Vyhláška 410/2025 Sb.: nižší režim povinností v praxi

Odpověď hned: Vyhláška č. 410/2025 Sb. stanoví bezpečnostní opatření pro poskytovatele regulované služby v režimu nižších povinností a je účinná od 1. listopadu 2025, stejně jako zákon č. 264/2025 Sb., o kybernetické bezpečnosti. Pro IT z ní plynou konkrétní úkoly: stanovit prioritu technických aktiv, pořadí a postupy obnovy, určit jmenovitě odpovědné osoby, vytvářet pravidelné zálohy dat, konfigurací a nastavení a segmentovat síť včetně oddělení provozního a zálohovacího prostředí. Lhůty stanoví zákon, ne vyhláška: ohlášení služby Úřadu do 60 dnů ode dne, kdy firma podmínky splnila (§ 6 odst. 1), a zavádění opatření nejpozději do 1 roku od doručení rozhodnutí o registraci (§ 13 odst. 4). Text je informativní přehled, ne právní rada.

Typická situace: jednatel má na stole výsledek samoidentifikace, ze kterého vyšlo „režim nižších povinností”. V paragrafech se mluví o „technických aktivech” a „segmentaci komunikační sítě”, ve firmě je jeden server, jeden NAS a externí ajťák na telefonu. Tenhle článek proto převádí vybraná ustanovení do úkolů pro IT. Koho se zákon týká, rozebírá článek NIS2 a zákon 264/2025 Sb.: týká se vaší firmy?.

Kam vyhláška 410/2025 Sb. zapadá

Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, je účinný od 1. listopadu 2025 a jeho § 72 zrušil dosavadní zákon č. 181/2014 Sb. Jak mají opatření vypadat, ale ponechává na prováděcích vyhláškách. Ty jsou dvě a liší se podle režimu:

• Vyhláška č. 410/2025 Sb. — opatření v režimu nižších povinností. Vydána 26. září 2025, platnost od 14. října 2025, účinnost od 1. listopadu 2025. Dopadá na většinu menších regulovaných subjektů.
• Vyhláška č. 409/2025 Sb. — opatření v režimu vyšších povinností, rovněž účinná od 1. listopadu 2025.

Praktický důsledek: v nižším režimu je závazná 410/2025 Sb.; požadavky z 409/2025 Sb. na vás přímo nedopadají — což je podstatné, když vám někdo předloží nabídku postavenou na vyšším režimu.

Dvě lhůty, které běží: 60 dnů a jeden rok

Lhůty nestanoví vyhláška, ale zákon. Jsou dvě a je užitečné je nezaměňovat.

Ohlášení (§ 6 odst. 1 zákona č. 264/2025 Sb.). Poskytovatel služby, který splňuje podmínky pro registraci, ji ohlásí Úřadu — tedy NÚKIB — nejpozději do 60 dnů ode dne, kdy podmínky splnil. Rozhodující je den splnění podmínek, ne den, kdy si toho firma všimla: pokud jste je splnili překročením velikostní hranice nebo rozšířením činnosti, běží lhůta od té změny.

Zavedení opatření (§ 13 odst. 4 zákona). Bezpečnostní opatření začne povinná osoba zavádět a provádět nejpozději do 1 roku od doručení rozhodnutí o registraci. Lhůta se tedy neodvíjí od ohlášení ani od účinnosti zákona, ale od doručeného rozhodnutí — datum doručení si uschovejte, je to výchozí bod celého plánu. Rok přitom není „rok volna”: segmentace sítě nebo přestavba zálohování se dělá o víkendech a v oknech, kdy nejede provoz, takže reálně jde o tři až čtyři použitelné termíny.

Od paragrafu k úkolu pro IT

Prostřední sloupec vychází z textu předpisů, poslední je příklad běžného řešení — ten součástí vyhlášky není.

Zálohy: co vyhláška požaduje

Formulace v § 6 písm. c) vyhlášky č. 410/2025 Sb. je konkrétnější, než jak se běžně čte. Nemluví jen o datech, ale o „informacích, datech, konfiguracích a nastaveních technických aktiv”, a cíl uvádí výslovně: obnova regulované služby pro případ kybernetického bezpečnostního incidentu. Tři důsledky:

Zálohují se i konfigurace. V malých firmách běží záloha sdílených složek, účetnictví a mailu — a nikde není konfigurace firewallu, nastavení VLAN na switchi ani hypervizoru. Když padne server, data se vrátí; když padne krabička, kterou před třemi lety nastavoval někdo jiný, jede se od nuly a po paměti. Export konfigurace je většinou jeden soubor a jde zálohovat automaticky.

