NIS2: 10 chyb, kterých se organizace při implementaci dopouštějí nejčastěji

TL;DR

• NIS2 není jednorázový projekt, ale dlouhodobý proces řízení kybernetických rizik.
• Největší chybou je začít dokumentací místo identifikace rizik a kritických aktiv.
• Kybernetická bezpečnost není pouze úkolem IT. Do implementace musí být zapojeno také vedení společnosti, HR, právní oddělení, nákup i vlastníci jednotlivých byznysových procesů.
• Samotné technologie nestačí. Bez pravidelného testování nevíte, zda bezpečnostní opatření skutečně fungují.
• Pozornost je potřeba věnovat také internímu prostředí, cloudovým službám a dodavatelskému řetězci, které patří mezi nejčastější cíle útočníků.
• Úspěšný audit není cílem. Cílem je průběžně zvyšovat odolnost organizace vůči novým hrozbám.
• Průběžné monitorování, identifikace zranitelností a ověřování účinnosti bezpečnostních opatření tvoří základ úspěšné implementace NIS2.

Přechodné období implementace NIS2 aktuálně vrcholí. Organizace by proto měly právě nyní ověřit, zda přijatá technická i procesní opatření skutečně fungují a odpovídají požadavkům nové regulace. Po přečtení článku si můžete zdarma stáhnout NIS2 Executive Readiness Assessment. Praktický dokument Vám pomůže posoudit připravenost Vaší organizace na požadavky směrnice NIS2.

Kde se dnes nachází implementace NIS2?

Směrnice NIS2 je již součástí české legislativy prostřednictvím nového zákona o kybernetické bezpečnosti, který nabyl účinnosti 1. listopadu 2025. Organizace nyní postupně implementují nová bezpečnostní opatření a připravují se na plnění povinností, které se nově vztahují na výrazně širší okruh regulovaných subjektů.

Nový zákon rozšiřuje regulaci nejen na provozovatele kritické infrastruktury, ale také na řadu středních a velkých podniků působících v ekonomicky, společensky a bezpečnostně významných odvětvích. Jednou z nejvýznamnějších změn je zavedení režimu vyšších a nižších povinností, který určuje rozsah bezpečnostních opatření podle typu regulované služby a velikosti organizace.

Právě nyní je proto vhodná doba ověřit, zda přijatá technická i procesní opatření skutečně fungují. Úspěšná implementace totiž neznamená pouze připravenou dokumentaci, ale především schopnost organizace odolávat reálným kybernetickým hrozbám.

Doporučený postup implementace:

Přestože doporučený postup vypadá poměrně jednoduše, v praxi se mnoho organizací vydá opačným směrem. Místo identifikace rizik začnou řešit technologie, dokumentaci nebo audit.

Objevují se přitom otázky jako: Potřebujeme CISO? Musíme mít ISO 27001? Kolik nových směrnic bude potřeba připravit? Čeká nás audit? Jsou to pochopitelné otázky. Zároveň jsou to ale zpravidla špatné otázky na začátek.

Největší změnou, kterou NIS2 přináší, totiž není nová administrativa ani další dokumentace. Především mění způsob, jakým by organizace měly přistupovat ke kybernetické bezpečnosti.

Jinými slovy, NIS2 není projekt. Je to způsob řízení rizik.

Organizace investují do nových bezpečnostních nástrojů, ale často nevědí, které systémy jsou pro jejich fungování skutečně kritické. Připraví desítky interních směrnic, ale nikdy si neověří, zda dokážou obnovit provoz po ransomwarovém útoku. Absolvují audit, ale netuší, že by útočník mohl získat administrátorská oprávnění prostřednictvím jediného špatně nakonfigurovaného účtu. Ani úspěšně absolvovaný audit NIS2 ještě neznamená, že organizace obstojí při realistickém Red Team cvičení. Audit ověřuje soulad s požadavky, zatímco Red Team prověřuje skutečnou odolnost organizace vůči reálnému útoku. To není problém legislativy. To je problém špatně nastavených priorit.

Právě proto se při přípravě na NIS2 opakují stále stejné chyby.

Organizace investují do nových bezpečnostních nástrojů, ale často nevědí, které systémy jsou pro jejich fungování skutečně kritické. Připraví desítky interních směrnic, ale nikdy si neověří, zda dokážou obnovit provoz po ransomwarovém útoku. Absolvují audit, ale netuší, že by útočník mohl získat administrátorská oprávnění prostřednictvím jediného špatně nakonfigurovaného účtu. To není problém legislativy. To je problém špatně nastavených priorit.

