Regulace kybernetické bezpečnosti v ČR je vystavěna na modelu ochrany prostředí, který nesměřuje k identifikaci útočníka, ale k budování systémové odolnosti vůči hrozbám, protože absolutní bezpečnost není a nemůže být cílem. Stát regulací kybernetické bezpečnosti nepředepisuje konkrétní technická řešení, ale stanovuje cíle, principy a odpovědnost, přičemž způsob jejich naplnění zůstává na regulovaném subjektu. Tento přístup se projevuje v souboru vzájemně provázaných principů: princip performativních pravidel, technologické neutrality, autonomie vůle, přiměřenosti a odpovědnosti vedení. Ty dávají subjektu prostor k vlastnímu, kontextuálně přizpůsobenému rozhodování, jež formalizuje v povinném přehledu bezpečnostních opatření. Dva režimy povinností ukazují, že míra formalizace těchto rozhodnutí se odvíjí od významu regulované služby: subjekty ve vyšším režimu musejí volby podložit formalizovanou analýzou rizik, zatímco subjektům v nižším režimu ji do značné míry nahrazuje samotná vyhláška. Odpovědnost vrcholného vedení celý systém uzavírá tím, že přesouvá těžiště kybernetické bezpečnosti z technického oddělení na úroveň strategického rozhodování podpořeného citelným sankčním rámcem, včetně osobní odpovědnosti a možného zákazu výkonu funkce. Prakticky z toho vyplývá, že úspěšná implementace nespočívá v hledání jednoho správného technického řešení, ale ve schopnosti subjektu racionálně zdůvodnit vlastní rozhodnutí a průběžně je aktualizovat.
odolnost principy regulace kybernetické bezpečnosti
technologická neutralita přiměřenost odpovědnost vedení
Podstata a cíle regulace kybernetické bezpečnosti
Pojem kybernetická bezpečnost má mnoho různých definicí. Z praktického pohledu se hodí definice zdůrazňující „zajištění důvěrnosti, integrity a dostupnosti informací v kybernetickém prostoru“. Z pohledu regulace se naproti tomu hodí chápat kybernetickou bezpečnost jako „souhrn právních, organizačních, technických a vzdělávacích prostředků směřujících k zajištění ochrany kybernetického prostoru“.1
Ať už si vybereme kterýkoli z těchto pohledů, dojdeme vždy k tomu, že na kybernetické bezpečnosti se podílí celá řada subjektů:
- stát (regulace kybernetické bezpečnosti mimo jiné zákonem o kybernetické bezpečnosti2),
- organizace (např. zavádění a provádění bezpečnostních opatření),
- jednotlivci (např. zabezpečení účtů silnými hesly).
Návrh prvního českého zákona o kybernetické bezpečnosti se musel již na počátku vypořádat s rolí státu v této oblasti. Správně došel k závěru, že přímý vliv státu na kybernetickou bezpečnost je velmi omezený, neboť naprostá většina aktiv je vlastněna a provozována soukromými subjekty. Stát tedy nemůže kybernetickou bezpečnost zajistit sám, může ovšem vytvořit regulatorní rámec, v němž budou organizace regulované zákonem zajišťovat kybernetickou bezpečnost aktiv, ke kterým mají přístup a za která nesou odpovědnost. Takový regulatorní rámec nastavuje cíl, principy a pravidla, jimiž se má kybernetické bezpečnosti dosáhnout. Absolutní kybernetická bezpečnost ani úplné odstranění všech kybernetických hrozeb nejsou možné. Kybernetická bezpečnost proto není cílem sama o sobě, ale je prostředkem k ochraně práv osob a zajištění odolnosti společnosti. Cílem regulace kybernetické bezpečnosti je vytvoření prostředí, které je vůči kybernetickým hrozbám dostatečně odolné. První český zákon vznikl na základě výše uvedených zjištění, a protože tato zjištění jsou platná dodnes, je na nich postavena i regulace podle aktuálně platného zákona. Jejich pochopení a porozumění principům této regulace je užitečnou znalostí nejen pro manažera kybernetické bezpečnosti.
