Slyšíte zkratku NIS2 (nebo "nový zákon o kybernetické bezpečnosti") ze všech stran? Nejste sami. Pro tisíce českých firem to znamená nové povinnosti, nové papírování a hrozbu citelných pokut, pokud něco zanedbají.

Mnoho jednatelů a majitelů menších firem si ale říká: „Tohle je jen pro velké banky a elektrárny. My máme 15 zaměstnanců, nás se to netýká.“

A právě to může být nákladný omyl.

Mýtus „malých ryb“ skončil

Nová pravidla hry, zásadně rozšiřují okruh firem, které musí řešit kybernetickou bezpečnost systematicky. Už to není jen o těch největších.

Regulace teď míří i na střední a malé podniky v klíčových sektorech. A ten seznam sektorů je delší, než si myslíte. Patří sem:

• Energetika a vodní hospodářství

• Doprava

• Zdravotnictví

• Digitální infrastruktura a IT služby (včetně poskytovatelů softwaru nebo správy IT)

• Výroba (např. zdravotnických prostředků)

• A mnoho dalších...

Problém je, že zjistit, jestli do toho spadáte, není vůbec jednoduché.

Nechte náš systém pracovat za vás

Připravili jsme bezplatný online test, který Vás nasměruje.

Náš systém se během několika sekund automaticky podívá do veřejných rejstříků (ARES, ČSÚ, ERÚ) a porovná údaje o vaší firmě s logikou nové směrnice NIS2.

Co získáte:

• Okamžitý výsledek: Žádné čekání na email. Ihned uvidíte, jestli se vás povinnost pravděpodobně týká.

• Jasné zařazení: Řekneme vám, zda spadáte do kategorie „vyšší povinnosti“, „nižší povinnosti“, nebo se vás regulace s největší pravděpodobností vůbec netýká.

• Je to zdarma: Tento první krok je zcela bezplatný a k ničemu vás nezavazuje.

Nestrkejte hlavu do písku a nečekejte, až vám přijde dopis od NÚKIB. 

[Zadejte své IČO a klikněte na "Ověřit"]

Přijetí nového zákona o kybernetické bezpečnosti (transpozice směrnice NIS2) představuje jednu z nejvýznamnějších změn v regulatorním prostředí za poslední roky. Přesto se mnoho manažerů a jednatelů domnívá, že se tato povinnost jejich organizace netýká.

Tento postoj často pramení z několika zásadních nepochopení nové legislativy. Identifikovali jsme pět nejčastějších mylných předpokladů, které mohou vést k podcenění rizika a následným provozním i finančním komplikacím.

1. Předpoklad: „Regulace míří pouze na velké podniky.“

Zatímco původní legislativa byla skutečně zaměřena především na provozovatele kritické infrastruktury, NIS2 mění pravidla hry. Primárním kritériem pro zařazení již není absolutní velikost podniku (ačkoli stále hraje roli), ale sektor a typ poskytované služby.

Pokud vaše firma poskytuje služby v jednom z definovaných odvětví (např. správa IT, poskytování softwaru, zdravotnictví, doprava), můžete spadat do regulace bez ohledu na to, zda máte 10 nebo 1000 zaměstnanců. Zákon nově explicitně cílí i na střední a v některých případech i malé podniky.

2. Předpoklad: „Naše odvětví není kritická infrastruktura.“

Okruh povinných subjektů se dramaticky rozšířil. NIS2 dělí subjekty do dvou kategorií (režim vyšších a nižších povinností) a pokrývá sektory, které dříve stály mimo pozornost:

• Digitální služby: Poskytovatelé cloudu, datových center, ale i B2B správci IT.

• Zdravotnictví: Včetně výrobců zdravotnických prostředků.

• Výroba: Zejména v oblastech strojírenství, chemického průmyslu nebo výroby vozidel.

• Potravinářství: Výroba i distribuce.

• Služby: Odpadové hospodářství, poštovní a kurýrní služby.

Je pravděpodobné, že se regulace dotkne sektorů, které si to dosud nepřipouštěly.

3. Předpoklad: „Jsme pouze dodavatel, odpovědnost nese odběratel.“

Toto je jedno z největších rizik v B2B segmentu. NIS2 klade enormní důraz na bezpečnost dodavatelského řetězce. Pokud je váš klíčový zákazník regulovaným subjektem, stává se jeho zákonnou povinností zajistit bezpečnost služeb, které od vás odebírá.

V praxi to znamená, že vaši odběratelé budou smluvně vyžadovat doložení shody s bezpečnostními standardy. Nepřipravenost na jejich požadavky se může rychle stát obchodní nevýhodou a vést ke ztrátě kontraktů.

4. Předpoklad: „Náš zapsaný předmět podnikání (NACE) je v pořádku.“

Regulatorní orgány (NÚKIB) nebude zajímat pouze to, co máte zapsáno v obchodním rejstříku, ale především vaše faktická a fakturovaná činnost.

