Co je gap analýza NIS2 a proč ji dělat?

Gap analýza NIS2 je strukturované porovnání vašeho současného stavu kybernetické bezpečnosti s požadavky zákona č. 264/2025 Sb. a prováděcích vyhlášek. Odhalí konkrétní mezery dřív, než přijde kontrola NÚKIB – a dá vám čas je odstranit.

Jak dlouho mám na zavedení bezpečnostních opatření po registraci?

Po doručení rozhodnutí o registraci máte 1 rok na zavedení bezpečnostních opatření a povinnost hlásit incidenty. Pro první vlnu subjektů to vychází přibližně na prosinec 2026 až začátek 2027.

Co musí splnit vrcholné vedení firmy podle NIS2?

Vrcholné vedení musí absolvovat prokazatelné školení kybernetické bezpečnosti, určit osobu pověřenou KB (nižší režim) nebo zřídit výbor KB se čtyřmi bezpečnostními rolemi (vyšší režim) a zajistit zdroje pro bezpečnostní opatření.

Jaká je sankce za nesplnění povinností NIS2?

Za porušení povinností hrozí ve vyšším režimu pokuta až 250 mil. Kč nebo 2 % čistého celosvětového ročního obratu. Za neohlášení regulované služby hrozí stejná výše sankce i subjektu nižšího režimu.

Gap analýza NIS2: zjistěte, co vám chybí, dřív než přijde kontrola

Za metodiku ručí Marek Galetka, zakladatel Pravano. Text prošel lidským schválením před zveřejněním.

Gap analýza NIS2: jak zjistit, co vám chybí, dřív než přijde kontrola

Zákon č. 264/2025 Sb. je účinný od 1. 11. 2025 a první vlna regulovaných subjektů má za sebou povinnou registraci. Jenže registrace je jen vstupní brána – za ní čeká rok na zavedení desítek konkrétních bezpečnostních opatření. Pokud nevíte, kde přesně stojíte, riskujete, že den D přijde a vy budete improvizovat pod tlakem. Gap analýza je nástroj, který vám řekne přesně, co máte, co vám chybí a co udělat jako první.

Tento článek není obecný přehled NIS2. Je to pracovní návod: jak gap analýzu provést, co konkrétně zkontrolovat v nižším i vyšším režimu, a jak výsledky proměnit v akční plán s reálnými termíny.

Obecná informace, ne individuální právní rada. Pro posouzení konkrétní situace vaší firmy doporučujeme konzultaci s odborníkem nebo využijte rychlou prověrku.

Proč gap analýzu udělat teď, ne až „před kontrolou“

Lhůta 1 roku od doručení rozhodnutí o registraci vypadá pohodlně – ale není. Pro první vlnu subjektů to znamená deadline přibližně v prosinci 2026 až začátku 2027 (§ 13 odst. 4, § 15 odst. 4 zák. 264/2025). Zavést funkční systém řízení kybernetické bezpečnosti, vyškolit vedení, zdokumentovat opatření a smluvně ošetřit dodavatele – to jsou měsíce práce, ne týdny.

Navíc sankce jsou asymetrické: za neohlášení regulované služby hrozí až 250 mil. Kč nebo 2 % čistého celosvětového ročního obratu i subjektu, který by jinak spadal do nižšího režimu (§ 59 odst. 4, § 60 zák. 264/2025). Gap analýza vám zároveň ukáže, zda jste vůbec správně určili svůj režim.

Krok 0: Ověřte, do jakého režimu skutečně patříte

Než začnete analyzovat mezery, musíte vědět, vůči čemu se měříte. Zákon rozlišuje vyšší a nižší režim – a seznam povinností se mezi nimi výrazně liší (§ 8 zák. 264/2025, příloha vyhl. 408/2025).

Zákonné kritérium je v § 8 odst. 1 zákona (značný ekonomický, společenský nebo bezpečnostní význam pro ČR) a rozdělení podle typů služeb stanoví podle § 8 odst. 2 vyhláška. Ta u většiny služeb používá jednoduchou čáru: velký podnik v regulovaném odvětví → vyšší režim; střední podnik → nižší režim. Ale pozor na výjimky:

Výrobní průmysl (NACE 26–30), potravinářství a chemický průmysl jsou zpravidla jen v nižším režimu i pro velké podniky – s výjimkou sériového výrobce osobních aut a provozovatele objektu skupiny B dle zákona o prevenci závažných havárií, kteří spadají do vyššího.
On-line tržiště, vyhledávače a sociální platformy jsou vždy jen v nižším režimu – regulovanými se ale stávají jen tehdy, jsou-li velkým nebo středním podnikem (body 16.15 až 16.17 přílohy vyhl. 408/2025).
Velikost se počítá za skupinu – partnerské a propojené podniky se sčítají (čl. 2 odst. 1 směrnice 2022/2555, doporučení 2003/361/ES).

