Коротка відповідь: Vyhláška č. 410/2025 Sb. встановлює заходи безпеки для постачальників регульованих послуг у режимі нижчих обов’язків і діє з 1 листопада 2025 року, як і zákon č. 264/2025 Sb., o kybernetické bezpečnosti. Для ІТ із неї випливають конкретні завдання: визначити пріоритет технічних активів, порядок і процедури відновлення, призначити конкретних відповідальних осіб, регулярно створювати резервні копії даних, конфігурацій і налаштувань, а також сегментувати мережу, зокрема відокремити робоче середовище від середовища резервного копіювання. Строки встановлює закон, а не постанова: повідомлення про послугу до Úřadu протягом 60 днів із дня, коли компанія виконала умови (§ 6 odst. 1), і впровадження заходів не пізніше ніж протягом 1 року після отримання рішення про реєстрацію (§ 13 odst. 4). Цей текст є інформаційним оглядом, а не юридичною консультацією.
Типова ситуація: керівник отримав результат самоідентифікації, за яким компанія підпадає під «режим нижчих обов’язків». У параграфах ідеться про «технічні активи» та «сегментацію комунікаційної мережі», тоді як у компанії є один сервер, один NAS і зовнішній ІТ-фахівець, якому телефонують у разі проблем. Тому ця стаття перетворює вибрані положення на конкретні завдання для ІТ. Кого стосується закон, докладно пояснює стаття NIS2 і zákon 264/2025 Sb.: чи стосується це вашої компанії?.
Яке місце посідає Vyhláška 410/2025 Sb.
Zákon č. 264/2025 Sb., o kybernetické bezpečnosti набув чинності 1 листопада 2025 року, а його § 72 скасував попередній zákon č. 181/2014 Sb. Водночас конкретний вигляд заходів він залишає на розсуд виконавчих постанов. Їх дві, і вони відрізняються залежно від режиму:
- Vyhláška č. 410/2025 Sb. — заходи в режимі нижчих обов’язків. Видана 26 вересня 2025 року, чинна з 14 жовтня 2025 року, застосовується з 1 листопада 2025 року. Поширюється на більшість невеликих регульованих суб’єктів.
- Vyhláška č. 409/2025 Sb. — заходи в режимі вищих обов’язків, також застосовується з 1 листопада 2025 року.
Практичний наслідок: у нижчому режимі обов’язковою є 410/2025 Sb.; вимоги з 409/2025 Sb. безпосередньо на вас не поширюються — і це важливо, якщо хтось пропонує вам послуги, сформовані за вимогами вищого режиму.
Два строки, що спливають: 60 днів і один рік
Строки встановлює не постанова, а закон. Їх два, і важливо не плутати один з одним.
Повідомлення (§ 6 odst. 1 zákona č. 264/2025 Sb.). Постачальник послуги, який відповідає умовам реєстрації, повідомляє про неї Úřadu — тобто NÚKIB — не пізніше ніж протягом 60 днів із дня виконання цих умов. Вирішальним є день виконання умов, а не день, коли компанія це помітила: якщо ви почали їм відповідати через перевищення порогового розміру або розширення діяльності, строк відраховується від цієї зміни.
Впровадження заходів (§ 13 odst. 4 zákona). Зобов’язана особа повинна розпочати впровадження та виконання заходів безпеки не пізніше ніж протягом 1 року після отримання рішення про реєстрацію. Отже, строк відраховується не від повідомлення і не від набрання законом чинності, а від отримання рішення — збережіть дату його отримання, адже це вихідна точка всього плану. При цьому рік — не «рік відпочинку»: сегментацію мережі або перебудову резервного копіювання виконують у вихідні та в сервісні вікна, коли робочі системи зупинено, тому на практиці йдеться лише про три-чотири придатні терміни.
