Otázky a odpovědi o kyberbezpečnosti pro firmy

Ve většině případů ne. Zákon č. 264/2025 Sb. (účinný od 1. 11. 2025) dopadá zpravidla jen na střední a velké podniky, tedy firmy s nejméně 50 zaměstnanci nebo obratem/bilanční sumou nad 10 milionů eur, a to navíc jen když působí v jednom z regulovaných odvětví. Mikropodniky, malé firmy a OSVČ standardně mezi regulované subjekty nepatří. Výjimkou jsou specifické služby (např. poskytovatelé DNS, TLD registry, důvěryhodné služby), kde velikost nerozhoduje.

Musí platit tři podmínky zároveň: firma působí v jednom z 15 regulovaných odvětví (např. energetika, zdravotnictví, doprava, výroba, potravinářství, chemie, digitální služby, veřejná správa), poskytuje v něm konkrétní regulovanou službu vymezenou vyhláškou a je střední nebo velký podnik (zhruba od 50 zaměstnanců, resp. obrat či bilance nad 10 mil. eur). Firma si to musí posoudit sama (samoidentifikace) a při naplnění podmínek se do 60 dnů ohlásit NÚKIB; pomůže i kalkulačka NÚKIB.

Zákon č. 264/2025 Sb. je účinný od 1. listopadu 2025. Regulovaná firma má 60 dní od okamžiku, kdy naplní podmínky, aby přes Portál NÚKIB ohlásila poskytování regulované služby. Firmy, které kritéria splňovaly už k 1. 11. 2025, se měly ohlásit nejpozději do konce prosince 2025 (cca 30.–31. 12. 2025). Po doručení rozhodnutí NÚKIB o registraci pak běží zhruba roční lhůta na zavedení samotných bezpečnostních opatření.

Zákon dělí regulované subjekty do dvou režimů. Vyšší (essential) se týká odvětví s vysokou kritičností a zpravidla velkých podniků (např. energetika, zdravotnictví, doprava, bankovnictví, digitální infrastruktura); požaduje širší sadu organizačních i technických opatření a přísnější dohled. Nižší režim (important) se týká ostatních regulovaných odvětví a středních podniků, s méně rozsáhlými, ale stále povinnými opatřeními. Rozsah opatření má odpovídat velikosti a rizikům firmy.

Pokuty jsou vysoké a liší se podle režimu. V režimu vyšších povinností může NÚKIB uložit pokutu až 250 milionů Kč nebo 2 % celosvětového ročního obratu, podle toho, co je vyšší. V režimu nižších povinností je horní hranice 175 milionů Kč nebo 1,4 % obratu. Sankce hrozí i za neohlášení regulované služby ve lhůtě. Jde o maximální stropy; skutečná výše závisí na závažnosti pochybení.

Bezpečnostní audit sítě je nezávislá prověrka toho, jak dobře je vaše firemní IT chráněné před útokem a výpadkem. Odborník posoudí technický stav (firewall, Wi-Fi, servery, zálohy, aktualizace, oprávnění) i to, jak s technikou pracují lidé, a najde slabá místa dřív než útočník. Výstupem je přehledná zpráva: co je v pořádku, co je riziko a co konkrétně opravit jako první. Na rozdíl od běžné IT podpory neřeší, aby vše fungovalo, ale zda je to bezpečné.

Pro malou firmu bez vlastního IT začíná základní bezpečnostní audit (prověření nastavení) řádově v jednotkách tisíc korun; plnohodnotný audit s penetračním testem se pohybuje spíš v desítkách tisíc. Cena se liší hlavně podle rozsahu: počtu zařízení, poboček a serverů a zda se jen prověří konfigurace, nebo se reálně testuje odolnost sítě. Hodinové sazby specialistů bývají kolem 1 500 Kč/h bez DPH, komplexní penetrační test celé infrastruktury pak stojí i přes 100 000 Kč. Přesnou cenu dá až konkrétní poptávka.

U menší firmy trvá audit obvykle řádově dny až dva týdny. Má tři části: sběr informací a rozhovory s lidmi, technická analýza sítě a zařízení (často zhruba den práce na místě) a bezpečnostní testování, které simuluje reálný útok. U malé firmy bývá test spíš lehčí (hodiny až den), u rozsáhlejší nebo celoorganizační prověrky trvá řádově týden až dva. Poté dostanete závěrečnou zprávu s nálezy, hodnocením závažnosti a konkrétními doporučeními seřazenými podle priorit, srozumitelnou i pro laika.