Příklad: Provozujete e-shop s obratem přes 10 mil. EUR a máte přes 50 zaměstnanců. Pokud provozujete vlastní logistiku jako kurýrní službu, jste v odvětví poštovních a kurýrních služeb – a pravděpodobně v nižším režimu jako střední podnik. Pokud jste velký podnik ve stejném odvětví, přecházíte do vyššího. Špatné určení režimu = špatná gap analýza.

Co platí najisto: struktura povinností podle režimu

Nižší režim – dvě skupiny opatření podle vyhlášky 410/2025

Povinný výstup je přehled bezpečnostních opatření s roční aktualizací, který musíte uchovávat 4 roky. Každé opatření ze skupiny kalibrované rizikem, které nezavedete, musíte v přehledu písemně zdůvodnit – to není volitelné.

Vyhláška 410/2025 dělí opatření nižšího režimu na dvě skupiny a její § 3 odst. 1 je v tom jednoznačný: povinná osoba a) zavede opatření přiměřená bezpečnostním potřebám a b) zavede alespoň opatření podle odstavců 2 až 6, § 4 až 6 a § 10.

Nepodmíněné jádro je tedy: přehled bezpečnostních opatření podle přílohy č. 1 s roční aktualizací a uchováním 4 roky, bezpečnostní politika a dokumentace, řízení aktiv, požadavky na dodavatele podle přílohy č. 2, akvizice a vývoj (§ 3 odst. 2 až 6), požadavky na vrcholné vedení (§ 4), bezpečnost lidských zdrojů (§ 5), řízení kontinuity činností včetně záloh (§ 6) a řešení incidentů (§ 10).

Kalibrovaná rizikem – a tedy vynechatelná jen s písemným odůvodněním – jsou: řízení přístupu (§ 7), řízení identit včetně vícefaktorové autentizace a hesel 12/17/22 znaků (§ 8), detekce, antimalware a logování (§ 9), bezpečnost komunikačních sítí včetně segmentace a oddělení zálohovacího prostředí (§ 11), aplikační bezpečnost včetně bezpečnostních aktualizací a skenování zranitelností (§ 12) a kryptografické algoritmy (§ 13).

Konkrétní technické parametry, které gap analýza porovnává:

Vícefaktorová autentizace (nebo zero-trust kontinuální ověřování) – priorita před hesly.
Hesla: minimálně 12 znaků pro běžného uživatele, 17 znaků pro administrátora, 22 znaků pro technický účet.
Segmentace sítě včetně odděleného zálohovacího prostředí.
Patch management, skeny zranitelností, antimalware.
Zálohy a logování.

Pozor na časté zkreslení: právě tyto technické parametry patří do skupiny kalibrované rizikem (§§ 7 až 9 a 11 až 13 vyhlášky), nikoli do nepodmíněného jádra. Neznamená to, že je lze vynechat beztrestně – znamená to, že jejich nezavedení musíte umět písemně obhájit vůči svým bezpečnostním potřebám.

Vyšší režim – 14 organizačních + 11 technických opatření (vyhl. 409/2025)

Vyšší režim je výrazně náročnější: 14 organizačních a 11 technických opatření podle vyhlášky 409/2025 (§§ 3–27). Zahrnuje ISMS, analýzu rizik s plánem zvládání, audit kybernetické bezpečnosti, řízení změn, řízení dodavatelů, OT/průmyslová aktiva, detekci, logy a kryptografii.

Klíčový rozdíl oproti nižšímu režimu: nestačí mít opatření zavedena – musíte mít funkční systém jejich řízení, pravidelně auditovaný a dokumentovaný.

Jak provést gap analýzu krok za krokem

Gap analýza má čtyři fáze. Každá má konkrétní výstup, bez kterého nemá smysl pokračovat dál.

Fáze 1: Inventura aktiv a rozsahu

Nejprve zjistěte, co vlastně chráníte. Sestavte seznam:

Informační systémy a aplikace, které podporují regulovanou službu.
Síťová infrastruktura (fyzická i cloudová).
Klíčoví dodavatelé, kteří mají přístup k vašim systémům nebo datům.
Osoby s privilegovaným přístupem (administrátoři, správci systémů).

