Vyhláška 410/2025 Sb.: der niedrigere Pflichtenmodus in der Praxis

Die kurze Antwort: Vyhláška č. 410/2025 Sb. legt Sicherheitsmaßnahmen für Anbieter regulierter Dienste im niedrigeren Pflichtenmodus fest und gilt seit dem 1. November 2025 – ebenso wie zákon č. 264/2025 Sb., o kybernetické bezpečnosti. Daraus ergeben sich konkrete Aufgaben für die IT: technische Assets priorisieren, Reihenfolge und Verfahren der Wiederherstellung festlegen, verantwortliche Personen namentlich bestimmen, Informationen, Daten, Konfigurationen und Einstellungen regelmäßig sichern sowie das Netzwerk segmentieren und dabei insbesondere Betriebs- und Backup-Umgebung trennen. Die Fristen bestimmt das Gesetz, nicht die Verordnung: Der Dienst muss innerhalb von 60 Tagen ab dem Tag, an dem das Unternehmen die Voraussetzungen erfüllt hat, bei NÚKIB gemeldet werden (§ 6 odst. 1); die Maßnahmen müssen spätestens innerhalb eines Jahres nach Zustellung der Registrierungsentscheidung umgesetzt werden (§ 13 odst. 4). Dieser Text ist eine informative Übersicht und keine Rechtsberatung.

Eine typische Situation: Der Geschäftsführer hat das Ergebnis der Selbstidentifikation vor sich, das den „niedrigeren Pflichtenmodus“ ergeben hat. In den Paragrafen ist von „technischen Assets“ und der „Segmentierung des Kommunikationsnetzes“ die Rede, während es im Unternehmen lediglich einen Server, ein NAS und einen externen IT-Dienstleister auf Abruf gibt. Dieser Artikel überträgt deshalb ausgewählte Bestimmungen in konkrete IT-Aufgaben. Welche Unternehmen unter das Gesetz fallen, erläutert der Artikel NIS2 und zákon 264/2025 Sb.: Ist Ihr Unternehmen betroffen?.

Wie Vyhláška 410/2025 Sb. einzuordnen ist

Zákon č. 264/2025 Sb., o kybernetické bezpečnosti gilt seit dem 1. November 2025; durch § 72 wurde das bisherige zákon č. 181/2014 Sb. aufgehoben. Wie die Maßnahmen konkret aussehen sollen, überlässt das Gesetz jedoch den Durchführungsverordnungen. Davon gibt es zwei, die sich nach dem jeweiligen Pflichtenmodus unterscheiden:

• Vyhláška č. 410/2025 Sb. — Maßnahmen im niedrigeren Pflichtenmodus. Veröffentlicht am 26. September 2025, gültig seit dem 14. Oktober 2025 und wirksam seit dem 1. November 2025. Sie betrifft die meisten kleineren regulierten Unternehmen.
• Vyhláška č. 409/2025 Sb. — Maßnahmen im höheren Pflichtenmodus, ebenfalls wirksam seit dem 1. November 2025.

Die praktische Folge: Im niedrigeren Modus ist 410/2025 Sb. verbindlich; die Anforderungen aus 409/2025 Sb. gelten für Sie nicht unmittelbar. Das ist wichtig, wenn Ihnen jemand ein Angebot vorlegt, das auf dem höheren Modus basiert.

Zwei laufende Fristen: 60 Tage und ein Jahr

Die Fristen werden nicht durch die Verordnung, sondern durch das Gesetz bestimmt. Es gibt zwei, die nicht miteinander verwechselt werden sollten.

Meldung (§ 6 odst. 1 zákona č. 264/2025 Sb.). Ein Dienstanbieter, der die Voraussetzungen für eine Registrierung erfüllt, meldet den Dienst spätestens innerhalb von 60 Tagen ab dem Tag, an dem er diese Voraussetzungen erfüllt hat, bei NÚKIB. Entscheidend ist der Tag, an dem die Voraussetzungen tatsächlich erfüllt wurden, nicht der Tag, an dem das Unternehmen dies festgestellt hat. Wenn Sie die Schwelle durch Unternehmenswachstum oder eine Ausweitung Ihrer Tätigkeit überschritten haben, läuft die Frist ab dieser Änderung.

