O co jde
Směrnice Evropské unie 2022/2555, známá jako NIS2, stanovuje společný rámec kybernetické bezpečnosti pro členské státy Evropské unie. Česká republika ji promítla do vnitrostátního práva zákonem č. 264/2025 Sb., o kybernetické bezpečnosti, který je účinný od 1. listopadu 2025. Dohled nad plněním v České republice vykonává Národní úřad pro kybernetickou a informační bezpečnost, zkráceně NÚKIB.
Zákon nahrazuje dřívější úpravu a rozšiřuje okruh subjektů, na které se bezpečnostní povinnosti vztahují - už nejde jen o provozovatele klíčových informačních systémů, ale o širší množinu firem a institucí napříč obory.
Dva režimy povinností
Zákon rozlišuje dva režimy podle významu poskytované služby a velikosti organizace - režim vyšších povinností a režim nižších povinností.
- Do režimu vyšších povinností spadají zpravidla větší nebo významnější poskytovatelé regulovaných služeb - tam, kde je dopad případného incidentu na fungování odvětví nebo na uživatele nejvyšší.
- Režim nižších povinností stanovuje užší množinu povinností, které představují základní organizační a technická bezpečnostní opatření.
Jedna regulovaná osoba spadá vždy jen do jednoho režimu - pokud byť jedna z jejích služeb splňuje podmínky vyššího režimu, uplatní se vyšší režim pro celou osobu. Rozdělení do režimů stanovuje NÚKIB prováděcím předpisem. To, jestli se povinnost týká konkrétní firmy a ve kterém režimu, je vždy potřeba ověřit individuálně - obor činnosti a velikost firmy samy o sobě odpověď nedávají automaticky.
Co zákon typicky vyžaduje
Regulované osoby musí zavést řízení rizik a odpovídající bezpečnostní opatření organizačního i technického charakteru. V praxi to zahrnuje mimo jiné ochranu sítí a informačních systémů, řízení přístupů, řešení dodavatelských rizik, plán zvládání bezpečnostních incidentů a schopnost incident zaznamenat, vyhodnotit a nahlásit NÚKIB v zákonem stanovených lhůtách.
Rozsah konkrétních opatření se liší podle režimu - vyšší režim klade nároky na širší a hlubší množinu opatření než nižší. Společné oběma režimům je, že jde o průběžnou povinnost, ne jednorázový úkol - opatření je potřeba udržovat, aktualizovat a umět jejich fungování doložit, ne jen jednou zavést a nechat být.
Proč se to týká i firem, které NIS2 dřív neznaly
Předchozí právní úprava kybernetické bezpečnosti v ČR dopadala jen na užší okruh provozovatelů klíčových a významných informačních systémů. Nový zákon okruh regulovaných osob rozšiřuje napříč obory - typicky se dnes ptají i firmy, které dřív měly za to, že se jich kybernetická bezpečnost jako zákonná povinnost netýká: menší výrobní podniky, poskytovatelé služeb pro veřejnou správu nebo firmy v dodavatelském řetězci větších regulovaných subjektů. I tam, kde firma zákonnou povinnost nemá, dává řešení síťové bezpečnosti praktický smysl samo o sobě - regulace jen pojmenovává to, co je stejně rozumné mít zavedené.
Kde do toho zapadá firewall
Firewall pokrývá technickou část požadavků na ochranu perimetru a vnitřní sítě - segmentaci provozu podle citlivosti dat, kontrolu a prevenci průniku (viz náš článek o UTM funkcích), bezpečný vzdálený přístup přes VPN a záznamy o dění v síti, které se hodí i při dokládání souladu s požadovanými opatřeními.
Není to jediné opatření, které zákon vyžaduje - patří sem i řízení přístupů, zálohování, řízení dodavatelů nebo plán zvládání incidentů. Je to ale jeden z hmatatelných technických základů, na kterém se dá stavět zbytek. Firma, která dosud spoléhala jen na směrovač od poskytovatele (viz rozdíl mezi směrovačem a firewallem), tu obvykle řeší základní mezeru jako první.
Jak zjistit, jestli se vás zákon týká
Zařazení pod NIS2 a do konkrétního režimu je právní otázka, kterou má smysl ověřit individuálně - ideálně s právníkem nebo přímo u NÚKIB. Pro orientační první krok provozujeme bezplatný test na check.nis2ok.cz, sesterském projektu zaměřeném přímo na orientaci v této oblasti.
Technickou stránku - firewall, segmentaci sítě a síťovou bezpečnost - pak pomáháme řešit my. Právní zařazení a formální náležitosti u NÚKIB je potřeba probrat se specialistou na danou oblast.