Řízení a odpovědnosti
Kdo bezpečnost vlastní, kdo rozhoduje, kdo má rozpočet a kdo komunikuje během incidentu.
[ NIS2 / zákon č. 264/2025 Sb. ]
Zákon už platí. Víte, co přesně máte splnit vy?
Nový zákon o kybernetické bezpečnosti se nevztahuje na všechny stejně. Rozhoduje poskytovaná služba, velikost organizace, odvětví i režim povinností. Pomůžeme vám správně určit rozsah, zmapovat současný stav a převést požadavky do konkrétního plánu.
[ První rozhodnutí ]
Nejdřív musíte vědět, zda a v jakém rozsahu se vás regulace týká.
Nestačí být „firma z energetiky“ nebo „středně velká organizace“. Rozhoduje konkrétní regulovaná služba, podmínky významnosti a někdy také vztahy mezi propojenými podniky.
- 01
Poskytujete regulovanou službu?
Určíme konkrétní službu a odvětví, ne jen obecnou kategorii firmy.
- 02
Splňujete podmínky významnosti?
Prověříme velikost a další kritéria podle příslušné regulované služby.
- 03
Která část organizace je v rozsahu?
Vymezíme službu, podpůrná aktiva, procesy a odpovědné osoby.
- 04
Jaký režim se uplatní?
Nižší nebo vyšší režim určuje rozsah navazujících povinností.
[ Orientační posouzení BOIT ]
Týká se nový zákon právě vás?
Odpovězte na čtyři otázky. Bez registrace získáte orientační výsledek a doporučený další krok.
Nejde o právní stanovisko ani náhradu oficiálního posouzení.
[ Registrace je začátek ]
Bezpečnost nekončí odesláním formuláře.
Regulace se promítá do řízení organizace, každodenních procesů i technického provozu. Potřebujete systém, který lze používat a doložit.
Aktiva a rizika
Co organizace chrání, které systémy podporují regulovanou službu a jaká rizika mají prioritu.
Bezpečnostní opatření
Technická a organizační opatření odpovídající režimu i reálnému prostředí.
Incidenty a kontinuita
Jak incident rozpoznat, eskalovat, nahlásit a udržet nebo obnovit poskytování služby.
Dodavatelé a lidé
Bezpečnost dodavatelského řetězce, řízení přístupů, školení a připravenost zaměstnanců.
[ Co konkrétně dostanete ]
Neodejdete s prezentací. Odejdete s pracovním plánem.
Výstup musí být použitelný pro vedení, IT i vlastníky jednotlivých úkolů.
Vymezení rozsahu
Přehled regulovaných služeb, dotčených částí organizace a předpokládaného režimu.
Gap analýza
Co už máte, co neplní požadavek a co je pouze potřeba doložit nebo upravit.
Prioritizovaný plán
Úkoly seřazené podle rizika, zákonné priority, závislostí a náročnosti.
Matice odpovědností
Kdo rozhoduje, kdo provádí, kdo kontroluje a kdo má být informován.
Použitelná dokumentace
Politiky, postupy a evidence odpovídající skutečnému fungování organizace.
Incidentní scénář
Kontakty, eskalace, rozhodovací body, hlášení a návaznost na kontinuitu provozu.
[ Kde právě jste ]
Nemusíte kupovat celý projekt, když potřebujete zodpovědět jednu otázku.
Ověření působnosti
Pro organizace, které nevědí, zda spadají do regulace, jaké služby se posuzují nebo do kterého režimu patří.
Gap analýza a roadmapa
Pro organizace, které už mají rozsah určený, ale nevědí, jak daleko jsou od požadovaného stavu.
Implementační podpora
Pro organizace, které potřebují opatření, dokumentaci a odpovědnosti skutečně zavést.
Průběžná připravenost
Pro organizace, které nechtějí, aby bezpečnost skončila dokončením projektu.
[ Úkol pro vedení ]
NIS2 není úkol, který lze přeposlat na IT.
Technologie jsou jen jedna část. Vedení musí rozhodnout, kdo nese odpovědnost, co má prioritu a podle čeho pozná, že opatření fungují.
Rozhodnutí
Která rizika přijímáme, co má prioritu a jaké zdroje organizace uvolní.
Odpovědnost
Kdo vlastní bezpečnost regulované služby a kdo kontroluje plnění opatření.
Připravenost
Jak vedení pozná, že opatření skutečně fungují, nejen že existují v dokumentaci.
[ Jak spolupráce probíhá ]
Nezačínáme psaním směrnic. Začínáme tím, jak organizace funguje.
- 01
Scoping
Služby, organizace, odvětví, velikost a současný stav.
- 02
Rozsah a režim
Co je regulované, co je podpůrné a co do projektu nepatří.
- 03
Gap analýza
Lidé, procesy, dokumentace, technologie a dodavatelé.
- 04
Implementace
Nejdřív kritické mezery, potom dlouhodobá udržitelnost.
- 05
Ověření
Kontrola důkazů, odpovědností a fungování opatření v praxi.
[ Legislativní kompas ]
Pracujeme s aktuálními zdroji. Ne s prezentací z roku 2023.
Pravidla a podpůrné materiály se průběžně doplňují. Zdrojem pravdy jsou zákon, prováděcí předpisy a oficiální metodiky NÚKIB.
[ Časté dotazy ]
Co potřebujete vědět dřív, než začnete.
01Jak poznáme, zda poskytujeme regulovanou službu?
Podle konkrétní služby, odvětví a podmínek významnosti stanovených zákonem a vyhláškou. Orientační posouzení výše vám ukáže pravděpodobný směr; definitivní závěr musí zohlednit organizační a technický kontext.
02Jaký je rozdíl mezi nižším a vyšším režimem?
Režimy se liší rozsahem a detailností povinností, bezpečnostních opatření i hlášení incidentů. Konkrétní režim se odvozuje od poskytované regulované služby a jejích podmínek.
03Musíme koupit nový bezpečnostní software?
Ne automaticky. Nejdřív posoudíme stávající opatření a skutečné mezery. Nový nástroj má smysl pouze tehdy, když řeší konkrétní požadavek nebo riziko a organizace ho dokáže dlouhodobě provozovat.
04Umíte navázat na ISO 27001 nebo existující dokumentaci?
Ano. Nezačínáme od nuly, pokud už máte funkční systém řízení, bezpečnostní politiky nebo evidenci rizik. Stávající podklady znovu použijeme a doplníme pouze potřebné části.
05Poskytujete právní stanovisko?
BOIT řeší kybernetickou bezpečnost, praktickou implementaci opatření a technickou připravenost. Pokud situace vyžaduje formální právní stanovisko, doporučíme zapojení právního specialisty.