Umsetzung der Maßnahmen (§ 13 odst. 4 zákona). Die verpflichtete Person muss spätestens innerhalb eines Jahres nach Zustellung der Registrierungsentscheidung mit der Einführung und Durchführung der Sicherheitsmaßnahmen beginnen. Die Frist richtet sich somit weder nach der Meldung noch nach dem Inkrafttreten des Gesetzes, sondern nach der Zustellung der Entscheidung. Bewahren Sie das Zustellungsdatum auf – es ist der Ausgangspunkt für den gesamten Plan. Dieses Jahr ist kein „freies Jahr“: Netzwerksegmentierung oder Umbauten der Backup-Lösung werden an Wochenenden und in Wartungsfenstern durchgeführt, in denen der Betrieb ruht. Realistisch bleiben deshalb oft nur drei oder vier geeignete Termine.

Vom Paragrafen zur IT-Aufgabe

Die mittlere Spalte gibt den Inhalt der Vorschriften wieder, die letzte Spalte zeigt ein Beispiel für eine übliche Lösung – dieses Beispiel ist nicht Bestandteil der Verordnung.

Backups: Was die Verordnung verlangt

Die Formulierung in § 6 písm. c) vyhlášky č. 410/2025 Sb. ist konkreter, als sie häufig verstanden wird. Sie spricht nicht nur von Daten, sondern von „Informationen, Daten, Konfigurationen und Einstellungen technischer Assets“. Auch das Ziel wird ausdrücklich genannt: die Wiederherstellung des regulierten Dienstes nach einem Cybersicherheitsvorfall. Daraus ergeben sich drei Konsequenzen:

Auch Konfigurationen müssen gesichert werden. In kleinen Unternehmen werden häufig freigegebene Ordner, Buchhaltungsdaten und E-Mails gesichert – nicht aber die Firewall-Konfiguration, die VLAN-Einstellungen des Switches oder die Hypervisor-Konfiguration. Fällt ein Server aus, lassen sich die Daten wiederherstellen. Fällt dagegen ein Gerät aus, das vor drei Jahren von jemand anderem eingerichtet wurde, beginnt die Arbeit ohne Dokumentation von vorn. Eine exportierte Konfiguration besteht meist nur aus einer Datei und lässt sich automatisiert sichern.

Maßstab für den Umfang ist, was „für die Wiederherstellung des Dienstes erforderlich“ ist. Die Verordnung verlangt nicht, „alles zu sichern“. Sie bezieht sich auf Assets, die insbesondere zur Wiederherstellung des regulierten Dienstes erforderlich sind. Beginnen Sie deshalb mit der Frage, was funktionieren muss, damit der Dienst erbracht werden kann.

„Für den Fall eines Vorfalls“ bedeutet eine Sicherung, auf die ein Angreifer nicht zugreifen kann. Ein Backup auf einem NAS, das unter dem Benutzerkonto als Netzlaufwerk eingebunden ist, wird einen Ransomware-Angriff kaum überstehen. Das Minimum ist eine Kopie außerhalb der Reichweite des normalen Betriebs – offline oder unveränderbar. Mehr dazu in den Artikeln über externe Festplatten und die 3-2-1-Regel und Ransomware im Unternehmen: die ersten 24 Stunden.