Mnoho firem provozuje citlivé služby (např. správu serverů nebo vývoj softwaru) pod obecnou "Volnou živností". Pro posouzení relevance je však klíčové, jaká je skutečná povaha poskytovaných služeb, nikoli formální kód NACE.

5. Předpoklad: „Vyčkáme. Nebudeme na sebe aktivně upozorňovat.“

Na rozdíl od GDPR, kde byla řada povinností pasivních, nový zákon vyžaduje aktivní registraci u NÚKIB, pokud subjekt zjistí, že splňuje daná kritéria.

Spoléhat na to, že si firmy "nikdo nevšimne", je strategie s vysokým rizikem. Nejde jen o hrozbu sankcí, ale především o reputační škody a riziko, že v případě incidentu nebude firma schopna doložit, že provedla alespoň základní kroky k zabezpečení.

Získejte jistotu namísto dohadů

Nejistota ohledně vlastního postavení je zbytečné provozní riziko. Prvním krokem k profesionálnímu řízení této situace je objektivní posouzení.

Připravili jsme automatizovaný nástroj pro orientační posouzení, který na základě veřejných databází (ARES, ČSÚ, ERÚ) a logiky zákona analyzuje profil vaší společnosti.

[Zadejte své IČO pro spuštění bezplatné orientační analýzy]

Nový zákon o kybernetické bezpečnosti (NIS2) není jen další směrnicí. Je to fundamentální změna v přístupu k řízení rizik. Pro management firem to přináší klíčovou otázku: Kolik nás to bude stát?

Odpověď se skládá ze dvou částí: z nákladů na zavedení a z nákladů na odkládání. A ty druhé jsou téměř vždy vyšší.

Náklady, se kterými musíte počítat

Implementace NIS2 není jednorázový nákup antiviru. Je to proces, který vyžaduje zdroje. Typicky se náklady dělí do tří kategorií:

1. Analýza a Gap Analýza: První a nejdůležitější krok. Kde se vaše firma nachází teď a kam se potřebuje dostat, aby splnila požadavky? To vyžaduje expertní čas, ať už interní nebo externí.

2. Implementace opatření: To může zahrnovat cokoli od nákupu nových technologií (firewally, systémy pro detekci incidentů) až po zavedení nových procesů (řízení přístupů, plány obnovy po havárii).

3. Lidské zdroje a školení: Budete potřebovat někoho, kdo bude za kybernetickou bezpečnost zodpovídat (manažer kybernetické bezpečnosti). Všichni zaměstnanci navíc musí projít školením, aby rozuměli novým pravidlům a hrozbám.

Pro střední firmu se bavíme o investici v řádu desítek tisíc (za analýzu a procesy) až po statisíce korun (pokud chybí klíčové technologie).

Skryté náklady na odkládání

Mnoho firem zvolí strategii "počkáme, až co se stane". Tato strategie se zdá být levná, ale v praxi je extrémně drahá.

• Cena za paniku: Až se termín přiblíží (nebo až přijde první dotaz od odběratele), budete muset vše řešit narychlo. Externí konzultanti budou přetížení a jejich sazby budou na maximu. Budete muset přijmout první nabídku, která leží na stole, bez ohledu na její efektivitu.

• Ztráta obchodních příležitostí: Jak jsme zmínili v předchozím článku, vaši velcí klienti po vás budou vyžadovat doložení shody s NIS2. Pokud nebudete připraveni, jednoduše si vyberou dodavatele, který ano. Kolik stojí ztráta klíčového zákazníka?

• Neefektivní investice: Když hasíte požár, kupujete drahá a často zbytečná řešení. Systematický přístup vám umožní investovat chytře a pouze tam, kde je to skutečně potřeba.

• Pokuty a reputační škody: To je ta nejzazší varianta. Pokuty za nedodržení se mohou vyšplhat až na 250 milionů Kč nebo 2 % z celosvětového obratu.

Začněte chytře: Nejprve zjistěte, jestli se vás to týká

Než začnete poptávat drahé audity nebo nakupovat hardware, musíte si zodpovědět jednu základní otázku: Jak moc se nás to týká?

Spadáte do režimu vyšších povinností, nižších povinností, nebo se na vás regulace nevztahuje vůbec? Odpověď na tuto otázku dramaticky mění celý váš rozpočet.

Nemá smysl platit desítky tisíc za úvodní konzultaci jen proto, abyste zjistili, že se vás to netýká.

Proto jsme vytvořili Fázi 1 našeho procesu: bezplatný orientační test. Náš systém automaticky analyzuje data vaší firmy z veřejných zdrojů (ARES, ČSÚ) a porovná je s logikou nového zákona. Během 30 sekund získáte jasnou představu o své pozici.

Je to nejefektivnější první krok, který můžete udělat. Nic vás nestojí a ušetří vám to nejdražší komoditu – čas.

[Zjistěte svou výchozí pozici. Zadejte IČO pro bezplatnou analýzu.]