NIS2 klepe na dveře: Co to znamená pro vaši firmu?

‍Co NIS2 přináší a koho se týká

Směrnice NIS2 přináší nové povinnosti v oblasti řízení kybernetických rizik. Reaguje na rostoucí počet útoků i závislost firem na digitální infrastruktuře.

‍

Oproti předchozí legislativě se výrazně rozšiřuje okruh regulovaných subjektů. Nově se povinnosti týkají nejen kritické infrastruktury, ale také:

• Firem s více než 50 zaměstnanci nebo obratem nad 10 milionů eur.
• Vybraných subjektů v odvětvích jako zdravotnictví, energetika, doprava, finance, digitální služby, veřejná správa nebo cloud computing.
• Menších dodavatelů, pokud hrají klíčovou roli v kritických sektorech.

Pokud tedy provozujete cloudovou platformu, dodáváte software pro nemocnice, poskytujete datové služby v oblasti energetiky, nebo jste součástí rozsáhlejšího technologického řetězce, velmi pravděpodobně se na vás nové povinnosti vztahují.

‍

Z pohledu firem nejde jen o právní změnu, ale především o zásah do fungování interních procesů, nástrojů, řízení lidských rolí a odpovědností. A to vyžaduje čas, know-how i systematický přístup. Zvlášť u společností, které doposud kybernetickou bezpečnost řešily spíše ad hoc.

Jak s tím umíme pomoci v Etnetera Core

Požadavky NIS2 zasahují do více oblastí. Od technických opatření až po vnitrofiremní kulturu bezpečnosti. V Etnetera Core jsme připraveni pomoci s tím, co firmám dává největší smysl právě teď. Zaměřujeme se na praktické kroky, které posilují odolnost IT prostředí a zároveň podporují soulad s regulacemi a bezpečnostními standardy.

Co firmám nabízíme:

• Školení pro administrátory, vývojáře i běžné uživatele, která pomáhají zvyšovat bezpečnostní gramotnost napříč firmou a snižovat riziko chyb způsobených lidským faktorem.
• Skenování infrastruktury a manuální penetrační testy, díky kterým dokážeme odhalit slabá místa dřív, než je zneužije útočník.
• Konzultace stavu sítě a bezpečnostní architektury, včetně doporučení na zefektivnění, zpřehlednění nebo posílení stávajícího řešení.
• Tvorbu interních bezpečnostních směrnic a pravidel, které odpovídají běžným regulatorním požadavkům i standardům jako ISO 27001.

Naši odborníci mají za sebou desítky projektů napříč sektory od e-commerce přes finance až po veřejné instituce. Díky tomu dokážeme přizpůsobit přístup konkrétním potřebám a možnostem každé organizace. Nejde nám o univerzální řešení, ale o to, co bude skutečně fungovat ve vašem prostředí.

Kdy začít a co rozhodně neodkládat

Vzhledem k tomu, že všechna opatření musejí být splněna do 1. listopadu 2026, nedává smysl vybírat si jen některé „prioritní“ body. Klíčem je vytvořit realistický plán a začít včas.

Co je potřeba řešit nejdřív

1. Zjistit, jestli se na vaši firmu NIS2 vztahuje a v jakém režimu.
   Ne všechny firmy spadají pod stejné požadavky. Režim se odvíjí od velikosti firmy, typu služeb nebo odvětví, ve kterém působí.
2. Ohlásit se na Portálu NÚKIB.
   Pokud se na vás zákon vztahuje, je potřeba firmu oficiálně nahlásit jako regulovaný subjekt.‍
3. Provést GAP analýzu.
   Tedy zjistit, které požadavky už splňujete a kde máte mezery. To je základní kámen pro vytvoření realistického plánu.

Co firmy často podceňují

• Časovou náročnost jednotlivých opatření.Zavedení některých technických kroků může trvat měsíce, zejména pokud se společnost těmito tématy ještě nezabývala. Za časově nejnáročnější považujeme například nastavení síťového monitoringu tak, aby bylo možné adekvátně detekovat a reagovat na incidenty nebo zavedení strukturovaného řízení přístupů a oprávnění na všechny systémy společnosti. A to včetně zavedení vícefaktorové autentizace pro ověření identity administrátorů, uživatelů a technických aktiv. Překvapit může ale například i požadavek na provádění testů kontinuity a obnovy.‍
• Odhad náročnosti lidských i finančních zdrojů.
  Řada firem zvažuje realizaci „inhouse“, ale nemá k dispozici dostatečnou odbornou kapacitu. To může celý projekt prodloužit nebo zablokovat.‍
• Potřebu testování a ladění.
  Nestačí opatření jen nasadit. Je potřeba ověřit, že fungují správně, a že jim rozumí ti, kdo s nimi budou pracovat.

GAP analýza by měla sloužit jako základ pro realistický plán. Součástí by měl být i časový odhad zavedení jednotlivých opatření, aby bylo jasné, co řešit hned a co později.

‍

Firmám doporučujeme zaměřit se nejdříve na kroky, které mají dlouhou implementační dobu, vyžadují hlubší odbornost nebo zasahují napříč týmy.

Nepodceňte přípravu. Máte na to rok, ale času není nazbyt.

Zavedení bezpečnostních opatření podle NIS2 je běh na delší trať. Mnoho firem zjistí, že rok na přípravu uteče rychleji, než čekaly. Klíčová je včasná analýza, realistický plán a zkušený partner.

‍

Směrnice ani zákon přitom neurčují, jaký nástroj nebo dodavatele zvolit. Požadují výsledek. Funkční a udržitelný systém kybernetické bezpečnosti, který odpovídá velikosti a charakteru konkrétní firmy. Nejde tedy jen o splnění formálních povinností, ale o schopnost chránit klíčová aktiva, předcházet incidentům a udržet provoz v chodu. A právě to je proces, který vyžaduje čas, promyšlené kroky a zapojení lidí napříč celou firmou. Od IT až po vedení.

‍

Právě s takovým přístupem firmám pomáháme. Nejde nám jen o to, abyste splnili zákonné požadavky. Naším cílem je bezpečnostní strategie, která bude dlouhodobě udržitelná a funkční.

‍

Chcete vědět, co všechno vás čeká? Ozvěte se nám. Společně se podíváme na vaši situaci a navrhneme další kroky tak, aby vám nová směrnice nepřerostla přes hlavu.

‍