Verantwortliche Personen und Reihenfolge der Wiederherstellung

§ 6 písm. a) a b) vyhlášky č. 410/2025 Sb. verlangt, die Priorität technischer Assets sowie Reihenfolge und Verfahren ihrer Wiederherstellung festzulegen und konkrete verantwortliche Personen zu bestimmen. Diese Anforderung lässt sich ohne Investitionen erfüllen – und dennoch fehlt das entsprechende Dokument in kleinen Unternehmen fast immer. Es beantwortet drei Fragen:

1. Was wird zuerst gestartet? Nicht alphabetisch, sondern nach Abhängigkeiten. Domänencontroller und DNS müssen üblicherweise vor den Anwendungen laufen; ein ERP-System zu starten, bevor die Datenbank verfügbar ist, ergibt keinen Sinn.
2. Wie wird es wiederhergestellt? Das Verfahren sollte beschreiben, woher das Backup stammt, womit die Wiederherstellung erfolgt und woran erkennbar ist, dass das System wieder funktioniert – eine Seite pro Asset genügt.
3. Wer ist namentlich dafür verantwortlich? Weder „die IT-Abteilung“ noch „der Dienstleister“ ist eine konkrete Person. Zu jeder Rolle gehört außerdem eine Vertretung, denn Sicherheitsvorfälle nehmen keine Rücksicht auf Urlaub.

Bei einem Vorfall ist dieses Dokument häufig das Einzige, was noch funktioniert, weil das Intranet nicht erreichbar ist. Deshalb sollte es auch ausgedruckt vorliegen. Wie eine erst während des Vorfalls geplante Wiederherstellung aussieht, zeigt der Artikel Datenrettung von einem Server.

Netzwerksegmentierung und Trennung der Backups bei nur einem NAS

§ 11 písm. a) vyhlášky č. 410/2025 Sb. verlangt die Segmentierung des Kommunikationsnetzes einschließlich der Trennung von Betriebs- und Backup-Umgebung. Im gesamten niedrigeren Pflichtenmodus ist dies häufig der größte Eingriff in die Infrastruktur – und der Grund für die Frage: „Müssen wir jetzt ein zweites NAS kaufen?“ Die Verordnung schreibt jedoch weder eine bestimmte Technologie noch eine Anzahl von Geräten vor. Sie verlangt ein Ergebnis: Betriebs- und Backup-Umgebung dürfen nicht identisch sein. In einem Unternehmen mit einem Server und einem NAS gibt es dafür vier kombinierbare Ansätze:

• Trennung auf Netzwerkebene. Das Backup-Gerät erhält ein eigenes VLAN; Zugriffe sind nur aus festgelegten Quellen und nur über die für das Backup erforderlichen Ports erlaubt.
• Trennung über Identitäten. Das Backup-Konto ist kein Domänenadministratorkonto. Eine kompromittierte Arbeitsstation oder Domäne ermöglicht dann nicht automatisch den Zugriff auf die Backups.
• Trennung nach Übertragungsrichtung. Ein Modell, bei dem der Backup-Server die Sicherungen selbst abruft (Pull), ist widerstandsfähiger als eines, bei dem die zu sichernde Maschine sie mit gespeicherten Zugangsdaten auf das Ziel überträgt.
• Zeitliche Trennung. Eine physisch getrennte oder für einen festgelegten Zeitraum unveränderbare Kopie ist auch ohne zusätzliches Netzwerk getrennt.

Wenn Sie ein flaches Netzwerk betreiben, in dem Bürogeräte, Gäste-WLAN und das Backup-NAS im selben Segment liegen, ist die Segmentierung ein Projekt und keine Aufgabe für einen Nachmittag. Die Jahresfrist nach § 13 odst. 4 ist realistisch, aber keineswegs großzügig.