Doporučuje se alespoň jednou ročně a vždy po větší změně, jako je stěhování, nový server, přechod do cloudu, nová pobočka nebo výměna dodavatele IT. Kybernetické hrozby i vaše prostředí se totiž mění průběžně, takže jednorázový audit rychle zastará. Roční perioda navíc odpovídá logice nového zákona o kybernetické bezpečnosti (264/2025 Sb.), který pro regulované firmy vyžaduje pravidelné řízení rizik, ne jen jednorázovou kontrolu.

Většinou ne. Zákon č. 264/2025 Sb. (účinný od 1. 11. 2025, transpozice NIS2, dozor NÚKIB) dopadá zpravidla na střední a velké firmy — tedy od 50 zaměstnanců nebo obratu/bilance nad 10 mil. eur — které navíc působí ve vyjmenovaném regulovaném odvětví (energetika, doprava, zdravotnictví, výroba, digitální služby aj.). Malé firmy pod prahy povinnosti typicky nemají (výjimkou jsou některé digitální služby). Splňujete-li obojí, ohlaste se NÚKIB do 60 dnů a do 12 měsíců zaveďte opatření. Pokuty: v nižším režimu až 175 mil. Kč (1,4 % obratu), ve vyšším až 250 mil. Kč (2 %).

Penetrační test (pentest) je řízený, předem dohodnutý simulovaný útok na vaše systémy — etický hacker se reálně snaží proniknout do webu, sítě nebo aplikace, aby našel zneužitelné díry dřív než skutečný útočník. Bezpečnostní audit je širší kontrola: prověřuje nastavení, procesy a soulad s pravidly (přístupová práva, zálohy, konfigurace), ale aktivně neútočí. Zjednodušeně: audit zjistí, co máte špatně nastavené; pentest ukáže, co jde skutečně prolomit. V praxi se obojí často kombinuje.

Počítejte řádově v desetitisících až statisících korun — cena se odvíjí od rozsahu a účtuje se obvykle po člověkodnech (kolem 12 500 Kč/den). Test menší webové aplikace vyjde zhruba na 50 000–65 000 Kč, test firemní infrastruktury na 100 000 Kč a výš. Doporučená frekvence je jednou ročně a vždy po větší změně (nový systém, migrace, velký update); rizikové provozy testují častěji. Přesnou cenu určí až vymezení rozsahu.

Ano, je zcela legální — ale jen s vaším písemným souhlasem. Bez smlouvy a jasně vymezeného rozsahu by stejná činnost byla trestná (neoprávněný přístup do systému). Před testem se proto podepisuje smlouva, která vymezuje rozsah, cíle a pravidla, a typicky i NDA (dohoda o mlčenlivosti), protože tester uvidí interní data. Součástí bývá i určení kontaktní osoby a řešení případného zpracování osobních údajů. Nikdy nenechte testovat firmu bez těchto dokumentů.

Při dobře připraveném testu prakticky ne, ale riziko není nulové — proto se dělá koordinovaně. Aktivní testování může výjimečně aplikaci zpomalit, shodit nebo změnit data, a tak se citlivé věci testují na kopii (testovacím prostředí) a předem se dělá záloha. Rozsah, čas i kontaktní osoby se domluví dopředu a kritické nálezy, které by mohly ohrozit provoz, tester hlásí okamžitě. Ostrý provoz se testuje jen po dohodě a s opatrností.

Potřebuje ho každá firma, kde by průnik znamenal reálnou škodu — únik dat zákazníků, zablokování e-shopu nebo výroby ransomwarem, prozrazení citlivé dokumentace. Velikost firmy nerozhoduje, rozhoduje hodnota toho, co byste ztratili; škody z úspěšného útoku jdou běžně do milionů. Pro menší firmu bez IT oddělení bývá rozumný první krok levnější bezpečnostní audit, který odhalí základní slabiny a řekne, jestli a v jakém rozsahu má pentest smysl.

Nejúčinnější ochrana je kombinace dobrých záloh podle pravidla 3-2-1 (aspoň jedna kopie offline nebo neměnná) a základní kyberhygieny. Konkrétně: pravidelně aktualizujte všechna zařízení, operační systémy a firmware, zapněte vícefaktorové ověřování u e-mailu a vzdálených přístupů, používejte silná a různá hesla a školte lidi na podvodné e-maily. NÚKIB dodává, že klíčové je zabezpečit vše, co je vystaveno do internetu (vzdálená plocha, VPN). Zálohy jsou poslední záchrana, pokud vše ostatní selže.