V tomto článku proto nebudeme rozebírat jednotlivé články směrnice ani citovat paragrafy národních zákonů. Takových materiálů už existuje dostatek. Místo toho se podíváme na to, jak by měla organizace postupovat, aby byla připravena nejen na splnění požadavků NIS2, ale především na reálné kybernetické hrozby.

Chyba č. 1: Začít dokumentací

Jednou z prvních reakcí bývá snaha připravit všechny potřebné politiky, směrnice a procesní dokumentaci. Bezpečnostní politika, plán reakce na incident nebo plán kontinuity provozu jsou bezpochyby důležité. Problém nastává ve chvíli, kdy se stanou cílem místo prostředkem.

Představte si dvě organizace. První má perfektně zpracovanou dokumentaci, ale nikdy netestovala obnovu ze záloh ani připravenost týmu na řešení bezpečnostního incidentu. Druhá má jednodušší procesy, ale pravidelně provádí penetrační testování, ověřuje konfiguraci kritických systémů a nacvičuje reakci na incidenty. Která z nich bude lépe připravena na skutečný útok?

Dokumentace je důležitá proto, aby podporovala fungování bezpečnostních procesů. Sama o sobě ale organizaci neochrání. NIS2 proto nestaví na kontrole existence dokumentů, ale na schopnosti organizace řídit rizika a prokázat, že přijatá opatření fungují i v praxi.

Chyba č. 2: Považovat kybernetickou bezpečnost za problém IT oddělení

Kybernetická bezpečnost už dávno není výhradně technickou disciplínou. Moderní útoky zneužívají slabiny v procesech, lidské chyby i vztahy s dodavateli. Proto se NIS2 nezaměřuje pouze na IT infrastrukturu, ale vyžaduje zapojení celé organizace.

Vedení společnosti rozhoduje o investicích, schvaluje rizika a nese odpovědnost za strategická rozhodnutí. Personální oddělení zajišťuje školení a procesy spojené s nástupem zaměstnanců. Nákup vybírá dodavatele, kteří mohou mít přístup ke kritickým systémům. Právní oddělení řeší smluvní požadavky a oznamovací povinnosti. Pokud některá z těchto částí nefunguje správně, samotná technická opatření nestačí.

Úspěšná implementace NIS2 proto není projektem IT oddělení. Je to projekt celé organizace.

Chyba č. 3: Investovat do technologií dříve, než poznáte svá rizika

Po oznámení nových povinností často následuje nákup bezpečnostních řešení. Organizace investují do EDR, SIEM, PAM nebo dalších nástrojů s přesvědčením, že tím výrazně zvýší svou úroveň zabezpečení.

Technologie jsou nezbytnou součástí obrany, samy o sobě však problém nevyřeší.

Nejprve je potřeba porozumět vlastnímu prostředí. Které systémy jsou pro fungování organizace kritické? Jaká data zpracováváte? Které služby musí zůstat dostupné i během bezpečnostního incidentu? Jaké dopady by měla kompromitace jednotlivých aktiv?

Bez odpovědí na tyto otázky nelze efektivně rozhodovat o investicích. Organizace může disponovat špičkovými bezpečnostními technologiemi, a přesto přehlížet slabé místo, které představuje největší riziko. Právě proto klade NIS2 důraz na analýzu a řízení rizik jako na základ všech dalších bezpečnostních opatření.

Chyba č. 4: Předpokládat, že zavedená opatření fungují

Mnoho organizací je přesvědčeno, že jejich bezpečnostní opatření jsou dostatečná jen proto, že je používají už několik let. Mají vícefaktorové ověřování, firewall, segmentaci sítě nebo pravidelné zálohování. To ale automaticky neznamená, že jsou tato opatření správně nastavena nebo odolná vůči aktuálním hrozbám.

Bezpečnost nelze posoudit pouze podle seznamu implementovaných technologií. Vyžaduje pravidelné ověřování.

Penetrační testování ukáže, jak by se do prostředí mohl dostat skutečný útočník. Security Assessment odhalí chybné konfigurace. Red Team cvičení prověří připravenost organizace čelit sofistikovanému útoku. Stejně důležité je pravidelně testovat obnovu ze záloh nebo připravenost Incident Response týmu.

Největším rizikem není chybějící technologie. Největším rizikem je přesvědčení, že vše funguje správně, přestože to nikdy nikdo neověřil. Potvrzují to i naše zkušenosti z Ethical Hacking Report 2025. Více než 53 % testovaných projektů obsahovalo alespoň jednu vysoce závažnou zranitelnost, 30 % projektů kritickou zranitelnost a každý testovaný projekt obsahoval alespoň jednu zranitelnost se střední závažností.

