupný a ukládají logy. Tarif Důležité za 4 975 Kč měsíčně uchová logy 6 měsíců, Klíčové za 10 000 Kč 18 měsíců, což odpovídá minimu pro vyšší režim. Ceny bez DPH, ověřené 5. 11. 2026. Jde ale jen o web: e-mail, interní síť, koncové stanice, zálohy ani organizační opatření tím vyřešené nemáte.
Pro web mimo zákon stačí levnější tarify, přehled je na stránce WEDOS Protection: ceník a srovnání s Cloudflare na stránce ochrana webu.
Proč na zálohách a kontinuitě záleží
Nemocnice Benešov, prosinec 2019
Ransomware 11. 12. 2019 zašifroval data na počítačích nemocnice. Podle policie nešlo o útok cílený přímo na ni. Nemocnice výkupné neplatila a škodu vyčíslila na víc než 59 milionů korun, pachatele se nepodařilo zjistit. Ukazuje, proč zákon chce zálohy oddělené od sítě a vyzkoušenou obnovu.
Zdroj: Policie ČR, 18. 8. 2020
Fakultní nemocnice Brno, březen 2020
Podle NÚKIB nejzávažnější incident roku 2020: ransomware zašifroval systémy, provoz nemocnice byl výrazně omezen na třech lokalitách a škody šly do stovek milionů korun. Poskytování zdravotní péče je dnes regulovaná služba (bod 18.1), velké nemocnice spadají do vyššího režimu.