Pravidlo 3-2-1 znamená mít 3 kopie dat, na 2 různých typech médií a 1 kopii mimo pracoviště. Tuto strategii doporučuje i NÚKIB jako základ ochrany dat. Kvůli ransomwaru, který cíleně maže i zálohy, se dnes doporučuje rozšíření na 3-2-1-1-0: navíc 1 kopie offline (fyzicky odpojená) nebo neměnná (immutable, nejde přepsat ani smazat) a 0 chyb, tedy pravidelně otestovaná obnova. Právě neměnná či odpojená záloha je to, co útočník nezašifruje.

Ne, výkupné neplaťte. NÚKIB i Policie ČR dlouhodobě doporučují neplatit a Česko se v listopadu 2023 připojilo k mezinárodnímu prohlášení proti platbám výkupného. Není žádná záruka, že po zaplacení data skutečně dostanete zpět, a platbou financujete další útoky. Místo toho napadené počítače odpojte od sítě (nevypínejte), odpojte i zálohovací server, incident nahlaste Policii ČR a NÚKIB a obnovu řešte s IT specialistou z čistých záloh.

Jistotu dá jedině zkušební obnova, ne to, že zálohování jen "běží". Pravidelně (ideálně měsíčně nebo čtvrtletně) zkuste na testovacím zařízení obnovit vybrané soubory i celý systém a ověřte, že data jsou kompletní a čitelná. K tomu patří kontrola, že záloha proběhla bez chyb (hlášení, kontrolní součty) a že aspoň jedna kopie je offline či neměnná, aby ji nezašifroval případný útok. Právě tuto "otestovanou obnovu" vyjadřuje nula v pravidle 3-2-1-1-0. Stav záloh a scénář obnovy prověří i bezpečnostní audit.

Časté a přibývá jich. Počet firem v ČR zveřejněných na vyděračských stránkách ransomwarových skupin se meziročně zdvojnásobil, v prvním čtvrtletí 2026 to bylo 12 obětí oproti 6 o rok dříve. Gangy cílí hlavně na malé a střední firmy, protože mají slabší zabezpečení a výpadek je pro ně likvidační, takže spíš zaplatí. Nejaktivnější skupiny útočící na české subjekty jsou Gentlemen, Akira a Qilin, nejčastěji ve výrobě, technologiích a obchodu.

Kyberpojištění typicky kryje následky kybernetického incidentu: náklady na obnovu dat a systémů po útoku, ušlý zisk z přerušení provozu, odpovědnost za únik dat třetích stran, náklady na krizové řízení a právní služby, případně kybernetické vydírání (ransomware). Nekryje ale samotnou hodnotu vašich dat, běžné vylepšení nebo upgrade systémů, škody bez cíleného útoku (např. prostý výpadek hardwaru) ani situace, kdy jste zanedbali základní zabezpečení. Vždy si přečtěte seznam výluk ve smlouvě.

Pojišťovna vyžaduje doložení základního zabezpečení, jinak může plnění odmítnout. Nejčastěji chce vícefázové ověření (MFA) u přístupů, pravidelné zálohování na oddělené či chráněné úložiště, včasné instalování aktualizací (záplat), ochranu koncových bodů (antivirus/EDR na všech počítačích), firewall a školení zaměstnanců. Tyto body se vyplňují v dotazníku při sjednání a musí platit i v době incidentu. Pokud uvedete opatření, které reálně nemáte, pojišťovna má důvod plnění krátit nebo odmítnout.

Pro menší firmy se pojistné obvykle pohybuje zhruba mezi 5 000 a 25 000 Kč ročně podle obratu, oboru a rozsahu krytí. Vyplatí se všude, kde by výpadek IT nebo ztráta dat firmu vážně zabrzdily, tedy u e-shopů, ordinací, účetních i výroby závislé na systémech. Pojištění ale není náhrada za zabezpečení, je to finanční polštář pro případ, že prevence selže. Bez základní ochrany pojistku buď nedostanete, nebo z ní pojišťovna nezaplatí.

Přímo: úroveň zabezpečení, kterou audit ověří, rozhoduje o tom, zda pojistku vůbec dostanete a za kolik. Pokročilejší zabezpečení snižuje cenu pojistného a některá opatření (například EDR na koncových bodech nebo MFA) bývají podmínkou nároku na plnění. Bezpečnostní audit vám ukáže, co reálně máte a co chybí, takže dotazník pojišťovny vyplníte pravdivě a nehrozí vám krácení plnění kvůli nesplněné podmínce. Co přesně vaše firma splňuje a kde jsou díry, zjistí právě bezpečnostní audit.