Pokud si nejste jistí, zda vaše bezpečnostní opatření skutečně fungují, rádi vám pomůžeme s jejich nezávislým ověřením.

Chyba č. 5: Zapomínat na dodavatelský řetězec

Útočníci dnes stále častěji nehledají cestu přímo do cílové organizace. Hledají její nejslabší článek. Tím může být externí poskytovatel IT služeb, cloudová platforma, dodavatel softwaru nebo obchodní partner s přístupem do interní sítě.

Právě proto věnuje NIS2 bezpečnosti dodavatelského řetězce mnohem větší pozornost než předchozí legislativa. Organizace by měla vědět, kteří dodavatelé mají přístup ke kritickým systémům, jaké bezpečnostní požadavky na ně klade a jak průběžně vyhodnocuje rizika spojená s jejich službami.

Neznamená to provádět audit každého dodavatele. Důležité je identifikovat partnery, jejichž kompromitace by mohla mít významný dopad na fungování organizace, a nastavit odpovídající úroveň kontroly.

Chyba č. 6: Soustředit se pouze na externí hrozby

Když se řekne kybernetický útok, většina lidí si představí hackera, který se snaží proniknout přes internet. V praxi však útočníci často využijí mnohem jednodušší cestu. Získají přihlašovací údaje běžného uživatele, kompromitují jeho pracovní stanici a následně se pohybují v interní síti.

Právě proto nestačí chránit pouze perimetr organizace. Stejně důležité je znát stav interního prostředí.

Jedním z nejčastějších cílů útočníků je Active Directory. Pokud se jim podaří získat administrátorská oprávnění, mohou ovládnout významnou část firemní infrastruktury. Důvodem přitom nebývají sofistikované zranitelnosti, ale chybně nastavená oprávnění, zastaralé konfigurace nebo účty s nadměrnými právy.

Pravidelná kontrola identit, přístupových oprávnění a konfigurace interního prostředí by proto měla být přirozenou součástí bezpečnostního programu každé organizace.

Chyba č. 7: Považovat cloud za odpovědnost poskytovatele

Přesun systémů do cloudu přináší vyšší flexibilitu i dostupnost služeb. Zároveň ale vytváří nový typ rizik. Mnoho organizací se mylně domnívá, že za bezpečnost cloudového prostředí odpovídá výhradně poskytovatel.

Ve skutečnosti funguje princip sdílené odpovědnosti. Poskytovatel zabezpečuje samotnou cloudovou infrastrukturu, zatímco organizace odpovídá za konfiguraci služeb, správu identit, přístupových oprávnění, ochranu dat i nastavení bezpečnostních politik.

Právě nesprávná konfigurace cloudových služeb patří mezi nejčastější příčiny úniků dat. Veřejně přístupná úložiště, příliš široká oprávnění nebo chybějící vícefaktorové ověřování představují rizika, která nevznikají vinou poskytovatele, ale nesprávným nastavením prostředí.

Bezpečnost cloudu proto nelze považovat za vyřešenou jen proto, že organizace využívá služby renomovaného poskytovatele. Bezpečnost cloudu proto nelze považovat za vyřešenou jen proto, že organizace využívá služby renomovaného poskytovatele. Potvrzují to i naše vlastní data. V Ethical Hacking Report 2025 obsahovalo 42 % cloudových projektů kritickou zranitelnost a cloudové projekty zároveň vykazovaly nejvyšší průměrný počet nalezených zranitelností na projekt.

Chyba č. 8: Řešit bezpečnost pouze před auditem

Řada organizací věnuje kybernetické bezpečnosti největší pozornost několik měsíců před auditem nebo kontrolou. Aktualizují dokumentaci, odstraní nejviditelnější nedostatky a po úspěšném dokončení auditu se bezpečnostní program opět dostane na vedlejší kolej.

Takový přístup byl problematický už v minulosti. S příchodem NIS2 ale přestává dávat smysl úplně.

Kybernetické prostředí se mění každý den. Objevují se nové zranitelnosti, přibývají zařízení, mění se konfigurace a organizace zavádějí nové aplikace i cloudové služby. Stav bezpečnosti proto nelze posuzovat podle výsledku jednoho auditu.

Úspěšné organizace dnes přistupují ke kybernetické bezpečnosti stejně jako ke kvalitě nebo řízení rizik. Průběžně monitorují své prostředí, pravidelně ověřují účinnost bezpečnostních opatření, vyhodnocují nové hrozby a odstraňují zjištěné nedostatky dříve, než je někdo dokáže zneužít.

