⚖️ Legislativa: GDPR, zákon o kybernetické bezpečnosti, NIS2

Dva zákony, dva cíle

O čem to je

Když firmě unikne databáze zákazníků, nejde jen o ostudu. Má zákonné povinnosti: incident ohlásit, často i lidem, kterých se týká, a hrozí jí vysoká pokuta. Jako IT technik budeš tyto povinnosti pomáhat plnit, proto potřebuješ vědět, co po firmě zákony chtějí.

V tomto oboru jsou dvě hlavní skupiny pravidel. GDPR chrání lidi a jejich osobní údaje. NIS2 a český zákon o kybernetické bezpečnosti chrání fungování důležitých služeb a organizací. Údaje v tématu odpovídají stavu v roce 2026.

Nové pojmy

Nařízení a směrnice EUNařízení platí ve všech státech EU přímo, stejně jako zákon. Směrnice stanoví cíl a každý stát ji musí převést (transponovat) do vlastního zákona.GDPR je nařízení. NIS2 je směrnice, v ČR ji provádí zákon o kybernetické bezpečnosti.
Osobní údajJakákoli informace o konkrétním člověku, kterého lze přímo nebo nepřímo určit.Jméno, e-mail jan.novak@…, rodné číslo, IP adresa, fotografie, poloha telefonu.
Správce a zpracovatelSprávce určuje, proč a jak se osobní údaje zpracovávají, a nese za ně odpovědnost. Zpracovatel je zpracovává pro správce podle jeho pokynů.Škola je správce údajů žáků; firma, která jí provozuje elektronickou žákovskou, je zpracovatel.

GDPR: ochrana lidí

GDPR je nařízení EU č. 2016/679 o ochraně osobních údajů, použitelné od 25. května 2018. V ČR ho doplňuje zákon č. 110/2019 Sb., o zpracování osobních údajů. Dozorovým úřadem je Úřad pro ochranu osobních údajů (ÚOOÚ).

  • Zpracovávat jen s právním důvodem (např. souhlas, plnění smlouvy, povinnost ze zákona, oprávněný zájem).
  • Jen tolik údajů, kolik je nutné (minimalizace), a jen pro daný účel.
  • Uchovávat jen po nezbytnou dobu.
  • Údaje zabezpečit vhodnými technickými a organizačními opatřeními.
  • Lidé mají práva: přístup ke svým údajům, oprava, výmaz, námitka a další.
  • Porušení zabezpečení osobních údajů hlásit ÚOOÚ do 72 hodin od zjištění, pokud představuje riziko pro lidi; při vysokém riziku informovat i dotčené osoby.

NIS2 a zákon o kybernetické bezpečnosti: ochrana služeb

NIS2Směrnice EU 2022/2555 o vysoké společné úrovni kybernetické bezpečnosti. Státy ji měly převést do svých zákonů do 17. října 2024. Oproti předchozí úpravě dopadá na mnohem víc organizací: středně velké a velké firmy v řadě odvětví (energetika, doprava, zdravotnictví, digitální služby, výroba…) a veřejnou správu.Středně velký výrobce potravin nebo poskytovatel cloudových služeb.
NÚKIBNárodní úřad pro kybernetickou a informační bezpečnost. V ČR dozoruje kybernetickou bezpečnost podle zákona o kybernetické bezpečnosti, vydává doporučení a varování a přijímá hlášení incidentů.Organizace v režimu zákona hlásí významný incident NÚKIB.

V ČR NIS2 provádí nový zákon o kybernetické bezpečnosti, účinný od podzimu 2025, který nahradil původní zákon č. 181/2014 Sb. Rozlišuje organizace s vyššími a nižšími povinnostmi. Povinné osoby musí zavést řízení rizik a bezpečnostní opatření, hlásit významné incidenty a odpovědnost nese i jejich vedení.

GDPRNIS2 / zákon o kybernetické bezpečnosti
co chráníosobní údaje lidífungování služeb a systémů organizací
koho se týkákaždého, kdo zpracovává osobní údajevybrané organizace podle odvětví a velikosti, veřejnou správu
dozor v ČRÚOOÚNÚKIB
hlášeníporušení zabezpečení os. údajů do 72 hvýznamný incident (podle NIS2 první varování do 24 h)
E-shopu s 30 zaměstnanci unikne databáze zákazníků s e-maily a hashovanými hesly. Který předpis určitě řeší a co musí udělat?
Jde o porušení zabezpečení osobních údajů podle GDPR. E-shop (správce) musí incident zdokumentovat, posoudit riziko a pokud hrozí riziko pro zákazníky, do 72 hodin ohlásit ÚOOÚ. Při vysokém riziku informuje i zákazníky (např. ať si změní hesla). Zda se ho týká i zákon o kybernetické bezpečnosti, záleží na odvětví a velikosti.
Je IP adresa osobní údaj?
Může být. Když ji jde spojit s konkrétním člověkem (např. poskytovatel internetu ví, komu ji přidělil, nebo ji web spojí s účtem), jde o osobní údaj. Proto se s logy obsahujícími IP adresy zachází podle GDPR.

