Služby
Fractional CTO / AI lead
Technologické vedení na část úvazku pro firmy, které potřebují CTO, ale ne na plný úvazek. Strategie, tým, dodavatelé a AI.
Produkty · NIS2 a kybernetická bezpečnost
Povinnosti podle zákona o kybernetické bezpečnosti bez vlastního bezpečnostního týmu
Pro střední firmy a obce, které spadají pod nový zákon o kybernetické bezpečnosti, ale nemají vlastního bezpečnostního specialistu.
S čím se potýkáte
Registraci máme, co teď
Službu jste ohlásili NÚKIB, přišlo rozhodnutí o registraci a začala běžet roční lhůta. Nikdo ve firmě ale přesně neví, co do ní musí být hotové.
IT správce na to nemá čas ani mandát
Správa sítě a uživatelů zabere celý týden. Analýza rizik, směrnice a hlášení incidentů do 24 hodin jsou úplně jiná práce, kterou nikdo nedělal.
Dokumentace zastará za půl roku
Jednorázový projekt od poradce skončí v šanonu. Pak se změní systémy, dodavatelé i lidé a dokumenty přestanou odpovídat realitě.
Co přesně zákon požaduje
Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, je účinný od 1. 11. 2025 a převádí do českého práva evropskou směrnici NIS2. Pod regulaci se tak dostaly tisíce organizací: podle NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) se k 8. 2. 2026 ohlásilo 4 825 subjektů.
Regulovaná organizace musí:
- ohlásit regulovanou službu NÚKIB do 60 dnů ode dne, kdy splnila podmínky,
- zavést bezpečnostní opatření podle vyhlášky pro svůj režim (409/2025 Sb., nebo 410/2025 Sb.),
- hlásit kybernetické incidenty – prvotní hlášení do 24 hodin od zjištění, oznámení do 72 hodin, přes Portál NÚKIB.
Zákon rozlišuje režim vyšších povinností (vyhláška 409/2025 Sb.) a režim nižších povinností (vyhláška 410/2025 Sb.). Do kterého režimu patříte, určuje typ služby a velikost podle vyhlášky 408/2025 Sb., o regulovaných službách.
Klíčové termíny
| Datum | Co se děje |
|---|---|
| 1. 11. 2025 | Účinnost zákona č. 264/2025 Sb. a prováděcích vyhlášek |
| 31. 12. 2025 | Uplynula lhůta k ohlášení pro subjekty, které podmínky splňovaly k 1. 11. 2025 |
| průběžně | 60 dnů na ohlášení pro ty, kdo podmínky splní později |
| 1 rok od doručení rozhodnutí o registraci | Termín pro zavedení bezpečnostních opatření a hlášení incidentů |
Pro většinu organizací registrovaných na přelomu let 2025 a 2026 tak termín zavedení opatření padá do roku 2026 nebo na začátek roku 2027. Rozhodující je datum doručení vašeho rozhodnutí.
Koho se zákon týká
Pod zákon spadají zejména střední a velké podniky (podle doporučení Komise 2003/361/ES) v regulovaných odvětvích. Patří mezi ně například energetika, doprava, vodní a odpadové hospodářství, zdravotnictví, digitální infrastruktura, finanční trh, výroba, potravinářství, chemie a veřejná správa. Některé služby, například cloud nebo DNS, jsou regulované bez ohledu na velikost poskytovatele. Přesná kritéria pro jednotlivé služby stanoví vyhláška 408/2025 Sb. Pokud si nejste jistí, začněte self-checkem NIS2.
Sankce
Za porušení povinností hrozí v režimu vyšších povinností pokuta až 250 000 000 Kč nebo 2 % celosvětového ročního obratu, v režimu nižších povinností až 175 000 000 Kč nebo 1,4 %, vždy podle toho, která částka je vyšší.
Co dostanete
- Ověření, zda a v jakém režimu (nižších, nebo vyšších povinností) pod zákon spadáte
- Registr aktiv – přehled systémů, dat, služeb a dodavatelů, které chráníte
- Analýza rizik s návrhem opatření a jejich priorit
- Bezpečnostní dokumentace podle příslušné vyhlášky (410/2025 Sb., případně 409/2025 Sb.)
- Incidentní proces – kdo, co a kdy hlásí NÚKIB, včetně šablon prvotního hlášení a oznámení
- Plán zavedení opatření s termíny vázanými na vaši roční lhůtu
- Měsíční údržba – aktualizace registru, rizik a dokumentace, kontrola plnění opatření
Jak to probíhá
1. týden
Úvodní konzultace a zařazení
Projdeme vaše služby, velikost a rozhodnutí o registraci. Ověříme režim povinností a termín, do kdy musíte opatření plnit.