Protože nový zákon o kybernetické bezpečnosti (č. 264/2025 Sb., účinný od 1. 11. 2025) nutí regulované firmy hlídat i bezpečnost svých dodavatelů. Váš odběratel nejspíš spadá pod tento zákon (transpozice směrnice NIS2) a musí prověřovat rizika u firem, které mu něco dodávají nebo mají přístup k jeho systémům. Dotazník je způsob, jak si ověří, že přes vás nevznikne díra v jeho zabezpečení. Netýká se to jen IT firem: může jít o kohokoli, kdo se napojuje na jeho síť, data nebo procesy.

Znamená to, že regulovaná firma musí řídit i bezpečnostní rizika svých dodavatelů, ne jen svá vlastní. Zákon č. 264/2025 Sb. (transpozice NIS2, účinný od 1. 11. 2025) ukládá regulovaným osobám hodnotit rizika významného dodavatele už při výběru, promítnout konkrétní bezpečnostní požadavky přímo do smluv a jejich plnění pravidelně kontrolovat. Nejpřísněji to platí pro režim vyšších povinností. Logika: útočníci často pronikají k velké firmě přes slabšího dodavatele, proto se požadavky přenášejí smluvně i na menší partnery v řetězci.

Přímo pod zákon (č. 264/2025 Sb.) obvykle nespadáte, pokud máte pod 50 zaměstnanců a obrat do 10 mil. EUR a nejste v regulovaném odvětví. Nepřímo se vás ale dotknout může: když dodáváte regulované firmě, ta má ze zákona povinnost prověřovat dodavatele a smluvně po vás bezpečnostní opatření vyžadovat. Takže i bez vlastní registrace u NÚKIB můžete čelit dotazníkům a smluvním požadavkům. Splnění je pak podmínkou zakázky, ne přímo zákonná povinnost vůči státu.

Nejčastěji vyplněným bezpečnostním dotazníkem plus písemným potvrzením konkrétních zavedených opatření: vícefaktorové ověřování (MFA), zálohy, aktualizace, řízení přístupů, oddělení sítí a plán pro případ incidentu. Silnějším důkazem je certifikace ISO/IEC 27001 nebo zpráva z nezávislého auditu, ale ta u malé firmy většinou není povinná. Když nevíte, jak na tom reálně jste, odhalí slabá místa a připraví podklady bezpečnostní audit sítě (u SentinelNet od 7 900 Kč).

Nezakrývejte to: dotazník vyplňte pravdivě a doplňte plán nápravy s termíny. Odběratelé obvykle nečekají dokonalost, ale ochotu a viditelný postup. Začněte levnými a účinnými kroky: MFA na e-mail a vzdálený přístup, funkční zálohy, aktualizace systémů, silná hesla a základní řízení přístupů. Priority a doklad, že rizika řešíte, vám pomůže určit bezpečnostní audit. Ignorování požadavků naopak reálně hrozí ztrátou zakázky.

Pro pár počítačů může firewall v routeru chvíli stačit, ale jako jediná ochrana firmě nestačí. Běžný router umí jen základní blokování, neřeší filtrování hrozeb, prevenci průniku (IPS) ani kontrolu provozu. Doporučuje se tzv. next-generation firewall, který kontroluje obsah provozu, blokuje nebezpečné weby a umí oddělit části sítě. Levnější mezikrok je aspoň správně nastavený router: vypnutá vzdálená správa z internetu, změněné výchozí heslo a aktuální firmware. NÚKIB v dubnu 2026 varoval, že ruská skupina APT28 zneužívala právě špatně zabezpečené routery (TP-Link).

Segmentace znamená rozdělit firemní síť na oddělené části (typicky přes VLAN), aby spolu nekomunikovalo všechno se vším. Servery, kancelářské počítače, výrobní technologie, kamery, tiskárny a hostovská Wi-Fi patří do samostatných zón. Hlavní důvod: když se útočník nebo virus dostane do jedné části (třeba přes napadený notebook), nemá automaticky přístup ke zbytku sítě a škoda se dá izolovat. Plochá síť, kde vidí každý na každého, je dnes považovaná za rizikovou. U firem spadajících pod zákon o kybernetické bezpečnosti (č. 264/2025 Sb., účinný od 1. 11. 2025) je oddělení sítí očekávané opatření.

Ano, je to zbytečné riziko. Když se návštěvy, obchodní partneři nebo servisní technici připojují na stejnou Wi-Fi jako firemní počítače, servery a tiskárny, mají potenciální přístup k firemním datům a zařízením. Napadený telefon hosta se pak stává vstupní branou do celé sítě. Řešení je jednoduché a levné: samostatná hostovská (guest) síť, která pustí návštěvu jen na internet, ne do firemní sítě. Ideálně s vlastním heslem a oddělená od interní sítě. Většina firemních i lepších domácích routerů tuto funkci umí zapnout během chvíle.

