Ve zkratce:
- Nižší režim: jedna osoba pověřená kybernetickou bezpečností se školením nebo prokázanou znalostí.
- Vyšší režim: výbor pro řízení KB, manažer, architekt, garanti aktiv a auditor. Manažer, architekt i auditor potřebují aspoň 3 roky praxe.
- Vedení firmy musí samo absolvovat školení a odpovídá za zdroje.
Role podle režimu
| Role | Kdy | Co dělá | Požadavky |
|---|---|---|---|
| Osoba pověřená kybernetickou bezpečností | nižší režim | řídí a rozvíjí kybernetickou bezpečnost, dohlíží na její stav, komunikuje s vedením | odborné školení bez zbytečného odkladu, nebo prokázaná odborná znalost (§ 4 vyhl. 410) |
| Výbor pro řízení KB | vyšší režim | řídí a rozvíjí systém řízení bezpečnosti informací, schází se aspoň jednou ročně, o jednání se pořizuje záznam | aspoň 1 člen vedení nebo jím pověřená osoba a manažer KB (§ 4 odst. 3 vyhl. 409) |
| Manažer KB | vyšší režim | řídí systém řízení bezpečnosti informací, pravidelně informuje vedení | vyškolení a aspoň 3 roky praxe s řízením KB nebo bezpečnosti informací; nesmí odpovídat za provoz technických aktiv služby; zastupitelnost |
| Architekt KB | vyšší režim | navrhuje zavedení opatření tak, aby architektura služby byla bezpečná | vyškolení a aspoň 3 roky praxe s návrhem bezpečnostních opatření; zastupitelnost |
| Garant aktiva | vyšší režim | odpovídá za rozvoj, použití a bezpečnost konkrétního aktiva | vyhláška zvláštní praxi nepředepisuje |
| Auditor KB | vyšší režim | provádí audit kybernetické bezpečnosti, nestranně | vyškolení a aspoň 3 roky praxe s audity KB nebo ISMS; nesmí zastávat jinou bezpečnostní roli |
Podle § 4 a 5 vyhlášky 409/2025 Sb. a § 4 vyhlášky 410/2025 Sb.
Co musí udělat vedení firmy
- Nižší režim: určit osobu pověřenou KB a dát jí pravomoci, samo prokazatelně absolvovat školení, zajistit zdroje podle přehledu opatření, seznamovat se se stavem jejich plnění a stanovit prioritu obnovy primárních aktiv.
- Vyšší režim: navíc stanovit bezpečnostní politiku a cíle, zřídit výbor, určit všechny role a jejich zástupy, zajistit testování plánů kontinuity a obnovy a prokazatelně se seznamovat se zprávou o hodnocení rizik, plánem zvládání rizik a výsledky auditů.
Jak roli obsadit v menší firmě
V nižším režimu může osobou pověřenou KB být například vedoucí IT nebo provozu, pokud projde odborným školením. Ve vyšším režimu jedna osoba nestačí: manažer nesmí spravovat techniku služby, auditor nesmí mít jinou bezpečnostní roli a manažer s architektem potřebují zástup. Chybějící role jde obsadit externě. Ověřte si u dodavatele doloženou praxi 3 roky a vyškolení, vyhláška je chce u konkrétní osoby.
Na čem budou pověřené osoby pracovat jako první: přehled bezpečnostních opatření, analýza rizik a postup pro hlášení incidentů.
Technickou část webu můžete svěřit dodavateli
Ochranu webu před útoky a ukládání logů nemusí řešit vlastní lidé. Dodavatel ale musí splnit požadavky, které na něj klade zákon (§ 13 odst. 5), a ve vyšším režimu patří do smlouvy ustanovení z přílohy 5 vyhlášky 409/2025 Sb.