Від параграфа до завдання для ІТ
Середня колонка ґрунтується на тексті нормативних актів, остання містить приклад звичайного рішення — він не є частиною постанови.
| Положення | Що це означає на практиці | Приклад завдання |
|---|---|---|
| § 6 odst. 1 zák. 264/2025 Sb. | Постачальник, який відповідає умовам реєстрації, повідомляє про неї Úřadu не пізніше ніж протягом 60 днів із дня виконання умов. | Зафіксувати дату виконання умов, подати повідомлення через портал NÚKIB, зберегти документи про самоідентифікацію. |
| § 13 odst. 4 zák. 264/2025 Sb. | Зобов’язана особа повинна розпочати впровадження та виконання заходів не пізніше ніж протягом 1 року після отримання рішення про реєстрацію. | Від дати отримання рішення запланувати графік із контрольними точками, відповідальними особами та сервісними вікнами. |
| § 13 odst. 5 zák. 264/2025 Sb. | Той, хто забезпечує виконання заходів через постачальника, обирає його відповідно до вимог, що випливають із заходу безпеки, і включає ці вимоги до договорів. | Переглянути договори з постачальниками ІТ-послуг і додати вимоги, що відповідають упроваджуваним заходам. |
| § 6 písm. a) a b) vyhl. 410/2025 Sb. | Зобов’язана особа визначає пріоритет технічних активів, порядок і процедури відновлення та призначає конкретних відповідальних осіб. | Скласти список серверів, NAS, застосунків і каналів зв’язку за пріоритетом; для кожного пункту зазначити процедуру відновлення та ім’я відповідальної особи. |
| § 6 písm. c) vyhl. 410/2025 Sb. | Зобов’язана особа «створює регулярні резервні копії інформації, даних, конфігурацій і налаштувань технічних активів, необхідних насамперед для відновлення регульованої послуги в разі інциденту кібербезпеки». | Розширити резервне копіювання з даних на конфігурації: файрвол, комутатори, гіпервізор, контролер домену, налаштування застосунків. |
| § 11 písm. a) vyhl. 410/2025 Sb. | Зобов’язана особа забезпечує сегментацію комунікаційної мережі, зокрема відокремлення робочого середовища від середовища резервного копіювання. | Виділити VLAN для резервного копіювання й керування, обмежити трафік між сегментами, відмовитися від пласкої мережі. |
Резервні копії: чого вимагає постанова
Формулювання в § 6 písm. c) vyhlášky č. 410/2025 Sb. конкретніше, ніж його зазвичай розуміють. Ідеться не лише про дані, а про «інформацію, дані, конфігурації та налаштування технічних активів», а мету зазначено прямо: відновлення регульованої послуги в разі інциденту кібербезпеки. Із цього випливають три наслідки:
Резервному копіюванню підлягають також конфігурації. У невеликих компаніях зазвичай копіюють спільні папки, бухгалтерські дані та електронну пошту, але ніде не зберігають конфігурацію файрвола, налаштування VLAN на комутаторі чи конфігурацію гіпервізора. Якщо виходить із ладу сервер, дані можна повернути; якщо ж ламається пристрій, який три роки тому налаштовувала інша людина, усе доводиться відтворювати з нуля й по пам’яті. Експорт конфігурації зазвичай є одним файлом, резервне копіювання якого можна автоматизувати.
Критерієм обсягу є «необхідність для відновлення послуги». Постанова не каже «копіюйте все» — вона говорить про активи, необхідні насамперед для відновлення регульованої послуги. Почніть із того, що має працювати, аби послуга залишалася доступною.
«На випадок інциденту» означає резервну копію, до якої не дістанеться зловмисник. Резервна копія на NAS, під’єднаному як мережевий диск під обліковим записом користувача, не переживе атаку програми-вимагача. Мінімумом є копія поза досяжністю звичайного робочого середовища — офлайн або незмінювана. Докладніше про це читайте в матеріалах про зовнішній диск і правило 3-2-1 та програму-вимагача в компанії: перші 24 години.
Відповідальні особи та порядок відновлення
Положення § 6 písm. a) a b) vyhlášky č. 410/2025 Sb. вимагає визначити пріоритет технічних активів, порядок і процедури відновлення та призначити конкретних відповідальних осіб. Це можна виконати без інвестицій — і все ж у невеликих компаніях такий документ майже ніколи не підготовлений. Він має відповідати на три запитання:
- Що запускаємо першим? Не за абеткою, а відповідно до залежностей. Контролер домену та DNS зазвичай мають запускатися раніше за застосунки, а ERP немає сенсу запускати до бази даних.
- Як це відновлюється? Процедура на рівні «звідки береться резервна копія, за допомогою чого виконується відновлення і як перевірити, що все працює» — одна сторінка на кожен актив.
