Mapa regulací

Služby v České republice dodává člen skupiny IOSEC se sídlem v České republice.

Regulace, se kterými se firmy v Česku setkávají nejčastěji. U každé najdete jednou větou, koho se týká, jaký je nejbližší termín a co při ní děláme.

Začněte ale oddílem o překryvu. U většiny firem rozhoduje o rozpočtu víc než kterákoli jednotlivá položka pod ním.

Jedna sada opatření obslouží více režimů

Regulace se liší v tom, komu se výstup předkládá, jakým jazykem je napsaný a kdo ho ověřuje. V jádru však žádají totéž: vědět, jaká aktiva máte a kdo za ně odpovídá, ohodnotit rizika, navázat na ně opatření, uhlídat dodavatele, zvládnout incident a umět to všechno doložit.

Co se překrývá a dělá se jednou:

• Evidence aktiv s určenými vlastníky — žádá ji zákon č. 264/2025 Sb. (§ 12 odst. 3), v režimu vyšších povinností i s garanty aktiv (§ 7 písm. c) vyhlášky č. 409/2025 Sb.), ISO/IEC 27001, DORA i katalog VDA ISA. Je to tentýž seznam.
• Hodnocení rizik — liší se hloubka a to, komu se předkládá. Podstata, tedy navázání opatření na konkrétní riziko, je ve všech režimech stejná.
• Řízení dodavatelů — smluvní náležitosti, prověřování a evidence. U DORA je to podrobnější, ale stojí na tomtéž přehledu.
• Zvládání incidentů — jedna událost může spustit ohlašovací povinnost vůči více orgánům najednou, s odlišnými lhůtami i obsahem. Postup se přitom připravuje jednou.
• Prokazatelnost — dokumentace, která odpovídá skutečnému stavu. To je požadavek společný všem.

Praktický důsledek. Kdo to postaví jednou pořádně, obslouží tím více režimů. Kdo si nechá každou regulaci zpracovat samostatně, zaplatí tutéž práci vícekrát — a skončí s dokumenty, které si v hodnocení téhož aktiva navzájem odporují. Rozpor mezi dvěma vlastními dokumenty je při auditu horší nález než dokument, který chybí.

Co se naopak nepřekrývá a je třeba to udělat zvlášť, je formální ověření. Audit podle zákona, certifikační audit podle ISO a posouzení TISAX jsou tři různé úkony, které provádějí tři různé subjekty. Jeden druhý nenahradí a žádný z nich neprovádí poradce, který vám systém stavěl.

Zákon o kybernetické bezpečnosti (NIS2)

Koho se týká. Organizací, které poskytují regulovanou službu ve smyslu zákona o kybernetické bezpečnosti (zákon č. 264/2025 Sb.). Zařazení ověří kalkulačka NÚKIB. Pokud vám bezpečnostní dotazník poslal regulovaný odběratel, dopadá to na vás nepřímo i tak.

Nejbližší termín. Lhůty neběží od účinnosti zákona, ale od události: ohlášení služby úřadu NÚKIB do 60 dnů ode dne, kdy ke splnění podmínek došlo, zavedení bezpečnostních opatření do 1 roku od doručení rozhodnutí o registraci a audit tam, kde platí režim vyšších povinností, 1× za 2 roky.

Co děláme. Posoudíme, zda a v jakém režimu se zákon u vás uplatní, uděláme GAP analýzu, připravíme bezpečnostní dokumentaci a opatření a připravíme vás na audit. Podrobně na stránce NIS2 a zákon o kybernetické bezpečnosti.

ISO/IEC 27001

Koho se týká. Firem, od kterých zákazník nebo tendr žádá doklad o řízení informační bezpečnosti. Není to zákonná povinnost, ale obchodní požadavek — a proto se vyplatí nejdřív zjistit, zda zákazník trvá na certifikátu, nebo mu stačí doložený systém. Překvapivě často stačí to druhé.