V ČR je použit pro regulaci kybernetické bezpečnosti tzv. model ochrany prostředí. Těžiště neleží v identifikaci útočníka kybernetického incidentu, ale v prevenci, odolnosti a schopnosti rychlé reakce na tento incident.3
Základní principy regulace a jejich promítnutí do praxe
Původní zákon o kybernetické bezpečnosti vznikl na několika principech, na jejichž aplikaci je postavena i regulace současná.
Hlavními základními principy regulace jsou:
- princip performativních pravidel,
- princip technologické neutrality,
- princip autonomie vůle regulovaných subjektů,
- princip přiměřenosti,
- princip odpovědnosti vedení.
V rámci příprav nového zákona o kybernetické bezpečnosti vznikla potřeba diverzifikovat přístup k regulovaným organizacím, a mezi původní principy se tak přidal také vznik tzv. dvojrychlostní kybernetické bezpečnosti. Jejím zavedením dochází k rozdělení regulovaných subjektů do dvou režimů povinností. Poskytovatel regulované služby v režimu vyšších povinností má za úkol provádět standardní komplexní systematické zajišťování kybernetické bezpečnosti, kdežto v případě poskytovatele v režimu nižších povinností se jedná o kompromisní sadu základních minimálních povinností, které mnohdy hraničí s běžným provozováním ICT prostředků.
Než subjekt začne bezpečnostní opatření zavádět a provádět, musí nejprve přesně určit, zda regulaci vůbec podléhá, a následně musí stanovit rozsah řízení kybernetické bezpečnosti uvnitř vlastní organizace; pokud tento rozsah sám nestanoví, uplatní se presumpce, že regulaci podléhá celá organizace4. Bezpečnostní opatření se zavádějí vůči primárním a podpůrným aktivům, která souvisejí s regulovanou službou. Vykonává-li subjekt více činností, z nichž pouze některé jsou regulovanou službou, nemusí bezpečnostní opatření zavádět a provádět vůči svým veškerým aktivům.
Kybernetická bezpečnost zároveň není jednorázově dosažitelným stavem, bezpečnostní opatření je nutné pravidelně přezkoumávat a aktualizovat.
Performativní pravidla a princip technologické neutrality
Pouze poskytovatel regulované služby zná své prostředí natolik zblízka, aby mohl zhodnotit svá konkrétní specifika při zavádění a provádění bezpečnostních opatření. Není možné, aby zákon o kybernetické bezpečnosti nebo vyhlášky o bezpečnostních opatřeních5 stanovily přesná pravidla a požadavky na použití konkrétních technologií. Regulace není vázána na konkrétní technologie, které subjekt používá, ale na poskytovanou regulovanou službu, tedy na službu, která je významná pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v ČR. Tyto významné služby zákonodárce vymezil samotným uvedením takových služeb ve vyhlášce o regulovaných službách6, subjekt tedy svoji významnost už dále sám neposuzuje.
Princip performativních pravidel se v regulaci projevuje tím způsobem, že zákon nestanoví konkrétní kroky, kterými má organizace projít a které má splnit, nicméně stanovuje cíl, kterého má dosáhnout, zejména má zavádět a provádět bezpečnostní opatření v míře nezbytné pro zajištění kybernetické bezpečnosti regulované služby. V praxi není možné dosáhnout zcela stoprocentního uplatnění tohoto principu. Stovky a tisíce organizací, které nemají žádnou zkušenost s tím, jak kybernetickou bezpečnost zavádět, by si s požadavkem „nějak to udělejte“ v praxi neporadily. Zákon o kybernetické bezpečnosti tedy stanoví jak cíl, tak typové povinnosti v oblasti bezpečnostních opatření, které uvádí v § 14 a následně detailněji specifikuje v příslušné vyhlášce o bezpečnostních opatřeních. Takovému přístupu můžeme také říkat „semiperformativní model“.
Princip technologické neutrality se projevuje v zákoně tím způsobem, že zákon neprosazuje konkrétní technologie, výrobce nebo dodavatele, ale cílí k dosažení bezpečnostního cíle, kterého lze dosáhnout různými technickými prostředky.