- Хто персонально за це відповідає? «ІТ-відділ» або «постачальник» — це не конкретна особа. Для кожної ролі потрібен заступник, адже інциденти не зважають на відпустки.
Під час інциденту цей документ часто залишається єдиним доступним джерелом інформації, оскільки до інтранету увійти неможливо, — тому він має існувати і в друкованому вигляді. Як виглядає відновлення, яке почали планувати лише під час інциденту, показує матеріал про відновлення даних із сервера.
Сегментація мережі та відокремлення резервних копій, якщо у вас один NAS
Положення § 11 písm. a) vyhlášky č. 410/2025 Sb. вимагає забезпечити сегментацію комунікаційної мережі, зокрема відокремити робоче середовище від середовища резервного копіювання. З усього нижчого режиму це зазвичай найбільше втручання в інфраструктуру — і джерело запитання: «Нам що, купувати другий NAS?» Але постанова не визначає технологію або кількість пристроїв, а вимагає результату: робоче середовище та середовище резервного копіювання не мають бути одним і тим самим. У компанії з одним сервером і NAS цього можна досягти чотирма способами, які поєднуються між собою:
- Мережеве відокремлення. Розмістити пристрій резервного копіювання у власній VLAN, дозволивши доступ лише з визначених джерел і тільки до портів, потрібних для резервного копіювання.
- Відокремлення за обліковими даними. Обліковий запис для резервного копіювання не має бути доменним обліковим записом адміністратора — тоді компрометація робочої станції або домену не надасть доступу до резервних копій.
- Відокремлення за напрямком передавання. Модель, за якої сервер резервного копіювання сам забирає копії (pull), стійкіша за модель, у якій резервовані системи надсилають їх, використовуючи збережені паролі.
- Відокремлення в часі. Фізично від’єднана або незмінювана протягом визначеного часу копія є відокремленою навіть без додаткової мережі.
Якщо у вас пласка мережа, де в одному сегменті перебувають офісні пристрої, гостьовий Wi-Fi і NAS із резервними копіями, сегментація — це проєкт, а не завдання на один день. Строк в один рік за § 13 odst. 4 є реалістичним, але не надто щедрим.
Чого Vyhláška 410/2025 Sb., навпаки, не вимагає
Найпоширеніша помилка, яку повторюють у вторинних тлумаченнях і комерційних пропозиціях: нібито в нижчому режимі потрібно перевіряти відновлення резервних копій із встановленою періодичністю. Згідно з текстом нормативних актів ситуація така:
- Vyhláška č. 410/2025 Sb. (нижчий режим) у § 6 písm. c) вимагає регулярного створення резервних копій. Прямої вимоги перевіряти можливість відновлення та документувати результати в цьому положенні немає.
- Vyhláška č. 409/2025 Sb. (вищий режим) у § 26 odst. 3 písm. a) a b) вимагає регулярно перевіряти цілісність, доступність і відновлюваність резервних копій та документувати результати, а в § 26 odst. 5 — відокремити середовище резервного копіювання.
- Навіть у вищому режимі в наведених положеннях не зазначено конкретної періодичності перевірок. Отже, твердження на кшталт «ви повинні щомісяця перевіряти відновлення» з них не випливає.
Із цього випливають дві рекомендації. Не купуйте послугу лише тому, що хтось продає її вам як законодавчу вимогу нижчого режиму, — перевірте в тексті постанови, яка поширюється саме на вас, чи справді там є така вимога. Водночас усе одно перевіряйте відновлення: не тому, що цього вимагає постанова для нижчого режиму, а тому, що неперевірена резервна копія — це лише припущення. Виберіть власний розумний інтервал, записуйте дату й результат перевірки та дотримуйтеся встановленого графіка.
Так само обережно слід ставитися до санкцій: zákon č. 264/2025 Sb. також регулює правопорушення, але розміри штрафів перевіряйте в актуальній редакції закону, а не в пересланому резюме.
Крім того, розглянуті вище положення — це не весь нормативний акт, а лише ті його частини, які найбільше стосуються інфраструктури. Постанова регулює й інші сфери, наприклад керування доступом, реагування на інциденти або документацію; тут ми навмисно не наводимо номери відповідних параграфів, оскільки працювати з ними слід за повним текстом в e-Sbírce.