Kritérium rozsahu je „nezbytné pro obnovu služby”. Vyhláška neříká „zálohujte všechno” — mluví o aktivech nezbytných zejména pro obnovu regulované služby. Začněte od toho, co musí běžet, aby služba fungovala.

„Pro případ incidentu” znamená zálohu, na kterou se útočník nedostane. Záloha na NAS připojeném jako síťový disk pod účtem uživatele ransomware nepřežije. Minimem je kopie mimo dosah běžného provozu — offline nebo neměnná. Podrobněji u externího disku a pravidla 3-2-1 a v textu ransomware ve firmě: prvních 24 hodin.

Odpovědné osoby a pořadí obnovy

Ustanovení § 6 písm. a) a b) vyhlášky č. 410/2025 Sb. požaduje stanovit prioritu technických aktiv, pořadí a postupy obnovy a určit konkrétní odpovědné osoby. Splnit se to dá bez investice — a přesto to v malých firmách skoro nikdy hotové není. Jde o dokument, který odpovídá na tři otázky:

1. Co zapínáme první? Ne abecedně, ale podle závislostí. Doménový řadič a DNS obvykle předchází aplikacím, ERP nemá smysl startovat před databází.
2. Jak se to obnovuje? Postup na úrovni „odkud se bere záloha, čím se obnovuje, podle čeho se pozná, že to jede” — jedna strana na aktivum.
3. Kdo za to odpovídá jménem? „IT oddělení” ani „dodavatel” konkrétní osoba není. Ke každé roli patří zástup, protože incidenty nerespektují dovolené.

Při incidentu bývá tenhle dokument jediné, co funguje, protože do intranetu se nedostanete — proto patří i do tištěné podoby. Jak vypadá obnova plánovaná až během incidentu, ukazuje záchrana dat ze serveru.

Segmentace sítě a oddělení záloh, když máte jeden NAS

Ustanovení § 11 písm. a) vyhlášky č. 410/2025 Sb. požaduje zajistit segmentaci komunikační sítě, včetně oddělení provozního a zálohovacího prostředí. Bývá to největší zásah do infrastruktury z celého nižšího režimu — a zdroj otázky „to si máme kupovat druhý NAS?”. Vyhláška ale nepředepisuje technologii ani počet zařízení, předepisuje výsledek: provozní a zálohovací prostředí nemá být totéž. Ve firmě s jedním serverem a NASem k tomu vedou čtyři cesty, které se kombinují:

• Oddělení sítí. Zálohovací zařízení do vlastní VLAN, přístup jen z definovaných zdrojů a jen na porty, které záloha potřebuje.
• Oddělení identitou. Zálohovací účet není doménový účet správce — kompromitace stanice nebo domény pak nedává přístup k zálohám.
• Oddělení směrem přenosu. Model, kdy si zálohy tahá zálohovací server sám (pull), je odolnější než ten, kdy je zálohovaný stroj tlačí s uloženými hesly.
• Oddělení v čase. Kopie fyzicky odpojená nebo neměnná po nastavenou dobu je oddělená i bez další sítě.

Pokud máte plochou síť, kde je ve stejném segmentu kancelář, hostovská Wi-Fi i NAS se zálohami, je segmentace úkol na projekt, ne na odpoledne. Lhůta jednoho roku podle § 13 odst. 4 je reálná, ale ne velkorysá.

Co vyhláška 410/2025 Sb. naopak nežádá

Nejrozšířenější omyl, který se šíří sekundárními výklady i nabídkami: že nižší režim musí testovat obnovu záloh v předepsané frekvenci. Podle textu předpisů to je takto:

• Vyhláška č. 410/2025 Sb. (nižší režim) v § 6 písm. c) požaduje vytváření pravidelných záloh. Výslovný požadavek testovat obnovitelnost a dokumentovat výsledky v tomto ustanovení není.
• Vyhláška č. 409/2025 Sb. (vyšší režim) v § 26 odst. 3 písm. a) a b) požaduje pravidelné testování integrity, dostupnosti a obnovitelnosti záloh a dokumentování výsledků, v § 26 odst. 5 pak oddělení zálohovacího prostředí.
• Ani ve vyšším režimu není v citovaných ustanoveních uvedena konkrétní frekvence testů. Tvrzení typu „obnovu musíte testovat měsíčně” z nich tedy neplyne.