Právě tento přístup je jednou ze základních myšlenek NIS2. Cílem není připravit organizaci na jeden konkrétní audit, ale vybudovat proces, který bude dlouhodobě zvyšovat její odolnost vůči kybernetickým hrozbám.

Chyba č. 9: Podcenit připravenost na bezpečnostní incident

Mnoho organizací má připravený Incident Response Plan. Jen málokterá ale ví, zda by podle něj dokázala v krizové situaci skutečně postupovat. Během incidentu totiž nestačí vědět, komu zavolat. Tým musí rozumět svým rolím, vedení musí umět rozhodovat pod tlakem a organizace musí mít jasno v tom, jak komunikovat se zákazníky, obchodními partnery, regulátorem i veřejností.

Ransomwarový útok, únik dat nebo kompromitace uživatelských účtů se zpravidla neodehrávají v klidném prostředí. Přichází časový tlak, nedostatek informací a rozhodnutí, která mají přímý dopad na provoz organizace. Pokud si organizace svůj postup nikdy nevyzkoušela, často až během skutečného incidentu zjistí, že plán obsahuje neaktuální kontakty, nejasně rozdělené odpovědnosti nebo kroky, které nelze v praxi provést.

Připravenost na incident proto nelze hodnotit pouze podle existence dokumentace. Vyžaduje pravidelná cvičení, technické scénáře, zapojení vedení i následné vyhodnocení. Dobrý Incident Response není ten, který dobře vypadá na papíře. Je to proces, který funguje ve chvíli, kdy není čas přemýšlet.

Chyba č. 10: Považovat audit za cíl

Audit je důležitým nástrojem pro ověření stavu bezpečnostního programu. Pomáhá identifikovat nedostatky, ověřit nastavené procesy a vytvořit tlak na jejich odstranění. Problém nastává ve chvíli, kdy se úspěšné absolvování auditu stane hlavním cílem celé přípravy.

Organizace pak často optimalizují své aktivity tak, aby úspěšně prošly kontrolou. Aktualizují dokumentaci, doplní chybějící procesy, odstraní nejviditelnější nedostatky a po auditu bezpečnostní program opět zpomalí. Útočníky ale nezajímá, zda organizace auditem prošla. Zajímá je, zda má zranitelnou aplikaci, špatně nakonfigurovaný cloud, slabá hesla, nadměrná oprávnění nebo netestované zálohy.

NIS2 by proto neměla být vnímána jako jednorázová povinnost, kterou je potřeba splnit před kontrolou. Je to rámec pro dlouhodobé řízení kybernetických rizik. Audit může potvrdit určitý stav v konkrétním okamžiku, ale nedokáže zaručit, že organizace bude stejně bezpečná i za několik měsíců.

Skutečným cílem proto není úspěšně projít auditem. Cílem je vybudovat bezpečnostní program, který průběžně identifikuje rizika, ověřuje účinnost přijatých opatření a dlouhodobě zvyšuje odolnost organizace.

Jak vypadá organizace připravená na NIS2?

Neexistuje univerzální seznam technologií ani jediná správná architektura, která zaručí soulad s požadavky NIS2. Každá organizace má jiné prostředí, jiná rizika i jinou úroveň vyspělosti. Přesto mají úspěšné organizace několik společných znaků.

Pokud se při čtení tabulky poznáváte spíše v levém sloupci, není důvod k panice. Většina organizací se nachází někde mezi oběma extrémy. Důležité je vědět, kde se nacházíte dnes, a mít plán, jak svou úroveň kybernetické bezpečnosti postupně zvyšovat.

NIS2 nepřináší revoluci v technologiích

Přináší změnu přístupu. Organizace už nemohou stavět svou bezpečnost na jednorázových projektech, pravidelných auditech nebo domněnce, že jednou zavedená opatření budou fungovat navždy. Kybernetické hrozby se vyvíjejí každý den a stejným tempem se musí vyvíjet i schopnost organizace je identifikovat a řídit.

Penetrační testování, bezpečnostní hodnocení, kontrola konfigurací, řízení zranitelností nebo hodnocení rizik dodavatelského řetězce by neměly být jednorázovou aktivitou před auditem. Měly by být přirozenou součástí kontinuálního programu kybernetické bezpečnosti.

Právě proto se stále více organizací přiklání k přístupu Continuous Threat Exposure Management (CTEM), který doporučuje průběžně identifikovat, ověřovat, prioritizovat a odstraňovat reálná bezpečnostní rizika ještě dříve, než je dokážou zneužít útočníci.

NIS2 není cílová stanice. Je to rámec pro dlouhodobé budování kybernetické odolnosti organizace.