NIS2 a penetrační testy: co po vás chce nový zákon o kybernetické bezpečnosti

Zákon č. 264/2025 Sb. dopadá na poskytovatele regulované služby. Regulovanou službou je služba, která splní alespoň jedno kritérium podle vyhlášky č. 408/2025 Sb. o regulovaných službách, nebo která je určena rozhodnutím NÚKIB. První cestu si musíte vyhodnotit sami: zákon v § 4 mluví o podmínkách pro registraci, NÚKIB tomu ve svých materiálech říká samoidentifikace. Druhou spouští Úřad z moci úřední (§ 5).

Velikost podniku se počítá podle doporučení Komise 2003/361/ES, ne podle vlastního pocitu o tom, jak velká firma jste. Pravidlo z přílohy doporučení, čl. 2 odst. 1 až 3, zní: počet zaměstnanců rozhoduje sám o sobě, kdežto z obratu a bilanční sumy musíte překročit oba prahy najednou. Velký podnik je tedy ten, kdo má 250 a více zaměstnanců, nebo kdo překročí obrat 50 mil. EUR a zároveň bilanční sumu 43 mil. EUR. Do výpočtu se přičítají partnerské podniky s podílem 25 až 50 procent a propojené podniky s podílem nad 50 procent. Na tomhle sčítání naráží skupiny, které se samy vidí jako pár nezávislých malých s. r. o. Výjimku dává § 7 písm. c) zákona: za partnerský ani propojený se nepovažuje podnik, jehož technická aktiva jsou od vašich zcela oddělená. NÚKIB k výpočtu provozuje kalkulačku na Portálu NÚKIB; partnerské a propojené podniky do ní ale nezapočítá, ty musíte přičíst sami.

Firma s 60 zaměstnanci je střední podnik i tehdy, když má obrat pod deseti miliony eur. Naopak firma se 40 zaměstnanci, obratem 12 mil. EUR a bilanční sumou 6 mil. EUR zůstává malým podnikem, protože překročila jen jeden ze dvou finančních prahů.

Veřejný sektor má vlastní pravidla. Podle § 7 se organizační složky státu, územní samosprávné celky a Česká národní banka za podnik nepovažují a veřejné subjekty, tedy obce a kraje, se mezi sebou nesčítají. Na radnici se tedy prahové hodnoty z tabulky neaplikují stejně jako na výrobní firmu.

Ohlášení regulované služby se podává přes Portál NÚKIB a na něj navazuje automatická registrace, od které pak běží zbylé lhůty. Tady ale řešíme jen to, jestli povinnost máte. Kdy přesně co splnit, je otázka harmonogramu, ne zařazení do režimu.

Kolik firem to nakonec je, se dá odhadnout z čísel Úřadu. K 8. únoru 2026 se podle NÚKIB ohlásilo přes 4 800 organizací, přičemž Úřad očekával zhruba 6 000 dotčených subjektů. Zbytek buď o povinnosti neví, nebo se rozhodl, že se ho netýká.

Režim určuje, kolik bezpečnostních opatření musíte zavést a podle které vyhlášky. Vyšší režim se řídí vyhláškou č. 409/2025 Sb. a znamená 14 organizačních a 11 technických opatření včetně povinné analýzy rizik, plánu zvládání rizik a auditu kybernetické bezpečnosti. Nižší režim podle vyhlášky č. 410/2025 Sb. obsahuje 13 organizačních a technických opatření a analýzu rizik povinnou nemá.

Orientační pravidlo NÚKIB zní: velké podniky ve vybraných odvětvích spadají do vyššího režimu, střední do nižšího. Výjimky jsou ale podstatné. DNS, registr TLD a veřejná správa se posuzují zvlášť a poskytovatelé internetových služeb spadají do regulace všichni bez ohledu na velikost. Pravidlo použijte na první odhad, ne jako závěr.

Poskytovatel má jeden režim pro všechny své regulované služby. Stačí, aby jedna služba spadla do vyššího režimu, a vyšší režim platí na celou organizaci. Na tomhle jsme se zasekli i my sami při prvních konzultacích: spočítá se režim pro hlavní systém a okrajová služba, která organizaci přeřadí nahoru, zůstane stranou.

V nižším režimu se opatření dělí na neopominutelná, která musíte zavést vždy (§ 3 až § 6 a § 10 vyhlášky č. 410/2025 Sb.), a vyhodnotitelná, u kterých zvažujete míru zavedení, případně jestli je zavedete vůbec. U nezavedených musí být v přehledu bezpečnostních opatření zapsané odůvodnění. Není to úniková cesta. Je to písemný závazek, který někdo jednou bude číst a porovnávat se stavem sítě.

Ve vyšším režimu ano. Vyhláška č. 409/2025 Sb. v § 24 odst. 5 ukládá provádět penetrační testování technických aktiv z vnitřní i vnější komunikační sítě, před jejich uvedením do provozu, v souvislosti s významnou změnou a pravidelně alespoň jednou za dva roky. Vedle toho § 24 odst. 4 žádá skenování zranitelností alespoň jednou ročně; co vyhláška 409/2025 ukládá a co z toho prověří test, rozebíráme opatření po opatření v samostatném článku. V nižším režimu je to jinak: vyhláška č. 410/2025 Sb. penetrační test nepředepisuje, v § 12 požaduje jen pravidelné skenování zranitelností a periodicitu nestanoví.

Sám zákon č. 264/2025 Sb. povinnost testovat nestanoví, konkrétní požadavky jsou až ve vyhláškách. Pojem přesto zná: v § 39 odst. 1 písm. e) zavádí zkratku „penetrační test“ pro identifikaci a ověření zranitelností prostřednictvím simulace reálného útoku, které může Úřad nařídit za stavu kybernetického nebezpečí.