Výstup: seznam aktiv s určením, která jsou kritická pro poskytování regulované služby.

Fáze 2: Porovnání se seznamem povinných opatření

Vezměte přílohu 1 vyhlášky 410/2025 (nižší režim) nebo §§ 3–27 vyhlášky 409/2025 (vyšší režim) a pro každé opatření odpovězte na tři otázky:

Máme toto opatření zavedeno?
Je zavedení prokazatelné (dokumentace, záznamy, konfigurace)?
Pokud ne – máme písemné zdůvodnění?

Výstup: tabulka mezer – seznam opatření rozdělený na „splněno“, „částečně splněno“ a „chybí“.

Fáze 3: Posouzení vrcholného vedení

Tato fáze je samostatná, protože jde o povinnosti, které nelze delegovat na IT oddělení. Zákon a vyhlášky explicitně vyžadují (§ 4 vyhl. 410/2025; §§ 4, 5 vyhl. 409/2025; čl. 20 směrnice 2022/2555):

Prokazatelné školení kybernetické bezpečnosti pro členy vedení.
Určení osoby pověřené KB (nižší režim) nebo zřízení výboru KB se čtyřmi rolemi – manažer, architekt, garant aktiv, auditor KB (vyšší režim).
Zajištění zdrojů (rozpočet, personál) pro bezpečnostní opatření.
Prokazatelné seznamování se stavem kybernetické bezpečnosti.

Příklad: Jste střední výrobní firma v nižším režimu. Váš IT správce dělá vše sám, vedení se o kybernetiku nezajímá a žádné školení neproběhlo. To je mezera, která se nedá vyřešit technickým nástrojem – vyžaduje organizační rozhodnutí na úrovni jednatele.

Fáze 4: Dodavatelský řetězec

Dodavatelé nejsou přímo regulováni zákonem, ale vy jako povinná osoba musíte jejich povinnosti vložit do smluv (§ 13 odst. 5 zák. 264/2025; § 3 odst. 5 vyhl. 410/2025; § 9 vyhl. 409/2025):

Nižší režim: rozsah smluvních požadavků dle přílohy 2 vyhlášky 410/2025.
Vyšší režim: evidence významných dodavatelů, písemná notifikace, hodnocení rizik, náležitosti smluv dle přílohy 5 vyhlášky 409/2025.

Zkontrolujte stávající smlouvy s klíčovými dodavateli (cloud, outsourcing IT, správa sítě). Pokud v nich chybí bezpečnostní požadavky dle příslušné přílohy, je to mezera, která vyžaduje renegociaci nebo dodatek.

Hlášení incidentů: máte připravený proces?

Gap analýza musí zahrnout i připravenost na hlášení incidentů – protože tato povinnost nastupuje spolu s bezpečnostními opatřeními (§ 15 odst. 4 zák. 264/2025).

Lhůty jsou přísné (§ 15 odst. 1–3, § 16 odst. 1, 3, 4 zák. 264/2025):

24 hodin od zjištění: prvotní hlášení.
72 hodin: oznámení u incidentu s významným dopadem.
30 dnů od předložení 72h oznámení: závěrečná zpráva.

Vyšší režim hlásí NÚKIB, nižší režim Národnímu CERT (jen při významném dopadu). Hlásí se incidenty, které se projevily ve stanoveném rozsahu, mají původ v kybernetickém prostoru a nelze u nich vyloučit úmyslné zavinění (§ 15 odst. 1 a 2 zákona). Není-li Portál NÚKIB dostupný, zákon připouští e-mail nebo datovou schránku příslušného orgánu (§ 16 odst. 4).

Zkontrolujte: Víte, kdo ve vaší firmě rozhoduje o tom, zda incident „má významný dopad“? Máte zdokumentovaný postup? Máte přístup na Portál NÚKIB?

Akční plán 30/60/90 dní

Výsledky gap analýzy jsou k ničemu bez prioritizace. Tady je rámec, který funguje pro většinu regulovaných subjektů.

Prvních 30 dní – základ a governance:

Ověřte správnost určení režimu (nižší/vyšší) a zkontrolujte, zda jste ohlásili regulovanou službu v zákonné lhůtě (§ 6 odst. 1 zák. 264/2025).
Určete osobu pověřenou KB (nižší režim) nebo zahajte zřizování výboru KB se čtyřmi rolemi (vyšší režim).
Naplánujte a zajistěte školení kybernetické bezpečnosti pro vedení.
Sestavte inventuru aktiv (Fáze 1 gap analýzy).