2.–4. týden
Registr aktiv a analýza rizik
S vaším IT a vedením sepíšeme aktiva, dodavatele a hrozby. Výstupem je analýza rizik s prioritami.
5.–8. týden
Dokumentace a incidentní proces
Připravíme bezpečnostní dokumentaci a postup hlášení incidentů a projdeme je s odpovědnými lidmi.
průběžně, měsíčně
Měsíční údržba
Aktualizujeme registr a dokumentaci při změnách, hlídáme termíny a připravujeme podklady pro vedení.
Pro koho to je
- Střední firmy, které ohlásily regulovanou službu NÚKIB nebo to teprve zvažují
- Obce a organizace veřejné správy bez vlastního bezpečnostního specialisty
- Firmy, které díky růstu nově splnily podmínky regulace
- IT vedoucí, kteří potřebují oporu pro dokumentaci a jednání s vedením
Pro koho to není
- Velké organizace s vlastním bezpečnostním týmem, které hledají jen specializovaný penetrační test
- Firmy, které hledají právní zastoupení ve správním řízení s NÚKIB
- Kdo chce jen koupit šablony dokumentů bez jejich přizpůsobení
Proč s námi
Bezpečnost vidíme z pohledu provozu
Řídíme celé SDLC od analýzy po provoz. Opatření navrhujeme tak, aby šla v běžném provozu skutečně dodržovat.
Zkušenost s vedením týmů a rolí CTO
Umíme vysvětlit rizika vedení a domluvit se s IT správcem i externími dodavateli na konkrétních úkolech.
Rychlost díky AI nástrojům
Rutinní části, jako je převod inventury do registru aktiv nebo aktualizace dokumentace, zvládáme s pomocí AI nástrojů rychleji. Každý výstup ale kontroluje člověk.
Self-check
Týká se vás to? Zjistěte to za 3 minuty
Krátký dotazník s okamžitým výsledkem a doporučenými kroky. Bez registrace a bez e-mailu.
Checklist zdarma
Stáhněte si checklist zdarma
NIS2: týká se nás nový zákon o kybernetické bezpečnosti? + prvních 10 kroků. Rychlý test, zda vaše firma spadá pod zákon č. 264/2025 Sb., o kybernetické bezpečnosti, a deset prvních kroků, pokud ano. Pro majitele, ředitele a IT vedoucí.
Časté otázky
Od kdy platí nový zákon o kybernetické bezpečnosti?
Zákon č. 264/2025 Sb. je účinný od 1. 11. 2025. Nahradil dřívější zákon č. 181/2014 Sb. a převádí do českého práva směrnici NIS2.
Do kdy jsme měli službu ohlásit NÚKIB?
Subjekty, které podmínky splňovaly k 1. 11. 2025, měly lhůtu do 31. 12. 2025. Kdo podmínky splní později, například růstem firmy, má na ohlášení 60 dnů ode dne, kdy je splnil.
Kolik času máme na zavedení bezpečnostních opatření?
Nejpozději 1 rok ode dne doručení rozhodnutí o registraci regulované služby. Konkrétní termín tedy závisí na datu, kdy vám rozhodnutí přišlo.
Jak rychle se hlásí kybernetický incident?
Prvotní hlášení je nutné podat nejpozději do 24 hodin od zjištění incidentu a oznámení do 72 hodin. Hlásí se přes Portál NÚKIB.
Jaký je rozdíl mezi režimem nižších a vyšších povinností?
Režim vyšších povinností platí pro subjekty s vyšším ekonomickým, společenským nebo bezpečnostním významem a má rozsáhlejší opatření podle vyhlášky 409/2025 Sb. Ostatní spadají do režimu nižších povinností podle vyhlášky 410/2025 Sb.
Jaké hrozí pokuty?
V režimu vyšších povinností až 250 000 000 Kč nebo 2 % celosvětového ročního obratu, v režimu nižších povinností až 175 000 000 Kč nebo 1,4 % obratu. Platí vyšší z částek.
Nahradíte nám bezpečnostního manažera?
Připravíme a udržujeme podklady a procesy, ale odpovědnost za řízení bezpečnosti zůstává u vás. Pomůžeme určit, kdo ve firmě bude tuto roli plnit.
Související nabídky
Služby
Záchrana legacy systémů
Migrace z MS Access, Excelových maker a starého PHP na moderní aplikaci. Postupně, bez výpadku provozu, s dokumentací.
Produkty
AI Act a AI gramotnost
Školení AI gramotnosti, šablona interní AI směrnice a evidence proškolení pro firmy, kde lidé používají ChatGPT, Copilot nebo Claude.
Nezávazná konzultace
Napište, co řešíte. Ozveme se a domluvíme krátký hovor, ve kterém zjistíme, jestli a jak můžeme pomoct.