Riziko vede k opatření, opatření se prokazuje při auditu a jeho část leží na dodavateli. Dokud tyhle věci žijí v oddělených tabulkách, úřad na kontrolní otázku neodpoví — a přitom přijde jako první: čím konkrétně je dané riziko ošetřené a kdo to ověřil.
V odborné literatuře i v nabídkách dodavatelů se téhle oblasti říká GRC, z anglického governance, risk and compliance. Podstatné není to slovo, ale myšlenka za ním: tři věci, které nejdou řešit odděleně.
Zkratka zní technokraticky, ale každé písmeno odpovídá na věc, kterou po úřadu žádá kontrola — jen jinou část téže otázky.
Kdo o bezpečnosti rozhoduje, kdo ji vykonává a jak se o stavu dozví vedení. Bez určení odpovědné osoby nemá zbytek koho zavazovat.
governanceCo se může stát, jak zle by to dopadlo a co s tím úřad dělá. Riziko není pocit — má dopad, pravděpodobnost, vlastníka a opatření.
riskČím úřad prokáže, že opatření nejen vymyslel, ale i zavedl a ověřil. Tady kontroly nacházejí nejvíc nedostatků.
complianceDokud se o riziku mluví slovy „hodně" a „málo", nejde se na něm dohodnout ani ho porovnat s jiným. Každé riziko proto dostává dvě hodnoty — jak zlé by to bylo a jak je to pravděpodobné — a tím získá místo v matici. Teprve pak dává smysl řešit, které z nich je na řadě.
Škála i počet stupňů nejsou vyhláškou předepsané — nastavují se podle velikosti úřadu. Podstatné je, aby se používaly stejně pořád a aby šlo dohledat, proč dané riziko sedí zrovna tam, kde sedí.
Výše uvedená rizika jsou ilustrativní příklady, ne výstup konkrétní organizace.
Tohle je celý cyklus. Kontrola se neptá jen na první krok, ale hlavně na třetí a čtvrtý — a právě ty bývají nedohledatelné.
Riziko se váže na konkrétní aktivum — server, agendu, dodavatele. Ne na obecnou kategorii, ke které se nikdo nehlásí.
Ke každému riziku patří opatření, termín a osoba, která za něj odpovídá. Bez těchto tří údajů je to přání, ne opatření.
Směrnice s dokladem o seznámení, zápis o testu obnovy, protokol o školení. Doklad, ne tvrzení.
Jednou ročně se přehled opatření aktualizuje a vyhodnotí jejich účinnost. Závěry se vrací do prvního kroku.
Čtyři evidence, které spolu souvisí. Každý záznam ví, odkud vzešel a čím je doložený.
Riziko se váže na konkrétní server, agendu nebo dodavatele — a proto je vidět, koho a čeho se týká. Změna hodnocení si nechává stopu, takže jde doložit i to, jak se pohled na riziko v čase vyvíjel.
V nižším režimu je to nejtvrdší doložitelný artefakt, který po úřadu vyhláška chce. Každé opatření má stav, popis zavedení, a pokud zavedené není, tak termín, prioritu a odpovědnou osobu — nebo odůvodnění, proč zavedeno nebylo.
§ 3 odst. 2 a příloha č. 1 vyhlášky č. 410/2025 Sb.
Z auditu nemá vzniknout jen zpráva do šanonu. Každé zjištění má vypořádání a jedním krokem z něj založíte nápravné opatření, které se zařadí mezi ostatní a dál se sleduje se svým termínem.
Většinu IT dnes provozuje někdo zvenku a jeho problém je i váš. U každého dodavatele proto evidujeme jednotlivé přístupy — vzdálené i fyzické — včetně toho, kdy mají skončit a kdo doloží, že skutečně skončily.
Příloha č. 2 vyhlášky č. 410/2025 Sb. (ve vyšším režimu příloha č. 5 vyhlášky č. 409/2025 Sb.)
Nic z toho si nevymýšlíme. Níže je, kde přesně to v nižším režimu stojí — abyste si to mohli ověřit sami.
Povinná osoba stanoví přehled všech opatření — zavedených, plánovaných i nezavedených včetně odůvodnění. Aktualizuje ho a dokumentuje alespoň jednou ročně včetně vyhodnocení účinnosti a jednotlivé přehledy uchovává nejméně čtyři roky.
Při uzavírání smlouvy úřad zohlední hrozby a zranitelnosti spojené s dodavatelem i kvalitu jeho postupů a zajistí, aby smlouva obsahovala relevantní ujednání z přílohy č. 2 — od mlčenlivosti přes právo auditu a řetězení subdodavatelů po exit strategii.
Práva se přidělují na úroveň nezbytně nutnou, pravidelně se přezkoumávají a při ukončení nebo změně smluvního vztahu, na jehož základě přístup vznikl, se účet deaktivuje a práva bezodkladně odeberou.
Úřad si sám stanoví únosnou míru újmy a oblasti pro posouzení dopadu. Bez toho nelze rozhodnout, zda se incident hlásí NÚKIB — a rozhodovat se to musí v hodinách, ne dnech.
Ve vyšším režimu (vyhláška č. 409/2025 Sb.) je táž agenda formálnější — rozdíl není ani tak v opatřeních jako v míře jejich doložení. Do kterého režimu spadáte, s vámi rádi posoudíme.
Na bezplatné konzultaci projdeme, co už je zavedené a čím to jde doložit. Teprve pak má smysl bavit se o tom, co chybí.
Nezávazná konzultace