Vyhláška ale říká jen to, že se testovat má, ne jak. Rozsah, hloubku i formu výstupu si volíte vy a auditor se pak ptá na důkaz, ne na dobrý úmysl. Ve vyšším režimu k tomu § 24 odst. 5 přidává evidenci: u každého penetračního testu musíte mít zaznamenaný termín provedení a konkrétní fyzické osoby, které ho prováděly.

Co z penetračního testu dostanete konkrétně: seznam zranitelností se severitou Critical až Low, doložený postup, jak jsme se k nim dostali, a návrh nápravy seřazený podle dopadu. To je materiál, který se dá vložit do plánu zvládání rizik i do zápisu z auditu, protože obsahuje datum, rozsah a reprodukovatelné kroky.

Která vrstva se testuje, záleží na tom, co provozujete. U sítí a Active Directory tuhle roli plní test infrastruktury podle § 24 vyhlášky. U aplikací a API se testuje jinak a rozsah drží počet uživatelských rolí, ne počet serverů. Účty u poskytovatele mají vlastní rozsah i vlastní pravidla, proto se oprávnění a konfigurace v cloudu prověřují samostatně.

Sken zranitelností tím není zbytečný, jen pokrývá jinou vrstvu: běží pravidelně, stojí zlomek a odchytí zastaralé verze a chybějící záplaty. Právě proto ho vyhláška ve vyšším režimu žádá vedle penetračního testu, ne místo něj. Čím se oba přístupy liší, rozebírá odpověď v častých dotazech.

Hlášení jde přes Portál NÚKIB a má čtyři kroky s odlišnými lhůtami. Prvotní hlášení podáváte bez zbytečného odkladu, nejpozději do 24 hodin od okamžiku, kdy pověřená osoba událost vyhodnotí jako kybernetický bezpečnostní incident. Oznámení incidentu má lhůtu 72 hodin, ale ta běží od zjištění incidentu, ne od prvotního hlášení.

Hlásí se přitom jen incident, který splňuje tři znaky najednou: projevil se ve stanoveném rozsahu, má původ v kyberprostoru a nelze u něj bez zbytečného odkladu, nejpozději do 24 hodin, vyloučit úmyslné zavinění. Bez té třetí podmínky by se hlásily i výpadky, které s kyberprostorem nesouvisejí, tedy třeba spálený zdroj v serverovně.

Kdo co hlásí, se mezi režimy liší. Nižší režim hlásí jen incidenty s významným dopadem a významnost si vyhodnocuje sám podle § 14 vyhlášky č. 410/2025 Sb. Vyšší režim hlásí všechny incidenty splňující zákonné znaky a to, jestli měl incident významný dopad, mu po prvotním hlášení sdělí NÚKIB.

Když Portál NÚKIB není dostupný, třeba právě kvůli probíhajícímu incidentu, lze podle § 16 odst. 4 ZKB hlásit e-mailem nebo datovou schránkou. Vybraní poskytovatelé digitálních služeb postupují podle prováděcího nařízení Komise (EU) 2024/2690 ze 17. října 2024. Patří mezi ně DNS, cloud a datová centra, CDN, on-line tržiště a vyhledávače i řízené bezpečnostní služby.

Lhůty vypadají na papíře splnitelně a padají na jediné otázce: kdo v pátek ve 23:40 rozhodne, že tohle je incident. Tohle se netestuje dokumentem, ale nácvikem. Nácvik na podvodné zprávy s reálným scénářem ukáže, za jak dlouho se první hlášení dostane na helpdesk a jestli ho tam někdo pozná.

Formát pentest reportu vyhlášky č. 409/2025 Sb. ani č. 410/2025 Sb. nepředepisují. Dvě věci ale ve vyšším režimu vyžadují výslovně: evidenci termínu testu a konkrétních fyzických osob, které ho prováděly (§ 24 odst. 5), a opětovné otestování nálezu, tedy retest (§ 24 odst. 6). Zbytek rozhoduje obsahem. Výstup musí unést tři otázky: co přesně se testovalo, co se našlo a co jste s nálezy udělali. Report, který zvládne první dvě, projde technicky a u auditu selže na té třetí.

• Rozsah a datum: přesný seznam adres, aplikací, rolí a období testu. Bez toho nikdo neurčí, co report pokrývá a co ne.
• Metodika s názvem a verzí (OWASP, PTES, NIST SP 800-115), aby šlo ověřit, podle čeho se postupovalo.
• Nálezy se severitou Critical / High / Medium / Low a s CVSS skóre, ne jen s barevnou ikonou.
• Reprodukovatelný postup u každého nálezu: požadavek, odpověď, krok za krokem. Vývojář to musí umět zopakovat bez telefonátu.
• Retest s vlastním datem a stavem u každého nálezu. Tohle je odpověď na tu třetí otázku, bez ní report doloží jen polovinu práce. Ve vyšším režimu ho § 24 odst. 6 vyhlášky č. 409/2025 Sb. vyžaduje přímo.

Shrnutí pro vedení a technická část patří do jednoho dokumentu, ale ne do stejné kapitoly. Jednatel potřebuje dvě strany o riziku a nákladu na nápravu. Vývojář potřebuje request, response a přesný endpoint. Píšeme obojí a nesnažíme se to slít dohromady.

Datum a verze rozhodují víc, než se čeká. Podpůrný materiál NÚKIB k hlášení incidentů má od října 2025 tři verze a stejně rychle stárne i váš report. Když se od testu změnila architektura, doložte retest nebo nový test, ne loňské PDF s hezkou titulkou.