NIS2: technická analýza

Zákon č. 264/2025 Sb. o kybernetické bezpečnosti a jeho prováděcí vyhlášky ukládají povinnosti tisícům českých firem. Velká část povinností se týká technické infrastruktury: přístupů, logování, zálohování, správy zranitelností, bezpečného vývoje a dodavatelů.

120 000 Kč

3 až 4 týdny, do 10 systémů, technická část bez právního poradenství. Bez DPH.

Domluvit konzultaci

Co nabízíme

Projdeme vaši cloudovou a DevOps infrastrukturu proti těmto požadavkům. Ukážeme, co je splněno a co chybí, a sestavíme plán nápravy s pracností a cenami. Nespoléháme jen na dotazníky: konfiguraci ověřujeme přímo ve vašem prostředí, s přístupem pouze pro čtení.

Jde o technickou analýzu. Právní výklad, posouzení, zda pod zákon spadáte, a tvorba ISMS součástí nejsou.

Aplikace neprogramujeme. Zaměřujeme se výhradně na infrastrukturu, cloud a DevOps.

Kdy služba dává smysl

Víte, že na vás zákon dopadá, a potřebujete zjistit, kde jste technicky.
Manažer kybernetické bezpečnosti potřebuje ověřená technická data, ne odhady.
Chystáte se na audit nebo kontrolu a chcete znát mezery předem.
Potřebujete podklad pro rozpočet nápravných opatření.

Co získáte

Ověřený přehled, které technické požadavky splňujete a které ne.
Priority podle rizika, ne podle pořadí v zákoně.
Plán nápravy s pracností, cenami a pořadím kroků.
Šablonu evidence, kterou můžete průběžně doplňovat pro audit.

Co přesně uděláme

Analyzujeme deset technických oblastí. Každý požadavek hodnotíme jako splněno, částečně splněno, nesplněno, nebo neověřeno. Analýzu přizpůsobíme režimu povinností, který pro vás platí. Pro režim vyšších povinností vycházíme z vyhlášky č. 409/2025 Sb. Režim určujete vy, případně váš právní poradce.

Řízení aktiv: Inventura systémů a dat v cloudu, jejich vlastníci a klasifikace.
Identity a přístupy: MFA, privilegované účty, nejmenší oprávnění, pravidelné revize přístupů.
Logování a detekce: Co se loguje, jak dlouho, kdo logy sleduje a jak se detekují bezpečnostní události.
Zálohování a kontinuita: Zálohy, ověřená obnova, RTO a RPO, obnova po havárii.
Zranitelnosti a záplaty: Skenování, lhůty pro záplaty, aktuálnost verzí.
Bezpečný vývoj a změny: CI/CD, změnové řízení, oddělení prostředí, kontrola kódu a závislostí.
Síťová bezpečnost: Segmentace, firewall, služby vystavené do internetu.
Kryptografie: Šifrování dat v klidu a při přenosu, správa klíčů a certifikátů.
Dodavatelé ICT: Technické aspekty: přístupy dodavatelů, jejich logování a omezení.
Incidenty z technického pohledu: Detekce, eskalace a podklady pro hlášení NÚKIB.

Kdo na projektu pracuje

Na analýze pracují tři lidé. Vedoucím je senior se zkušeností s bezpečností cloudu.

Senior, vedoucí projektu
5 dnů

Za co odpovídá
Výklad technických požadavků, rozhovory s bezpečností a IT, gap analýza, priority, plán nápravy, readout.

Co od ní dostanete
Hlavní kontakt, gap analýza, plán nápravy
Middle
4 dny

Za co odpovídá
Technické ověření konfigurace: identity, logování, zálohy, šifrování, síť, CI/CD.

Co od ní dostanete
Ověřené technické nálezy
Junior
3 dny

Za co odpovídá
Inventura systémů, sběr evidence, kontrolní seznamy, příprava šablony evidence.