Was Vyhláška 410/2025 Sb. dagegen nicht verlangt

Ein weitverbreiteter Irrtum aus Sekundärquellen und kommerziellen Angeboten lautet, dass Unternehmen im niedrigeren Modus die Wiederherstellung ihrer Backups in einer vorgeschriebenen Häufigkeit testen müssen. Aus dem Wortlaut der Vorschriften ergibt sich Folgendes:

• Vyhláška č. 410/2025 Sb. (niedrigerer Pflichtenmodus) verlangt in § 6 písm. c) die regelmäßige Erstellung von Backups. Eine ausdrückliche Pflicht, die Wiederherstellbarkeit zu testen und die Ergebnisse zu dokumentieren, enthält diese Bestimmung nicht.
• Vyhláška č. 409/2025 Sb. (höherer Pflichtenmodus) verlangt in § 26 odst. 3 písm. a) a b) die regelmäßige Prüfung der Integrität, Verfügbarkeit und Wiederherstellbarkeit von Backups sowie die Dokumentation der Ergebnisse; § 26 odst. 5 verlangt außerdem die Trennung der Backup-Umgebung.
• Auch im höheren Pflichtenmodus nennen die angeführten Bestimmungen keine konkrete Häufigkeit der Tests. Aussagen wie „Sie müssen die Wiederherstellung monatlich testen“ lassen sich daraus daher nicht ableiten.

Daraus folgen zwei Empfehlungen. Kaufen Sie keine Dienstleistung allein deshalb, weil sie Ihnen als gesetzliche Pflicht des niedrigeren Modus verkauft wird. Prüfen Sie im Wortlaut der für Sie geltenden Verordnung, ob die betreffende Anforderung tatsächlich enthalten ist. Testen Sie die Wiederherstellung trotzdem – nicht weil Vyhláška č. 410/2025 Sb. dies vorschreibt, sondern weil ein ungeprüftes Backup lediglich eine Annahme ist. Legen Sie ein eigenes sinnvolles Intervall fest, dokumentieren Sie Datum und Ergebnis jedes Tests und halten Sie sich daran.

Dieselbe Vorsicht ist bei Sanktionen angebracht: Zákon č. 264/2025 Sb. regelt auch Ordnungswidrigkeiten. Die Höhe möglicher Bußgelder sollten Sie jedoch im aktuell gültigen Gesetzestext und nicht in einer weitergeleiteten Zusammenfassung prüfen.

Die oben erläuterten Bestimmungen bilden außerdem nicht die gesamte Verordnung ab. Ausgewählt wurden diejenigen, die die Infrastruktur am stärksten betreffen. Vyhláška č. 410/2025 Sb. regelt weitere Bereiche, darunter Zugriffsmanagement, die Bewältigung von Sicherheitsvorfällen und Dokumentationspflichten. Diese führen wir hier bewusst nicht mit Paragrafennummern an, da für die konkrete Arbeit der vollständige Wortlaut in e-Sbírka maßgeblich ist.

IT-Dienstleister: Was sich in den Verträgen ändert

Die meisten kleineren regulierten Unternehmen setzen die Maßnahmen nicht selbst um, sondern beauftragen Dienstleister. Nach § 13 odst. 5 zákona č. 264/2025 Sb. muss derjenige, der eine Sicherheitsmaßnahme über einen Dienstleister umsetzt, diesen entsprechend den Anforderungen der jeweiligen Sicherheitsmaßnahme auswählen und die Anforderungen in den Vertrag aufnehmen. Daraus ergeben sich zwei Konsequenzen.

Bei der Auswahl eines Dienstleisters zählen nicht mehr nur Preis und Reaktionszeit. Die Kriterien leiten sich aus den umzusetzenden Maßnahmen ab. Wenn eine Maßnahme eine getrennte Backup-Umgebung verlangt, ist ein Dienstleister, der dies nicht gewährleisten kann, nicht geeignet.

Aus einem Vertrag über „Pauschale und Stundensatz“ wird ein Dokument, in dem klar geregelt ist, wer welche Aufgaben übernimmt: was wie oft gesichert wird, wer die Zugänge verwaltet und wie sie übergeben werden, wie der Dienstleister Ihnen Vorfälle meldet, welche Unterstützung er bei der Wiederherstellung leistet und was bei einer Beendigung der Zusammenarbeit mit Backups und Zugangsdaten geschieht. Wer schon einmal erlebt hat, dass ein IT-Betreuer ohne Übergabe der Passwörter ausgeschieden ist, weiß, warum der letzte Punkt wichtig ist.

