Zákon o kybernetické bezpečnosti

Pro majitele webu z toho plynou dvě otázky: týká se zákon mé firmy, a pokud ano, co to znamená pro web? V tomto článku popisuji obojí a přidávám i to, co se vyplatí udělat firmám, na které zákon nedopadá.

Obsah

1. Na koho se zákon vztahuje
2. Co zákon firmám ukládá
3. Jak to souvisí s webovými stránkami
4. Co když pod zákon nespadáte
5. Co to znamená pro weby na Drupalu

Na koho se zákon vztahuje

Zákon připravil NÚKIB a převádí do českého práva evropskou směrnici NIS2. Jeho cílem je zajistit alespoň základní úroveň zabezpečení u organizací, jejichž služby jsou důležité pro ekonomiku, společnost nebo bezpečnost státu.

Rozhodují dvě věci. První je odvětví, ve kterém firma poskytuje své služby. Druhá je velikost firmy. Zákon se zpravidla týká středních a velkých podniků, tedy firem od 50 zaměstnanců nebo s ročním obratem nad 10 milionů eur. U některých služeb, například ve veřejné správě nebo digitální infrastruktuře, ale na velikosti nezáleží.

Přesný přehled služeb a kritérií najdete ve vyhlášce o regulovaných službách. Regulovaná odvětví jsou tato:

• veřejná správa,
• energetika:
  • elektřina,
  • ropa a ropné produkty,
  • zemní plyn,
  • teplárenství,
  • vodík,
• výrobní průmysl,
• potravinářský průmysl,
• chemický průmysl,
• vodní hospodářství,
• odpadové hospodářství,
• doprava:
  • letecká,
  • drážní,
  • vodní,
  • silniční,
• digitální infrastruktura a služby,
• finanční trh,
• zdravotnictví,
• věda, výzkum a vzdělávání,
• poštovní a kurýrní služby,
• obranný průmysl,
• vesmírný průmysl.

Jestli vaše firma pod zákon spadá, si musíte posoudit sami. Jde o právní otázku a v nejasných případech se vyplatí poradit s právníkem nebo využít podklady NÚKIB.

Co zákon firmám ukládá

Zákon rozlišuje režim vyšších povinností, který se týká hlavně velkých podniků, a režim nižších povinností, většinou pro střední podniky. Základní povinnosti jsou ale podobné:

• Ohlásit regulovanou službu NÚKIB do 60 dní od chvíle, kdy firma splní podmínky. Kdo je splňoval už 1. listopadu 2025, měl to udělat do konce roku 2025. Kdo to nestihl, má ohlášení podat co nejdřív.
• Zavést bezpečnostní opatření do jednoho roku od doručení rozhodnutí o registraci. Patří sem řízení rizik, přehled aktiv, určení odpovědnosti, zálohy a plán obnovy.
• Hlásit kybernetické incidenty. První hlášení do 24 hodin od zjištění, doplnění do 72 hodin a závěrečná zpráva do 30 dní od vyřešení. Firmy v nižším režimu hlásí jen incidenty s významným dopadem.

Za nejzávažnější porušení hrozí pokuta až 250 milionů korun nebo 2 % celosvětového ročního obratu. V režimu vyšších povinností může NÚKIB dočasně zakázat i výkon funkce člena statutárního orgánu.

Jak to souvisí s webovými stránkami

Pokud firma spadá pod zákon, web přestává být „jen“ marketingová stránka. Když přes něj běží objednávky, klientská zóna, rezervace nebo jiná digitální služba, stává se aktivem, které musí být zabezpečené, spravované a zdokumentované. Při posuzování webu se sleduje hlavně:

• Přehled aktiv: co všechno k webu patří, tedy samotný web, databáze, moduly, napojení na další systémy.
• Řízení rizik: jaké hrozby webu hrozí, například útok, výpadek nebo ztráta dat, a jaká opatření proti nim máte.
• Technická opatření: šifrovaný přenos dat přes HTTPS, zabezpečené přístupy, pravidelné aktualizace, zálohy, oddělené vývojové a ostré prostředí, logování.
• Odpovědnost: kdo web spravuje, kdo rozhoduje o změnách a kdo řeší incidenty. Vedení, IT i externí dodavatel musí mít role jasně dané.
• Postup při incidentu: jak problém poznáte, zaznamenáte, vyhodnotíte a nahlásíte.
• Kontinuita provozu: zálohy, plán obnovy a ověření, že obnova opravdu funguje.
• Doložitelnost: logy, dokumentace a záznamy o aktualizacích, kterými prokážete, že opatření fungují.

Většinu těchto bodů nevyřeší jednorázové nastavení. Web je potřeba průběžně hlídat a mít o tom záznam.

Co když pod zákon nespadáte

Většina malých firem a živnostníků pod zákon nespadá. Útočníkům je to ale jedno, napadnout neaktualizovaný web nebo poslat podvrženou fakturu z cizí adresy je u malé firmy často snazší než u velké. Základní zabezpečení se proto vyplatí i bez zákonné povinnosti:

• Mít pod kontrolou doménu, přístupy k ní a firemní poštu. Na co se zaměřit, popisuji v článku Zabezpečení domény.
• Hlídat, že web běží přes HTTPS a certifikát se obnovuje automaticky. Proč se to od roku 2026 nedá nechat na náhodě, vysvětluji v článku SSL certifikát.
• Pravidelně aktualizovat redakční systém i všechny moduly nebo pluginy.
• Mít zálohy uložené mimo server a aspoň jednou si vyzkoušet obnovu.
• Zapnout dvoufázové ověření do administrace webu, hostingu i firemního e-mailu.

Co to znamená pro weby na Drupalu

Weby stavím převážně na Drupalu, proto ještě pár slov k němu. Drupal má silnou komunitu a propracovaný proces bezpečnostních aktualizací. Bezpečnostní tým zveřejňuje upozornění na zranitelnosti i s opravou, takže stačí je sledovat a včas nasadit. Největší riziko obvykle nebývá v jádru, ale ve vlastních modulech napsaných na míru, které žádným veřejným bezpečnostním procesem neprošly.

Drupal zároveň nabízí nástroje, které požadavky zákona pomáhají splnit. Podrobné nastavení rolí a oprávnění pokrývá řízení přístupu, záznam událostí slouží jako základ logování a doplňkové moduly umožňují například šifrování citlivých polí.

Pro weby na Drupalu z toho plynou tato doporučení:

• vynutit HTTPS na celém webu,
• udržovat jádro i moduly v podporované verzi a průběžně je aktualizovat,
• prověřit všechny moduly včetně těch na míru, ideálně v rámci bezpečnostního auditu,
• využít systém rolí a oprávnění a omezit počet lidí s administrátorským přístupem na nezbytné minimum,
• zapnout logování a sledování změn a zabezpečit administraci, například omezením IP adres, dvoufázovým ověřením a silnými hesly,
• nastavit zálohování, otestovat obnovu webu a mít připravený postup pro případ incidentu,
• dokumentovat, kdo web spravuje, kdy proběhly aktualizace a jaká bezpečnostní opatření platí,
• ukládat citlivá data šifrovaně a osobních údajů ukládat jen tolik, kolik je nezbytně potřeba, v souladu s GDPR.

Jestli vaše firma pod zákon spadá, vám neposoudím, to je otázka pro právníka. Můžu ale prověřit, v jakém stavu je váš web, co z technických požadavků už splňuje a co je potřeba doplnit. Podívejte se, jak probíhá audit webu, nebo mi rovnou napište.