Co od ní dostanete
Inventura, evidence, šablona

Úkoly přidělujeme podle složitosti: rutinní práci podle šablon dělají junioři, složitější části middle, návrh, kontrolu kvality a rozhodnutí o rizicích senior. Nemusíte řešit, komu co zadat. Rozsah ve dnech je orientační a slouží k vysvětlení ceny. Cena je pevná a nezávisí na skutečně odpracovaných dnech.

Jak projekt probíhá

Analýza má čtyři fáze a trvá 3 až 4 týdny, podle dostupnosti lidí na rozhovory.

Týden 1: úvodní schůzka a rozsah
Cíl: Určit systémy v rozsahu a režim povinností.
- Úvodní schůzka s manažerem kybernetické bezpečnosti a IT.
- Výběr až 10 systémů v rozsahu.
- Potvrzení režimu povinností.
- Sběr existující dokumentace (politiky, předchozí audity, analýza rizik).
- Přístup pouze pro čtení.
Výstup: Potvrzený rozsah a režim. Kdo: senior, inventura junior
Týdny 1 a 2: sběr evidence
Cíl: Ověřit skutečný stav přímo v prostředí.
- Technická kontrola konfigurace v deseti oblastech.
- Rozhovory s IT, provozem a bezpečností.
- Sběr důkazů: výpisy nastavení, snímky, dokumenty.
Výstup: Evidence ke každé oblasti. Kdo: middle technická kontrola, junior sběr evidence, senior rozhovory
Týdny 2 a 3: gap analýza
Cíl: Porovnat zjištění s požadavky a určit priority.
- Mapování požadavků na zjištění.
- Hodnocení každého požadavku.
- Priority podle rizika a dopadu.
Výstup: Gap analýza. Kdo: senior
Týden 4: plán nápravy a readout
Cíl: Převést mezery do plánu.
- Nápravná opatření s pracností, cenou a pořadím.
- Šablona evidence pro průběžné doplňování.
- Readout pro vedení a bezpečnost.
Výstup: Plán nápravy, šablona evidence, předání. Kdo: senior, šablona junior

Jak spolupráce funguje

Hlavní kontakt: Vedoucí projektu (senior). Odpovídá za výsledek, termíny, rizika a rozhodnutí. V každodenní práci se můžete obracet přímo na kohokoli z týmu.
Komunikace: Sdílený kanál ve Slacku nebo Teams a ticketovací systém podle vaší volby. Každý dotaz a změna mají stopu.
Úvodní schůzka: Na začátku potvrdíme rozsah, přístupy, kontakty a termíny klíčových milníků.
Týdenní stav: Krátký sync na 15 až 30 minut: co je hotovo, co nás čeká, co potřebujeme od vás a jaká vidíme rizika.
Závěrečný readout: Výsledky představíme vašemu týmu a vedení a projdeme další kroky.
Eskalace: Junior → middle → vedoucí projektu. Pokud hrozí posun termínu nebo zásadní riziko, ozve se vám vedoucí projektu ještě týž den.
Pracovní doba: Pracovní dny 8:00 až 17:00 středoevropského času. Změny v produkci provádíme v okně, které si vyberete, a vždy přes váš change management.

Co potřebujeme od vás

Termíny platí, pokud máme k dispozici následující. Pokud se něco zdrží, posune se harmonogram o stejnou dobu a dáme vám vědět hned.

Kontakt na manažera kybernetické bezpečnosti nebo osobu odpovědnou za NIS2.
Určený režim povinností (nižší nebo vyšší).
Seznam systémů v rozsahu (až 10).
Přístup pouze pro čtení do cloudu, CI/CD a monitoringu.
Existující bezpečnostní dokumentaci.
Lidi z IT a bezpečnosti na rozhovory.