Die Verantwortung für die Erfüllung der Pflichten geht dadurch nicht auf den Dienstleister über. Sie verbleibt bei der verpflichteten Person.

So bereiten Sie sich vor, auch wenn Sie noch nicht reguliert sind

Kleinere Unternehmen außerhalb regulierter Branchen werden den Anforderungen häufig indirekt begegnen – über Kunden, die selbst reguliert sind und ihre Lieferanten steuern müssen. Ein Sicherheitsfragebogen im Vergabeverfahren ist oft das erste Anzeichen. Als sinnvolles Minimum eignen sich dieselben Maßnahmen:

1. Ein Verzeichnis Ihrer Assets – Server, NAS-Systeme, Anwendungen, Leitungen und deren Verantwortliche.
2. Backups einschließlich der Konfigurationen, davon eine Kopie außerhalb der Reichweite des normalen Betriebs.
3. Eine dokumentierte Wiederherstellungsreihenfolge und die Namen der verantwortlichen Personen, auch in gedruckter Form.
4. Eine getrennte Backup-Umgebung – mindestens über Identitäten und Netzwerksegmentierung.
5. Wiederherstellungstests in einem selbst gewählten Intervall mit dokumentierten Ergebnissen.
6. Ein Vertrag mit dem IT-Dienstleister, der die Zusammenarbeit bei Vorfällen und die Übergabe von Zugängen regelt.

Nichts davon ist bloßer Papierkram für eine Behörde. Diese Maßnahmen entscheiden darüber, ob ein Unternehmen nach einem Vorfall innerhalb eines Tages oder erst nach drei Wochen wieder arbeitsfähig ist.

ITHOPE unterstützt kleinere Unternehmen in Brünn und Umgebung bei der praktischen Umsetzung dieser Maßnahmen: Wir prüfen die tatsächlich betriebene Infrastruktur, richten Backups einschließlich der Konfigurationen ein, trennen die Backup- von der Betriebsumgebung und dokumentieren Wiederherstellungsreihenfolge sowie Verantwortlichkeiten so, dass sie im Ernstfall nutzbar und bei einer Kontrolle nachweisbar sind. Weitere Informationen finden Sie bei unserem Angebot IT-Verwaltung und Datensicherung sowie im Bereich IT für Unternehmen. Die Auslegung der Vorschriften überlassen wir Juristen; wir kümmern uns um die technische Seite.

Den praktischen Teil der Maßnahmen rund um Backups und Speicher – getrennte Backup-Umgebung, Festplattenwechsel und Überwachung – decken unser NAS-Service und unsere Datensicherung für Unternehmen ab.

Quellen

• Zákon č. 264/2025 Sb., o kybernetické bezpečnosti (e-Sbírka): https://www.e-sbirka.cz/sb/2025/264
• Vyhláška č. 410/2025 Sb. — opatření v režimu nižších povinností: https://www.e-sbirka.cz/sb/2025/410
• Vyhláška č. 409/2025 Sb. — opatření v režimu vyšších povinností: https://www.e-sbirka.cz/sb/2025/409
• NÚKIB — Národní úřad pro kybernetickou a informační bezpečnost: https://nukib.gov.cz/
• Portál NÚKIB (průvodce zákonem, materiály, formuláře): https://portal.nukib.gov.cz/

Wo Sie uns finden

ITHOPE ist eine Firma aus Brno, Tschechien: wir machen Datenrettung von Festplatten, RAID und NAS, PC- und Notebook-Service und IT für Unternehmen, alles im eigenen Labor in der Viniční 3587/216, 615 00 Brno.

Telefon +420 775 556 063 (rund um die Uhr). Das Gerät können Sie persönlich bringen oder per Kurier schicken (Zásilkovna, PPL).