Постачальники ІТ-послуг: що змінюється в договорах
Більшість невеликих регульованих компаній забезпечує виконання заходів не самостійно, а через постачальників. Відповідно до § 13 odst. 5 zákona č. 264/2025 Sb. той, хто забезпечує виконання заходів безпеки через постачальника, обирає його відповідно до вимог, що випливають із заходу безпеки, і включає ці вимоги до договорів. Із цього випливають два наслідки.
Вибір постачальника перестає бути лише питанням ціни та швидкості реагування. Критерії визначаються заходами, які ви маєте впровадити: якщо захід вимагає відокремлення середовища резервного копіювання, постачальник, який не здатний це забезпечити, не відповідає вимогам.
Договір перетворюється з документа про «абонплату та погодинну ставку» на документ, у якому зазначено, хто і що робить: що резервується і як часто, хто зберігає облікові дані та як їх передають, як вам повідомляють про інцидент, якою є взаємодія під час відновлення та що станеться з резервними копіями й паролями після завершення співпраці. Той, кому доводилося пережити звільнення ІТ-фахівця без передавання паролів, розуміє, чому останній пункт такий важливий.
Відповідальність за виконання обов’язків при цьому не переходить до постачальника — вона залишається на зобов’язаній особі.
Як підготуватися, навіть якщо ви поки що не є регульованим суб’єктом
Невеликі компанії поза регульованими галузями зіткнуться з цими вимогами опосередковано — через клієнтів, які є регульованими суб’єктами й повинні контролювати своїх постачальників. Першою ознакою зазвичай стає анкета з питань безпеки під час тендера. Практичний мінімум складається з тих самих елементів:
- Перелік того, що ви маєте — сервери, NAS, застосунки, канали зв’язку та їхні власники.
- Резервна копія, включно з конфігураціями, з однією копією поза досяжністю звичайного робочого середовища.
- Записаний порядок відновлення та імена відповідальних осіб, зокрема у друкованому вигляді.
- Відокремлене середовище резервного копіювання — щонайменше за обліковими даними та на рівні мережі.
- Перевірка відновлення з інтервалом, який ви вибрали самостійно, із записом результату.
- Договір із постачальником ІТ-послуг, що описує взаємодію під час інциденту та передавання доступів.
Усе це не бюрократія заради установи — від цього залежить, чи відновить компанія роботу після інциденту за один день, чи за три тижні.
ITHOPE допомагає невеликим компаніям у Брно та околицях практично впровадити ці заходи: перевірити, що саме ви використовуєте, організувати резервне копіювання разом із конфігураціями, відокремити середовище резервного копіювання від робочого та описати порядок відновлення й відповідальність так, щоб ними можна було скористатися під час інциденту та підтвердити їх під час перевірки. Докладніше про послугу адміністрування ІТ та резервне копіювання, інші матеріали — у розділі ІТ для компаній. Тлумачення нормативних актів ми залишаємо юристам, а самі займаємося технічною стороною.
Практичну частину заходів щодо резервних копій і сховищ — відокремлене середовище резервного копіювання, заміну дисків і моніторинг — охоплюють наші послуги обслуговування NAS та резервного копіювання для компаній.
Джерела
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti (e-Sbírka): https://www.e-sbirka.cz/sb/2025/264
- Vyhláška č. 410/2025 Sb. — opatření v režimu nižších povinností: https://www.e-sbirka.cz/sb/2025/410
- Vyhláška č. 409/2025 Sb. — opatření v režimu vyšších povinností: https://www.e-sbirka.cz/sb/2025/409
- NÚKIB — Národní úřad pro kybernetickou a informační bezpečnost: https://nukib.gov.cz/
- Portál NÚKIB (průvodce zákonem, materiály, formuláře): https://portal.nukib.gov.cz/
Де нас знайти
ITHOPE — компанія з Брно, Чехія: ми робимо відновлення даних з дисків, RAID і NAS, сервіс ПК та ноутбуків та IT для бізнесу, усе у власній лабораторії за адресою Viniční 3587/216, 615 00 Brno.
Телефон +420 775 556 063 (цілодобово). Пристрій можна привезти особисто або надіслати курʼєром (Zásilkovna, PPL).