Přístupy a bezpečnost

Každý člen týmu má vlastní pojmenovaný účet. Sdílené účty nepoužíváme.
Žádáme jen oprávnění, která daná fáze potřebuje. Kde stačí čtení, pracujeme pouze s přístupem pro čtení.
Data z vašeho prostředí nevynášíme. V dokumentech uvádíme jen souhrny potřebné pro výsledek.
Po skončení projektu nám přístupy odeberete, nebo je na vaši žádost odebereme sami a potvrdíme to.
Na přání podepíšeme NDA ještě před úvodní schůzkou.

Co je součástí a co ne

Součástí ceny

Technická analýza až 10 systémů v deseti oblastech
Ověření konfigurace přímo v prostředí
Gap analýza s prioritami
Plán nápravy s pracností a cenami
Šablona evidence a readout

Není součástí, naceníme zvlášť nebo řešíte vy

Právní výklad zákona a posouzení, zda pod zákon spadáte
ISMS, bezpečnostní politiky a dokumentace pro certifikaci
Infrastruktura mimo cloud a DevOps (kancelářská síť, OT), pokud ji předem nedohodneme
Realizace nápravných opatření (nabídka zvlášť)
Analýza požadavků DORA

Pokud v průběhu zjistíme, že skutečnost je jiná, než jsme předpokládali, upozorníme vás dřív, než začneme pracovat mimo rozsah. Pošleme krátký odhad dopadu na cenu a termín a pokračujeme až po vašem souhlasu.

Výstupy a akceptace

Výstup	Co obsahuje	Forma
Gap analýza	Hodnocení požadavků v deseti oblastech s evidencí	PDF a Excel
Plán nápravy	Opatření, priority, pracnost, ceny, pořadí	Dokument
Šablona evidence	Struktura pro průběžné doplňování důkazů	Excel
Readout	Prezentace pro vedení a bezpečnost	Schůzka a PDF

Projekt je hotový, když:

Předali jsme gap analýzu, plán nápravy a šablonu evidence.
Proběhl readout.
Zapracovali jsme vaše připomínky z jednoho kola.

Výstupy předáme a projdeme s vámi. Připomínky zapracujeme v jednom kole do 5 pracovních dnů od jejich obdržení.

Rizika a jak je řešíme

Riziko	Jak ho řešíme
Režim povinností není určený	Pracujeme s režimem vyšších povinností a označíme požadavky, které platí jen pro něj.
Některá evidence není dostupná	Požadavek označíme jako neověřený a uvedeme, co je potřeba doložit.
Výklad legislativy se vyvíjí	Vycházíme z aktuálního znění předpisů ke dni analýzy a datum uvádíme v dokumentu.
Systémů je víc než 10	Další systémy naceníme individuálně, předem.

Cena a podmínky

120 000 Kč bez DPH, pevná cena (až 10 systémů, nad 10 systémů individuálně).

Délka: 3 až 4 týdny.
Ceny jsou bez DPH, fakturace v CZK nebo EUR.
Práce nad rámec rozsahu: samostatná cenová nabídka, vždy předem.

Na co můžete navázat

Další kroky

1Krátký call na 30 minut: projdeme vaše prostředí a ověříme, že služba odpovídá tomu, co potřebujete.
2Potvrdíme rozsah, termín zahájení a kontaktní osoby.
3Pošleme smlouvu a seznam přístupů, které budeme potřebovat k zahájení.

Časté otázky

Spadáme pod NIS2?

To je právní otázka. Posoudit ji můžete samoposouzením podle metodiky NÚKIB nebo s právníkem. My se zabýváme technickou stránkou.

Je výsledek certifikace?

Ne. Je to technická analýza a plán nápravy, které můžete použít jako podklad pro audit.

Proč ověřujete konfiguraci, když máme vyplněné dotazníky?

Dotazník ukazuje, co si myslíme. Konfigurace ukazuje, jak to skutečně je. Rozdíl bývá podstatný.

Řekněte nám, co řešíte.

Třicet minut, zdarma. Odpovíme do jednoho pracovního dne.