Konkrétní organizační a technická bezpečnostní opatření, včetně např. řízení dodavatelů či školení zaměstnanců, ponechává právní úprava plně v diskreci poskytovatelů regulované služby. Odpovědnost za výběr konkrétního řešení nese subjekt sám, a proto musí být schopen svou volbu zdůvodnit a zdokumentovat. Také z tohoto principu existuje výjimka, kdy zákon v rámci některých speciálních nástrojů (varování, reaktivní protiopatření, stav kybernetického nebezpečí) dovoluje do tohoto principu v odůvodněných případech zasahovat, což se typicky projevuje nikoli prosazováním konkrétních technologií, ale naopak varováním před použitím konkrétních technologií.7
S principem technologické neutrality souvisí velmi úzce i princip autonomie vůle regulovaných subjektů.
Princip autonomie vůle regulovaných subjektů
Výše rozepsané principy spolu s principem autonomie vůle představují klíčové pilíře regulace i proto, že zákon dopadá na 15 různých regulovaných odvětví, která se zásadně liší svou povahou, rizikovostí i technickou vybaveností.
Provozovatel jaderné elektrárny poskytuje regulovanou službu v energetickém sektoru, jejíž narušení může mít závažné až katastrofické důsledky pro celou ČR. Naproti tomu např. pekárna poskytující regulovanou službu v potravinářském průmyslu čelí odlišnému profilu rizik a zpravidla disponuje výrazně omezenějšími zdroji na realizaci bezpečnostních opatření. Z tohoto důvodu tyto principy umožňují jednotlivým subjektům stanovit na základě vlastní analýzy rizik taková bezpečnostní opatření, která jsou přiměřená jejich konkrétní situaci, míře rizika a dostupným zdrojům.
Subjekt, který zavede jiné, ale funkčně rovnocenné řešení, než jaké by nařizoval předpis postavený na jiném principu než principu autonomie vůle subjektů, nejedná protiprávně, což je klíčové zejména pro menší organizace s omezenými zdroji, jež si nemohou dovolit nejdražší dostupné technologie. Princip autonomie vůle regulovaných subjektů se v důsledku projeví tak, že prostředky vynaložené na zabezpečení příslušných aktiv budou použity v přímém vztahu ke konkrétním potřebám poskytovatele regulované služby, tj. zpravidla účelně a hospodárně.
Klíčovým praktickým nástrojem, který zákon o kybernetické bezpečnosti a vyhlášky o bezpečnostních opatřeních ukládají oběma povinnostním režimům, je povinnost vést a průběžně aktualizovat přehled bezpečnostních opatření, v případě režimu vyšších povinností v podobě tzv. prohlášení o aplikovatelnosti. 8 Tento dokument musí obsahovat soupis všech již zavedených opatření včetně popisu způsobu jejich zavedení, soupis opatření, která teprve budou zavedena (s termínem, prioritou a jménem odpovědné osoby), a soupis opatření, která zavedena nebudou, včetně zdůvodnění takového rozhodnutí. Přehled má být veden v listinné nebo elektronické podobě, přezkoumáván a aktualizován. Právě tento dokument je v praxi nejkonkrétnějším projevem principu performativních pravidel a principu autonomie vůle regulovaného subjektu.
Kybernetická bezpečnost nemůže být postavena na formalistickém přístupu, kdy by regulovaný subjekt slepě odškrtával plnění bezpečnostních požadavků, aniž by nad kybernetickou bezpečností přemýšlel v kontextu své organizace.
Princip přiměřenosti
Princip přiměřenosti není abstraktním pojmem, ale konkrétním právním standardem. Znamená, že zaváděná a prováděná bezpečnostní opatření mají být zvolena racionálně a přezkoumatelně. Poskytovatel regulované služby nese důkazní břemeno jejich nezbytnosti (či absence) na základě vyhodnocení rizik a přiměřenosti. Bezpečnostní opatření nemají být samoúčelná – mají reagovat na konkrétní rizika dané organizace (při zohlednění hodnoty aktiva, hrozby, zranitelnosti, pravděpodobnosti, dopadu apod.).
