ZoKB checklist 2026: Co musí mít firma hotové do 1 roku od registrace

Pro tisíce českých organizací se blíží důležitý milník nového zákona o kybernetické bezpečnosti (ZoKB). Zákon č. 264/2025 Sb. je účinný od 1. listopadu 2025 a během prvních dvou měsíců ohlásilo regulovanou službu více než 4 500 organizací. NÚKUB však také nadále informuje o tom, že další tisíce podniků, které nejspíš pod zákon spadají také, se doposud nenahlásilo.

Roční přechodná doba se počítá od doručení rozhodnutí o registraci regulované služby, nikoli od samotného ohlášení. Během ní musí organizace zavést požadovaná bezpečnostní opatření a připravit se na plnění povinností souvisejících s hlášením kybernetických bezpečnostních incidentů.

Smyslem ZoKB přitom není pouze splnit formální požadavky. Organizace by měla především vědět, co chrání, jakým rizikům čelí a jak dokáže reagovat na bezpečnostní problém.

Máte těchto deset oblastí pod kontrolou?

1. Víte, co chráníte?

Základem kybernetické bezpečnosti je přehled o poskytovaných regulovaných službách a důležitých aktivech souvisejících s těmito službami. Organizace by měla vědět, které systémy, informace a data jsou pro její fungování klíčové, jaké mezi nimi existují závislosti a kdo za ně odpovídá. Bez těchto informací lze jen obtížně určit bezpečnostní priority.

2. Máte jasně rozdělené odpovědnosti?

Kybernetická bezpečnost není pouze záležitostí IT oddělení. Vedení musí znát významná rizika, zajistit potřebné zdroje a mít přehled o stavu bezpečnosti. Současně musí být jasné, kdo odpovídá za jednotlivá opatření a rozhodování o rizicích. Vedoucí zaměstnanci musí chápat hodnotu dat a informací, musí vynucovat bezpečné zacházení s nimi. Řadoví zaměstnanci si musí být vědomi, jaké operace jsou bezpečné a jak se v prostředí organizace bezpečně chovat. Bezpečnost je průřezová disciplína procházející celou organizací.

3. Řídíte kybernetická rizika?

Nestačí rizika pouze identifikovat a zaznamenat do tabulky. Organizace by měla vyhodnocovat jejich závažnost, určovat priority a rozhodovat o dalším postupu. Rizika musí mít své vlastníky a konkrétní plán řešení. Důležité je také jejich pravidelné přehodnocování. Riziko je nutné chápat jako něco, čemu musí organizace čelit, není to jen formální seznam. Řízení rizik je základem pro efektivní a bezpečné IT.

4. Máte zavedená bezpečnostní opatření?

ZoKB vyžaduje organizační a technická opatření odpovídající příslušnému režimu regulace. Patří mezi ně například řízení přístupů, zabezpečení systémů, správa změn nebo ochrana důležitých informací. Rozhodující není množství zavedených technologií, ale to, zda opatření skutečně fungují a odpovídají rizikům organizace. Prohlášení o aplikovatelnosti pak podává obrázek o zavedených kontrolách a míře jejich funkčnosti a účinnosti.

5. Víte, jak reagovat na incident?

Při kybernetickém incidentu musí být jasné, kdo situaci vyhodnocuje, kdo řídí reakci a jak probíhá eskalace. Zaměstnanci musí vědět, kam podezřelé události hlásit, a odpovědné osoby musí znát zákonné lhůty a pravidla hlášení relevantních incidentů. Nastavené postupy je vhodné také prakticky testovat. Bezpečnostní incident je vždy nepříjemnou a stresující situací, proto je nutné na ni být dobře připraven.

6. Dokážete obnovit provoz?

Součástí kybernetické odolnosti je schopnost obnovit důležité systémy a služby po incidentu. Organizace potřebuje stanovené priority obnovy, odpovídající zálohy a funkční postupy pro krizové situace. Samotná existence záloh nestačí, důležitá je jejich pravidelně ověřovaná použitelnost.

7. Znáte rizika svých dodavatelů?

Cloudové služby, externí IT nebo technologičtí partneři mohou zásadně ovlivnit bezpečnost regulované služby. Organizace by proto měla znát významné dodavatelské závislosti, vyhodnocovat související rizika a promítat relevantní bezpečnostní požadavky do smluv. Rizika dodavatelů je potřeba sledovat i v průběhu spolupráce. Přílišná závislost na dodavatelích bez adekvátní smluvní ochrany může být sama o sobě významným rizikem, které musí být zmírněno.

8. Jsou zaměstnanci připraveni?

Bezpečnostní pravidla fungují pouze tehdy, pokud je zaměstnanci znají a dodržují. Vzdělávání by mělo odpovídat jejich pracovním rolím a skutečným rizikům. Důležitá je také správná správa přístupů při nástupu, změně pozice nebo odchodu zaměstnance. Vzdělávání je nutné také pro odborné pracovníky, vzdělávání je cestou k růstu.

9. Odpovídá dokumentace realitě?

Bezpečnostní politiky a postupy musí odrážet skutečné fungování organizace, nikoli pouze ideální stav na papíře. Dokumentace by měla být aktuální, mít jasné vlastníky a umožňovat doložit, že organizace popsaná opatření skutečně provádí.

10. Víte, co ještě zbývá vyřešit?

Organizace by měla mít průběžný přehled o nesplněných požadavcích, otevřených rizicích a nápravných opatřeních. Každé významné zjištění potřebuje vlastníka, prioritu a termín řešení. Bez tohoto přehledu se compliance snadno změní v soubor nesouvisejících tabulek a úkolů.

Co znamená konec ročního přechodného období?

Pro část organizací se konec roční lhůty přiblíží na přelomu let 2026 a 2027. Konkrétní termín se vždy odvíjí od doručení rozhodnutí o registraci regulované služby.

Uplynutím této lhůty však práce na kybernetické bezpečnosti nekončí. Přibývají nová aktiva, dodavatelé i zranitelnosti a bezpečnostní opatření je nutné průběžně aktualizovat.

S rostoucím množstvím požadavků může být stále obtížnější udržet přehled o jejich plnění. Nástroje jako AuditMaster proto pomáhají propojit řízení aktiv, řízení rizik, nápravná opatření a řízení dodavatelů v jednom prostředí. AuditMaster má 8 navzájem propojených modulů a pomůže vám udržet kontrolu nad celým systémem řízení bezpečnosti informací.

Cílem ZoKB totiž není pouze úspěšně projít kontrolou. Je jím organizace, která rozumí svým rizikům, ví, co chrání, a dokáže na bezpečnostní incident účinně reagovat.