MFA (vícefaktorové ověření) znamená, že k přihlášení nestačí jen heslo, ale potřebujete ještě druhý faktor, typicky kód z aplikace v telefonu nebo potvrzení na mobilu. Zapnout ho stojí za to hlavně u firemního e-mailu, cloudu (Microsoft 365, Google) a VPN. Důvod: i když útočník uhádne nebo ukradne heslo (phishing, únik z jiné služby), bez druhého faktoru se do účtu nedostane. NÚKIB řadí MFA mezi klíčová základní opatření a Microsoft ho pro přihlášení do svých administrátorských portálů (Azure, Microsoft 365) v letech 2024–2025 postupně vynucuje povinně. Nasazení bývá zdarma a zabere pár minut na uživatele.

Pokud zaměstnanci z domova nebo z cest přistupují k firemním souborům, systémům či serverům, VPN je prakticky nutnost. Vytvoří šifrovaný tunel mezi počítačem zaměstnance a firmou, takže data nejde odposlechnout ani na veřejné Wi-Fi v kavárně nebo hotelu. Bez VPN cestují přes veřejný internet a jsou zranitelnější. Důležité pravidlo: VPN nikdy nenechávejte jen na heslo, vždy k ní zapněte MFA (druhý faktor), jinak stačí útočníkovi jedno ukradené heslo. Používají se moderní protokoly jako WireGuard nebo OpenVPN a VPN je potřeba udržovat aktualizovanou. Jestli je vaše nastavení bezpečné, prověří bezpečnostní audit.

Většinou ne. Nový zákon č. 264/2025 Sb. o kybernetické bezpečnosti (účinný od 1. 11. 2025, transpozice směrnice NIS2, dozor NÚKIB) dopadá zpravidla jen na střední a velké firmy, tedy typicky nad 50 zaměstnanců nebo s obratem nad 10 mil. EUR, a jen pokud poskytují některou z regulovaných služeb podle vyhlášky č. 408/2025 Sb. Mikropodniky a malé firmy pod tyto prahy standardně povinnost nemají. Přesto se vyplatí ověřit se pár minut v kalkulačce na portálu NÚKIB — na některé menší firmy v citlivých odvětvích zákon dopadnout může.

Podvodné e-maily — phishing a tzv. BEC (napodobení šéfa nebo dodavatele s výzvou zaplatit či poslat data). Phishing je nejčastější vstupní bod útoku (podle běžně uváděných dat začíná phishingem kolem 90 % útoků) a bývá i prvním krokem k ransomwaru, který zašifruje data a žádá výkupné. Vyděračské gangy v Česku míří hlavně na malé a střední firmy, protože mají slabší obranu. Nejúčinnější první obranou je proškolení lidí a dvoufaktorové přihlašování (MFA).

Začněte třemi levnými kroky, které pokryjí většinu reálného rizika: 1) zapněte dvoufaktorové přihlašování (MFA) k e-mailu a klíčovým účtům, 2) nastavte automatické zálohy pravidlem 3-2-1 (tři kopie, dvě různá média, jedna mimo firmu) a otestujte obnovu, 3) krátce proškolte lidi na podvodné e-maily — NÚKIB má kurzy zdarma. Až pak řešte aktualizace, hesla a firewall. Nepotřebujete k tomu vlastní IT oddělení; zvládne to externí správce nebo bezpečnostní audit, který určí priority.

Na start stačí nižší jednotky tisíc až desítky tisíc korun ročně — základní opatření jako MFA, zálohování a školení lidí jsou zdarma nebo levná (kurzy NÚKIB na osveta.nukib.gov.cz jsou zdarma). Jako orientační pravidlo se uvádí zhruba 5–10 % ročního IT rozpočtu na bezpečnost (u kritických oborů i více). Rozumný první výdaj je bezpečnostní audit, který přehledně ukáže, kde jsou největší díry a co řešit dřív — u SentinelNetu začíná od 7 900 Kč. Vyhnete se tak plošným investicím do věcí, které firma nepotřebuje.

Poskytnutí regulované služby musíte NÚKIB oznámit do 60 dnů od okamžiku, kdy splníte podmínky. Kdo je splňoval už k účinnosti 1. 11. 2025, měl ohlásit nejpozději do 31. 12. 2025; oznamuje se přes portál NÚKIB. Po registraci pak běží 12 měsíců na zavedení bezpečnostních opatření. Za vážné porušení hrozí pokuta až 250 mil. Kč nebo 2 % celosvětového obratu v režimu vyšších povinností, resp. až 175 mil. Kč nebo 1,4 % v režimu nižších povinností.