Nejbližší termín. Norma sama žádnou lhůtu neurčuje. Termín zpravidla určí zákazník nebo uzávěrka tendru a na výchozím stavu záleží, zda je splnitelný.

Co děláme. Rozsah, GAP analýzu, řízení rizik, dokumentaci a přípravu na certifikační audit včetně řešení neshod. Certifikát vydává akreditovaný certifikační orgán, ne poradce — a tentýž subjekt nesmí systém stavět i certifikovat. Pomůžeme s výběrem orgánu a s přípravou podkladů, samotný certifikát od nás nepřichází. Podrobně na stránkách Systém řízení bezpečnosti (ISO 27001) a Implementace a certifikace ISO/IEC 27001.

GDPR

Koho se týká. Každého, kdo zpracovává osobní údaje, tedy prakticky každé firmy. Vedle nařízení platí zákon č. 110/2019 Sb., o zpracování osobních údajů. Rozdíl je v tom, zda musíte mít jmenovaného pověřence a jak prokazujete, že opatření odpovídají míře rizika.

Nejbližší termín. GDPR nemá periodický termín, který by se dal napsat do kalendáře. Lhůty spouští událost — žádost subjektu údajů nebo porušení zabezpečení osobních údajů; první běží od doručení, druhá od zjištění. Právě proto bývá problémem ne samotná lhůta, ale to, že žádost nikdo včas nerozpozná.

Co děláme. Přebíráme výkon pověřence, vyřizujeme žádosti subjektů údajů, prošetřujeme podněty a vedeme dokumentaci tak, aby odpovídala skutečnému stavu. Podrobně na stránce Ochrana osobních údajů (GDPR).

DORA

Koho se týká. Finančních subjektů pod dohledem — a přes smluvní doložky i jejich dodavatelů služeb IKT. Druhá skupina je početnější a připravená podstatně méně: doložky přijdou bez vysvětlení a odmítnout je znamená ztratit klienta.

Nejbližší termín. Registr informací popisuje stav k referenčnímu datu, které předchází termínu předložení, takže práce musí proběhnout dřív, než se termín zdá blízko. Dohled nad finančním trhem v České republice vykonává Česká národní banka.

Co děláme. Sestavíme registr informací tak, aby prošel validací, uděláme GAP analýzu vůči nařízení a dodavatelům posoudíme doložky — oddělíme, co z nich plyne přímo z nařízení a co je vlastní nadstavba klienta. Podrobně na stránkách Digitální odolnost (DORA) a Finanční sektor.

TISAX

Koho se týká. Dodavatelů do automobilového průmyslu, od kterých odběratel žádá label TISAX. Úroveň neurčujete vy, ale odběratel podle toho, jak citlivé údaje vám svěřuje.

Nejbližší termín. Termín určuje odběratel, ne předpis — a bývá to první problém celého projektu, protože ho stanoví bez znalosti vašeho výchozího stavu. Pokud je nesplnitelný, řekneme to hned.

Co děláme. Připravíme vás na posouzení: rozsah a cíle ochrany, GAP analýzu proti katalogu VDA ISA, dobudování systému řízení, dokumentaci a důkazy. Samotné posouzení smí provést výhradně poskytovatel akreditovaný asociací ENX a nikdo, kdo vás na něj připravuje, ho zároveň provést nemůže — nezávislost posouzení je smyslem celého systému. Pomůžeme s výběrem poskytovatele a s registrací. Podrobně na stránkách Informační bezpečnost v automotive (TISAX) a Příprava na TISAX pro dodavatele.

Kde začít

Pokud vás najednou čeká víc než jedna z nich, začněte hodnocením rizik a evidencí aktiv. Je to společný základ většiny těchto režimů a rozhodne o tom, kolik práce se bude opakovat. Pokud nevíte, které regulace na vás dopadají, projdeme to na úvodní konzultaci.