NIS2Bezpečnost
NIS2 pro menší firmy: co udělat jako první
Bezpečnost u menší firmy musí dávat smysl vedle zakázek, lidí a každodenního provozu. První krok proto začíná pochopením toho, co potřebujete udržet v chodu.
- 4 825organizací ohlášených NÚKIB k únoru 2026
- 1. 11. 2025od kdy platí nový zákon o kybernetické bezpečnosti
- 3otázky, které odhalí nejdůležitější slabinu
Představte si obyčejné pracovní ráno. Lidé přijdou, ale nedostanou se k zakázkám. Účetní neotevře faktury. Člověk, který spravuje IT, má telefon plný zpráv a zatím neví, jestli bude hotovo za hodinu, nebo zítra.
V takovou chvíli se bezpečnost přestane počítat na licence. Počítá se na čekající zaměstnance, zpožděné dodávky a zákazníky, kterým někdo musí zavolat.
Právě tady začíná být debata o NIS2 srozumitelná i mimo IT.
Nejdřív ověřte, zda se vás týká český zákon
NIS2 je evropská směrnice. Konkrétní povinnosti v Česku upravuje zejména nový zákon o kybernetické bezpečnosti č. 264/2025 Sb., účinný od 1. listopadu 2025. Organizace, které splňovaly kritéria už při jeho účinnosti, se měly ohlásit NÚKIB do konce roku 2025. K 8. únoru 2026 úřad evidoval 4 825 ohlášených organizací (Lupa.cz s odkazem na NÚKIB).
Současně se regulace nevztahuje automaticky na každou malou firmu. Rozhoduje poskytovaná služba a další zákonná kritéria, včetně velikosti podniku. Tu navíc nemusí vystihovat počet lidí na vaší vlastní výplatní pásce: význam mohou mít také vazby na další společnosti (NÚKIB: Počítání velikosti podniku).
Pro první orientaci slouží kalkulačka na Portálu NÚKIB. Její výsledek je podklad pro posouzení, nikoliv rozhodnutí úřadu. Smyslem tohoto kroku je zjistit, které povinnosti a lhůty skutečně řešíte.
Na čem už můžete stavět
Pokud používáte vícefaktorové přihlášení, odebíráte přístupy lidem po odchodu a pravidelně zálohujete, máte už část důležité práce za sebou. Stejně tak pomáhá, když zaměstnanci vědí, komu přeposlat podezřelý e-mail, a nebojí se přiznat chybu.
Menší firma má navíc jednu praktickou výhodu: dokáže se rychle domluvit. Majitel, účetní a správce IT mohou během jedné schůzky zjistit věci, které ve velké organizaci putují mezi několika odděleními.
Slabé místo bývá v tom, co se pouze předpokládá. Že záloha půjde obnovit. Že externí dodavatel problém uvidí. Že někdo jiný hlídá aktualizace.
Postupujte od výpadku zpátky k jeho příčinám
Vyberte jednu činnost, bez které firma obtížně funguje. Třeba příjem objednávek. Pak sledujte, co všechno potřebuje: konkrétní aplikaci, přihlášení, internet, data a člověka, který dokáže zasáhnout.
Z takto malé mapy začnou vycházet užitečné otázky:
- Kdo má oprávnění objednávky spravovat a kdo může tato oprávnění změnit?
- Jak zjistíme, že služba přestala fungovat nebo se někdo přihlásil neobvyklým způsobem?
- Z čeho ji obnovíme a kdo si to naposledy vyzkoušel?
Odpovědi ukážou, kde má první změna největší význam. Někde to bude druhý správce s bezpečně uloženým nouzovým přístupem. Jinde ověřená obnova databáze nebo odstranění účtu bývalého dodavatele.
Technická práce přitom nenahrazuje případné ohlášení ani další zákonné povinnosti. Dává jim ale konkrétní obsah: chráníte službu, na které podnikání skutečně závisí.
Rozdíl mezi domluvou a fungujícím opatřením
Věta „přístupy řeší náš ajťák” nechává hodně prostoru pro nedorozumění. Přesnější je vědět, kdo účet zakládá, kdo ho schvaluje a jak se ověří jeho zrušení.
Podobně „máme zálohy” zní uklidňujícím dojmem. Záznam o poslední obnově už říká, co se podařilo spustit a jak dlouho to trvalo.
Tak vzniká bezpečnost, kterou lze vysvětlit vedení i člověku, který příště převezme správu. Dokumentace zachycuje skutečný postup a firma ho umí zopakovat.
První skutečný posun nastane ve chvíli, kdy u důležité služby přestanete spoléhat na „někdo to určitě řeší” a dokážete pojmenovat kdo, jak a s jakým výsledkem.