Princip přiměřenosti plní dvě funkce: limituje rozsah zásahu státu do práv regulovaných subjektů a zároveň diferencuje povinnosti podle významnosti poskytovatele regulované služby.
Přístup k principu přiměřenosti se liší v závislosti na režimu povinností. I přesto existují oblasti, v nichž se k principu přiměřenosti přistupuje stejně v obou režimech, a to k ekonomické efektivitě (náklady nesmí převyšovat přínos a možný dopad incidentu) a uživatelské přívětivosti, neboť příliš složitá bezpečnostní opatření mohou vést v praxi k jejich obcházení.
Je potřeba mít na paměti, že se zavedením dvourychlostní kybernetické bezpečnosti vznikl rozdíl v přístupu k principu přiměřenosti podle režimu povinností poskytovatele regulované služby.
Vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností ukládá subjektu povinnost provádět vysoce formalizované, dokumentované řízení rizik. Poskytovatel musí určit relevantní hrozby a zranitelnosti s ohledem na svá aktiva, zvažuje alespoň kategorie hrozeb a zranitelností uvedené v příloze č. 3 této vyhlášky a provádí hodnocení rizik v pravidelných intervalech nejméně jednou ročně a při každé významné změně. Přiměřenost je zde odvozována z výstupu formální analýzy rizik, kterou musí subjekt umět doložit.
Naproti tomu vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu nižších povinností podrobnou dokumentovanou analýzu rizik nevyžaduje. Sám zákonodárce ji de facto za poskytovatele provedl a jejím výstupem je právě tato vyhláška. To ovšem neznamená, že by subjekty v nižším režimu mohly na úvahy o rizicích zcela rezignovat; musejí alespoň rámcově zohlednit své bezpečnostní potřeby a možné dopady, aby v souladu s § 3 odst. 1 písm. a) vyhlášky zavedly opatření, která jsou přiměřená jejich bezpečnostním potřebám. NÚKIB pro tento účel doporučuje neformální, ale zdokumentovaný postup: vytvořit jednoduchý seznam primárních aktiv, u každého aktiva stručně popsat jeho účel a uživatele a dále identifikovat několik realisticky hrozících scénářů (výpadek dodavatele, škodlivý kód, ztráta zařízení, neoprávněný přístup) s orientačním odhadem dopadu a pravděpodobnosti.9 Neopominutelnými bezpečnostními opatřeními, tedy takovými, která musejí být zavedena vždy, jsou opatření podle § 3 odst. 2 až 6, § 4 až 6 a § 10 vyhlášky o bezpečnostních opatřeních poskytovatele regulované služby v režimu nižších povinností. Teprve nad tímto povinným minimem se u tzv. vyhodnotitelných opatření uplatňuje plná diskrece daná principem přiměřenosti.
Doplním, že je doporučeno řídit zavádění a provádění bezpečnostních opatření v souladu s PDCA cyklem (plan – do – check – act), který umožňuje průběžně reagovat na měnící se rizika a zároveň postupně kalibrovat míru přiměřenosti jednotlivých opatření.
Přiměřenost neznamená snižování bezpečnostních standardů, nýbrž vědomý a odpovědný výběr opatření odpovídajících povaze regulované služby, významu aktiv a reálným hrozbám, přičemž každé přijaté i nepřijaté opatření musí být obhajitelné zejména s ohledem na dopady případného incidentu, pravděpodobnost jeho vzniku a dostupnost alternativ. Řádné odůvodnění rozhodnutí je pro prokázání souladu stejně důležité jako samotné technické provedení bezpečnostního opatření.
