Nový zákon o kybernetické bezpečnosti a prováděcí vyhlášky NÚKIB, účinné od 1. listopadu 2025, přinášejí výrazné změny pro všechny, kdo spravují nebo vlastní významný majetek, služby či investice. Pokud vaše firmy nebo portfolia podléhají režimu vyšších povinností, hrozí vám nejen pokuty, ale i přímé dopady na dostupnost a bezpečnost vašich dat a finančních toků. Mezinárodní kontext, přeshraniční služby a spolupráce s externími poskytovateli kybernetických služeb zvyšují složitost a riziko.
Naštěstí existuje jasná cesta, jak se vyhnout kritickým chybám a ochránit vaše majetkové zájmy. Tento článek vám krok za krokem ukáže, jak správně identifikovat rizika, nastavit procesy a zajistit, aby vaše aktiva byla chráněná v souladu s novými předpisy, a zároveň udržet hladký průběh mezinárodních operací.
Jak zjistit, zda se vás zákon týká?
Nejdříve je nutné pochopit, které služby a subjekty jsou regulované. Vyhláška č. 408/2025 Sb. určuje seznam regulovaných služeb a podmínky významnosti. Prakticky to znamená, že pokud vlastníte nebo spravujete služby, které jsou klíčové pro finanční operace, IT infrastrukturu, zdravotnictví či kritickou infrastrukturu, spadáte buď do režimu nižších, nebo vyšších povinností.
Pro klienta s portfoliem investic to znamená: ověřte, zda některé z vašich služeb nebo investičních struktur nejsou poskytovateli regulovaných služeb. I menší holdingy mohou být postiženy, pokud poskytují služby přesahující hranice České republiky. Přímý dopad? pokuta za nedodržení povinností může dosáhnout stovek tisíc korun, a ztráta kontroly nad daty či službami může ohrozit vaše investice.
Co musíte nastavit ve svých procesech?
Vyhlášky č. 409/2025 Sb. (vyšší povinnosti) a 410/2025 Sb. (nižší povinnosti) stanovují konkrétní kroky:
Vyšší režim:
-
Zavést systém řízení bezpečnosti informací a pravidelné hodnocení rizik.
-
Definovat bezpečnostní role a zodpovědnosti v organizaci.
-
Implementovat aplikační a síťovou bezpečnost, fyzickou ochranu serverů a auditní postupy.
-
Nastavit detekci incidentů a procesy okamžité reakce.
Nižší režim:
-
Správa přístupů k systémům a datům.
-
Školení zaměstnanců na kybernetická rizika.
-
Implementace základních aplikačních bezpečnostních opatření a detekce incidentů.
Pro klienty s mezinárodním portfoliem je zásadní připravit se na audit a dokumentovat procesy, aby bylo možné předložit důkazy o compliance i zahraničním regulatorům.
Co můžete udělat hned?
-
Mapujte vaše služby a investice – identifikujte, které z nich spadají pod regulované služby.
-
Určete režim povinností – vyšší nebo nižší, a naplánujte odpovídající kroky.
-
Zaveďte kontrolní a bezpečnostní opatření – od správy přístupů po bezpečnostní školení zaměstnanců.
-
Sledujte nové hrozby – externí audit nebo spolupráce s experty, jako je Aisa International, minimalizuje riziko, že důležitá data a investice budou ohroženy.
-
Dokumentujte a reportujte – připravte procesy tak, aby byly připraveny na případnou kontrolu.
Příklad dopadu: pokud vaše firma spravuje investiční služby přes hranice a spadá do vyššího režimu, nedodržení detekčních a auditních povinností může vést nejen k finanční ztrátě, ale i k dočasnému zákazu poskytování služby, což přímo ovlivní návratnost investic.
Praktická rada od Aisa International
Naše doporučení pro klienty a expaty je jasné: nezapomeňte propojit právní a technickou stránku compliance. Vyhlášky stanovují rámec, ale reálné dopady na vaše portfolio lze minimalizovat pouze praktickou implementací bezpečnostních procesů a aktivním monitoringem. Aisa International pomáhá definovat konkrétní kroky, od mapování služeb po nastavení interního řízení incidentů, což zajistí, že vaše aktiva zůstanou bezpečná i v komplikovaném mezinárodním prostředí.