Plynou z toho dvě doporučení. Nekupujte službu jen proto, že vám ji někdo prodává jako zákonnou povinnost nižšího režimu — ověřte si v textu vyhlášky, která se vás týká, že tam ten požadavek je. A testování obnovy přesto dělejte: ne proto, že to vyhláška nižšího režimu přikazuje, ale protože netestovaná záloha je jen předpoklad. Zvolte si vlastní rozumný interval, zapište datum a výsledek testu a držte se toho.

Táž opatrnost patří k sankcím: zákon č. 264/2025 Sb. upravuje také přestupky, výši pokut si ale ověřte v aktuálním znění zákona, ne v přeposlaném shrnutí.

Ustanovení rozebraná výše navíc nejsou celý předpis — jsou to ta, která se nejvíc dotýkají infrastruktury. Vyhláška dále upravuje i další oblasti, například řízení přístupů, zvládání incidentů nebo dokumentaci; ty tady záměrně necitujeme s čísly paragrafů, protože pracovat je namístě s plným zněním na e-Sbírce.

Dodavatelé IT: co se mění ve smlouvách

Většina menších regulovaných firem opatření nezajišťuje sama, ale přes dodavatele. Podle § 13 odst. 5 zákona č. 264/2025 Sb. ten, kdo bezpečnostní opatření zajišťuje prostřednictvím dodavatele, vybírá dodavatele v souladu s požadavky vyplývajícími z bezpečnostního opatření a tyto požadavky promítne do smluv. Plyne z toho dvojí.

Výběr dodavatele přestává být jen otázkou ceny a reakční doby. Kritéria se odvozují od opatření, která máte zavádět — pokud opatření požaduje oddělení zálohovacího prostředí, dodavatel, který to neumí, tomu neodpovídá.

Smlouva se mění z „paušál a hodinovka” na dokument, kde je napsané, kdo co dělá: co se zálohuje a jak často, kdo drží přístupy a jak se předávají, jak se hlásí incident směrem k vám, jaká je součinnost při obnově a co se stane se zálohami a hesly při ukončení spolupráce. Kdo má za sebou odchod ajťáka bez předání hesel, ví, proč je poslední bod důležitý.

Odpovědnost za splnění povinností tím na dodavatele nepřechází — zůstává na povinné osobě.

Jak se připravit, i když regulovaní zatím nejste

Menší firmy mimo regulovaná odvětví se s požadavky potkají nepřímo — přes zákazníky, kteří regulovaní jsou a musí řídit své dodavatele. Bezpečnostní dotazník ve výběrovém řízení bývá první signál. Použitelné minimum je z těch samých věcí:

1. Seznam toho, co držíte — servery, NAS, aplikace, linky a jejich vlastníci.
2. Záloha včetně konfigurací, s jednou kopií mimo dosah běžného provozu.
3. Napsané pořadí obnovy a jména odpovědných lidí, i v tištěné podobě.
4. Oddělené zálohovací prostředí — alespoň identitou a síťově.
5. Test obnovy v intervalu, který si sami zvolíte, se zápisem výsledku.
6. Smlouva s IT dodavatelem popisující součinnost při incidentu a předání přístupů.

Nic z toho není papír kvůli úřadu — rozhoduje to o tom, jestli se firma po incidentu rozjede za den, nebo za tři týdny.

ITHOPE pomáhá menším firmám v Brně a okolí zavést tato opatření prakticky: projít, co reálně provozujete, postavit zálohování včetně konfigurací, oddělit zálohovací prostředí od provozního a sepsat pořadí obnovy a odpovědnosti použitelné při incidentu i doložitelné při kontrole. Podrobnosti u služby správa IT a zálohování, ostatní v sekci IT pro firmy. Výklad předpisů necháváme na právnících, my řešíme technickou stranu.

Praktickou část opatření kolem záloh a úložišť (oddělené zálohovací prostředí, výměny disků, dohled) pokrývá náš servis NAS a zálohování pro firmy.

Zdroje

• Zákon č. 264/2025 Sb., o kybernetické bezpečnosti (e-Sbírka): https://www.e-sbirka.cz/sb/2025/264
• Vyhláška č. 410/2025 Sb. — opatření v režimu nižších povinností: https://www.e-sbirka.cz/sb/2025/410
• Vyhláška č. 409/2025 Sb. — opatření v režimu vyšších povinností: https://www.e-sbirka.cz/sb/2025/409
• NÚKIB — Národní úřad pro kybernetickou a informační bezpečnost: https://nukib.gov.cz/
• Portál NÚKIB (průvodce zákonem, materiály, formuláře): https://portal.nukib.gov.cz/