Princip odpovědnosti vedení
Kybernetická bezpečnost nemůže být „problémem“ pouze IT oddělení, jak se statutární orgány organizací často velmi mylně domnívají. Bezpečnost musí být řízena z úrovně vrcholného vedení a prostupovat celou organizační strukturou poskytovatele. Odpovědnost vedení byla neodmyslitelnou součástí regulace kybernetické bezpečnosti již od počátku. Na druhou stranu bylo potřeba význam tohoto principu s novou právní úpravou ještě více posílit. Nová úprava vychází přímo z čl. 20 směrnice NIS2, podle nějž musí řídicí orgány základních a důležitých subjektů schvalovat opatření k řízení kybernetických bezpečnostních rizik, dohlížet na jejich zavádění a mohou být za porušení povinností podle tohoto článku odpovědné.
Vrcholným vedením poskytovatele regulované služby je tedy statutární orgán nebo jiná osoba v obdobném postavení, typicky předseda představenstva, jednatel nebo ředitel organizace. Odpovědnost vrcholného vedení má dvě zásadní roviny.
První rovinou je povinnost vrcholného vedení seznámit se s bezpečnostními opatřeními, schválit je a následně aktivně dohlížet na kybernetickou bezpečnost. Seznámení s klíčovým obsahem souvisejících dokumentů (např. zpráva o hodnocení rizik, plán zvládání rizik, výsledky auditů a kontrol) nemůže být pouze byrokratickou formalitou. Vrcholné vedení musí rovněž stanovit bezpečnostní cíle a strategie organizace a aktivně se podílet na řízení rizik, nikoli je pouze formálně odsouhlasit.
Druhou rovinou povinností pro vrcholné vedení je povinnost absolvovat taková školení, aby získalo dostatečné znalosti a dovednosti k rozpoznávání rizik a hodnocení postupů řízení kybernetické bezpečnosti, a tuto povinnost musí pravidelně zajišťovat i pro své zaměstnance.
Zákon o kybernetické bezpečnosti zavádí sankce pro vrcholného vedení10, kdy lze po provedeném auditu nařídit dočasný zákaz výkonu funkce voleného i pověřeného člena vrcholného a statutárního orgánu, a to nejméně na dobu šesti měsíců, případně rozhodnout o dočasném pozastavení mezinárodních certifikací organizace.
Tato e-mailová adresa je chráněna před spamboty. Pro její zobrazení musíte mít povolen Javascript.
Tato e-mailová adresa je chráněna před spamboty. Pro její zobrazení musíte mít povolen Javascript.
Poznámky pod čarou:
- JIRÁSEK, Petr; NOVÁK, Luděk a POŽÁR, Josef, 2025. Výkladový slovník kybernetické bezpečnosti. Online. 6. doplněné a upravené elektronické vydání.
Praha: Centrum kybernetické bezpečnosti, z. ú. 2025 - Zákon č. 264/2025 Sb., o kybernetické bezpečnosti
- POLČÁK, Radim; LOUTOCKÝ, Pavel; KASL, František; MÍŠEK, Jakub; HOSTAŠ, Petr et al., 2024. Právo informačních technologií. 2. vyd. Praha: Wolters Kluwer. ISBN 978-80-286-0059-4
- § 12 odst. 4 zákona o kybernetické bezpečnosti
- Vyhláška č. 409/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností, a vyhláška č. 410/2025 Sb., o bezpečnostních
opatřeních poskytovatele regulované služby v režimu nižších povinností - Vyhláška č. 408/2025 Sb., o regulovaných službách
- Viz např. varování NÚKIB ze dne 17. prosince 2018 před používáním softwaru i hardwaru společností Huawei Technologies Co., Ltd., a ZTE Corporation
- § 8 odst. 1 písm. f) vyhlášky č. 409/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností, a § 3 odst. 2 vyhlášky
č. 410/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu nižších povinností - Bližší informace o nižším režimu jsou dostupné na Portálu NÚKIB (zde: https://portal.nukib.gov.cz/informacni-servis/podpurne-materialy/6965080d2762de19a-
50c2e1c), jakož i manuál k zavádění bezpečnostních opatření (zde: https://portal.nukib.gov.cz/informacni-servis/podpurne-materialy/69cbcd669c154102a806038b). - § 58 zákona o kybernetické bezpečnosti