31–60 dní – technické minimum:

Proveďte audit autentizace: zkontrolujte, zda všechny systémy podporují vícefaktorovou autentizaci a zda hesla splňují minimální délky dle vyhlášky 410/2025.
Zkontrolujte segmentaci sítě a zálohovací prostředí – jsou zálohy skutečně odděleny od produkce?
Ověřte patch management: kdy byl naposledy proveden, existuje proces?
Projděte smlouvy s klíčovými dodavateli a identifikujte ty, které je třeba doplnit o bezpečnostní požadavky.

61–90 dní – dokumentace a procesy:

Sestavte přehled bezpečnostních opatření (povinný dokument dle § 3 vyhl. 410/2025) – pro každé opatření stav a případné písemné zdůvodnění nezavedení.
Zdokumentujte proces hlášení incidentů: kdo rozhoduje, kdo hlásí, přes jaký kanál.
Zahajte renegociaci nebo doplnění smluv s dodavateli.
Naplánujte první roční aktualizaci přehledu opatření.

Časté omyly

Omyl 1: „Gap analýzu udělá IT oddělení samo.“

IT oddělení zvládne technickou část – ale povinnosti vrcholného vedení (školení, určení odpovědných osob, zajištění zdrojů) musí iniciovat a schválit statutární orgán. Pokud gap analýza skončí v šuplíku IT manažera bez vědomí jednatele, nesplňuje svůj účel. Navíc při závažném porušení povinností může NÚKIB členovi statutárního orgánu dočasně zakázat výkon funkce (§ 56 odst. 1, § 58 zák. 264/2025) – to je osobní riziko, ne firemní abstrakce.

Omyl 2: „Stačí zavést opatření, dokumentace není nutná.“

Zákon a vyhlášky explicitně vyžadují prokazatelnost. Přehled bezpečnostních opatření musíte uchovávat 4 roky (§ 3 + příloha 1 vyhl. 410/2025). Nezavedené opatření bez písemného zdůvodnění je porušení povinnosti – i kdybyste měli dobré technické důvody. Kontrola NÚKIB bude chtít dokumenty, ne ústní vysvětlení.

Omyl 3: „Jsme malá firma, nás se to netýká.“

Zákon se netýká velikosti jako takové – týká se odvětví a velikosti v kombinaci. Střední podnik (≥ 50 zaměstnanců nebo obrat/bilance > 10 mil. EUR) v regulovaném odvětví je regulován. A velikost se počítá za skupinu – pokud jste součástí holdingu, sčítají se zaměstnanci a obrat propojených podniků (§ 4 odst. 1 zák. 264/2025, doporučení 2003/361/ES). Mnoho firem, které se považují za „malé“, ve skutečnosti práh překračuje.

Zdroje

Zákon č. 264/2025 Sb. o kybernetické bezpečnosti: https://www.zakonyprolidi.cz/cs/2025-264
Vyhláška č. 408/2025 Sb. (odvětví a režimy): https://www.zakonyprolidi.cz/cs/2025-408
Vyhláška č. 409/2025 Sb. (bezpečnostní opatření vyššího režimu): https://www.zakonyprolidi.cz/cs/2025-409
Vyhláška č. 410/2025 Sb. (bezpečnostní opatření nižšího režimu): https://www.zakonyprolidi.cz/cs/2025-410
Směrnice (EU) 2022/2555 (NIS2): CELEX 32022L2555
Doporučení Komise 2003/361/ES (definice MSP): CELEX 32003H0361

Shrnutí

Gap analýza NIS2 není jednorázový projekt – je to základ, od kterého se odvíjí vše ostatní. Bez ní nevíte, co zavádět, v jakém pořadí a s jakým rozpočtem. S ní máte konkrétní seznam mezer, prioritizovaný akční plán a dokumentaci, která obstojí při kontrole.

Klíčové body:

Ověřte správný režim (nižší/vyšší) – chyba zde znehodnotí celou analýzu.
Nepodmíněné jádro nižšího režimu (§ 3 odst. 1 písm. b) vyhl. 410/2025) je závazné bez výjimek; opatření kalibrovaná rizikem, tedy i MFA, hesla a segmentace sítě, vyžadují při nezavedení písemné zdůvodnění.
Povinnosti vrcholného vedení nelze delegovat na IT – jsou podmínkou platnosti celého systému.
Dodavatelské smlouvy jsou součástí compliance, ne volitelným doplňkem.
Lhůta 1 roku od doručení rozhodnutí o registraci je kratší, než vypadá.

Chcete vědět, kde přesně vaše firma stojí? Využijte rychlou prověrku – bezplatně a bez závazků.