Krok 1 · Rozřazení subjektu
a) Spadáte do zvláštní skupiny bez ohledu na velikost?
Odpovězte na otázky výše.
Orientační rozřazení podle čl. 2 a 3 směrnice (EU) 2022/2555. Závazné je posouzení podle zákona o kybernetické bezpečnosti a metodiky NÚKIB (v ČR lze využít samoidentifikaci na portálu NÚKIB). Velikost se posuzuje včetně partnerských a propojených podniků.
Hodnocení podle českého zákona č. 264/2025 Sb. a postupu NÚKIBRežim vyšších / nižších povinností, vyhlášky č. 409/2025 a 410/2025 Sb.→Krok 2: níže vyhodnoťte požadavky v kontrolním listu.
Kontrolní list · C / NC / R / NA / NE
Kontrolní list — NIS2 (EU) 2022/2555
Kontrolní list podle směrnice NIS2 (EU) 2022/2555 a zákona o kybernetické bezpečnosti: rozřazení subjektu, odpovědnost vedení, opatření čl. 21, hlášení incidentů a dokumentace.
Legenda:C — ShodaNC — NeshodaR — PřipomínkaNA — NeaplikovatelnéNE — Nehodnoceno
- A.1Organizace ověřila, zda spadá do působnosti NIS2 (odvětví příloh I/II, velikost, zvláštní případy).
- A.2Organizace je registrována u příslušného orgánu (v ČR NÚKIB) a údaje jsou aktuální.
- A.3Je určen rozsah: služby, systémy a aktiva, na které se povinnosti vztahují.
- B.1Statutární orgán schválil opatření k řízení kybernetických rizik a dohlíží na jejich provádění.
- B.2Členové vedení absolvovali školení kybernetické bezpečnosti.
- B.3Jsou určeny role a odpovědnosti (např. manažer kybernetické bezpečnosti).
- B.4Zaměstnanci jsou pravidelně školeni a seznamováni s riziky.
- 21(a)Politiky analýzy rizik a bezpečnosti informačních systémů jsou zavedeny a pravidelně přezkoumávány.
- 21(a)-RAAnalýza rizik je provedena, zdokumentována a aktualizována; aktiva jsou evidována.
- 21(b)Zvládání incidentů: postup detekce, vyhodnocení, reakce a obnovy je zaveden a vyzkoušen.
- 21(c)Kontinuita provozu: zálohování, obnova po havárii a krizové řízení jsou zavedeny a testovány.
- 21(d)Bezpečnost dodavatelského řetězce: dodavatelé jsou hodnoceni a smlouvy obsahují bezpečnostní požadavky.
- 21(e)Bezpečnost při pořizování, vývoji a údržbě systémů včetně řešení a zveřejňování zranitelností.
- 21(e)-PMZáplatování a řízení zranitelností probíhá pravidelně a je evidováno.
- 21(f)Účinnost opatření je pravidelně hodnocena (audity, testy, metriky).
- 21(g)Základní kybernetická hygiena a školení jsou zavedeny (hesla, phishing, bezpečné chování).
- 21(h)Kryptografie a šifrování jsou používány podle stanovené politiky.
- 21(i)Bezpečnost lidských zdrojů, řízení přístupu a správa aktiv (nástup, změna, odchod).
- 21(i)-PAMPrivilegované účty jsou omezeny, evidovány a monitorovány.
- 21(j)Vícefaktorová autentizace, zabezpečená hlasová/video/textová komunikace a nouzová komunikace jsou použity tam, kde je to vhodné.
- 21-LOGBezpečnostní události jsou zaznamenávány (logy) a vyhodnocovány.
- 21-NETSíť je segmentována; vzdálený přístup a OT/průmyslové systémy jsou chráněny.
- 23.1Jsou stanovena kritéria významného incidentu a odpovědnost za hlášení.
- 23.4aVčasné varování je možné podat do 24 hodin od zjištění významného incidentu.
- 23.4bOznámení incidentu s prvotním posouzením lze podat do 72 hodin.
- 23.4dZávěrečná zpráva se podává nejpozději do 1 měsíce po oznámení.
- 23.2Příjemci služeb jsou bez zbytečného odkladu informováni o významných incidentech a hrozbách.
- E.1Dokumentace opatření (politiky, analýza rizik, záznamy o incidentech, školení) je vedena a dostupná pro kontrolu.
- E.2Výsledky auditů a kontrol jsou řešeny nápravnými opatřeními s termíny.
- E.3Plán zlepšování kybernetické bezpečnosti je pravidelně aktualizován.
Informativní pracovní pomůcka. Požadavky jsou zkrácené parafráze, vždy je ověřte podle aktuálního znění předpisů a norem. Data se ukládají pouze ve vašem prohlížeči.