Roztřiď, ke kterému předpisu věc patří.

✗GDPR se týká jen velkých firem a internetových gigantů.
✓GDPR se týká každého, kdo zpracovává osobní údaje v rámci své činnosti: malé firmy, školy, spolku i živnostníka.

Velikost ovlivňuje jen některé povinnosti. Ochrana osobních údajů platí pro všechny.

GDPR (nařízení EU 2016/679, od 2018, dozor ÚOOÚ) chrání osobní údaje: právní důvod, minimalizace, zabezpečení, práva lidí, hlášení porušení do 72 h. NIS2 (směrnice 2022/2555) provádí v ČR zákon o kybernetické bezpečnosti (od 2025, dozor NÚKIB): řízení rizik, opatření, hlášení incidentů, odpovědnost vedení.

Případy z praxe

O čem to je

Zákony se nejlépe pochopí na konkrétních situacích. Projdeme několik případů, se kterými se IT technik ve firmě nebo ve škole potká, a u každého určíme, co z předpisů plyne. Stav odpovídá roku 2026.

Nové pojmy

GDPRNařízení EU 2016/679 o ochraně osobních údajů, používané od 25. 5. 2018. Platí přímo v celé EU. V ČR dozoruje Úřad pro ochranu osobních údajů (ÚOOÚ).Pravidla pro to, jak škola smí nakládat s fotkami žáků.
Osobní údaj a subjekt údajůOsobní údaj je informace o určitelném člověku. Subjekt údajů je ten člověk.Žák (subjekt) a jeho jméno, známky, fotografie (osobní údaje).
Porušení zabezpečení osobních údajůBezpečnostní incident, při kterém jsou osobní údaje zničeny, ztraceny, změněny nebo zpřístupněny někomu nepovolanému.Ztracený nešifrovaný notebook s daty zákazníků.
Kybernetický incident a NIS2Incident = narušení bezpečnosti informací nebo služeb. NIS2 je směrnice EU 2022/2555; v ČR ji provádí zákon o kybernetické bezpečnosti, nad nímž dohlíží NÚKIB.Ransomware vyřadí nemocniční systém.

Postup při úniku osobních údajů (GDPR)

Zastavit únik a zajistit stopy.
Zjistit, jaké údaje a kolika lidí se to týká.
Posoudit riziko pro dotčené lidi.
Pokud je riziko: ohlásit ÚOOÚ do 72 hodin od zjištění.
Pokud je riziko vysoké: bez zbytečného odkladu informovat dotčené osoby.
Vše zdokumentovat (i porušení, která se nehlásí).
Učitel nechá ve vlaku nešifrovaný USB disk se jmény, adresami a zdravotními informacemi žáků. Co se má stát?
Je to porušení zabezpečení osobních údajů, navíc zdravotní údaje patří mezi zvlášť citlivé. Škola (správce) posoudí riziko – zde vysoké – a do 72 hodin ohlásí ÚOOÚ a informuje rodiče, resp. dotčené žáky. Poučení: citlivá data jen na šifrovaných médiích nebo ve školním systému, ne na USB.
Ředitel chce kvůli „bezpečnosti“ ukládat záznamy z kamer na chodbách navždy. Je to v pořádku?
Není. Podle GDPR se údaje uchovávají jen po nezbytně dlouhou dobu pro daný účel (zásada omezení uložení) a jen v nutném rozsahu (minimalizace). Škola musí dobu uchování určit a zdůvodnit a pak záznamy mazat.

NIS2 v praxi

  • Týká se vybraných organizací podle odvětví a velikosti (typicky středně velké a velké) a veřejné správy; zda se na organizaci vztahuje, je třeba ověřit podle zákona.
  • Povinnosti: řízení rizik, bezpečnostní opatření (např. MFA, zálohy, řízení přístupu, bezpečnost dodavatelů), školení, hlášení incidentů.
  • Směrnice NIS2 stanoví hlášení významného incidentu ve stupních: první varování do 24 hodin, oznámení do 72 hodin, závěrečná zpráva do jednoho měsíce.
  • Za plnění odpovídá i vedení organizace, nejen IT oddělení.
  • Za porušení hrozí pokuty; NIS2 stanoví horní hranice až 10 mil. EUR nebo 2 % celosvětového obratu u nejvýznamnějších subjektů.
  • Lhůta pro ohlášení porušení zabezpečení os. údajů ÚOOÚ – 72 hodin od zjištění (pokud je riziko pro lidi)
  • Nejvyšší pokuta podle GDPR – až 20 mil. EUR nebo 4 % celosvětového ročního obratu, podle toho, co je vyšší
  • Kdo v ČR dozoruje kybernetickou bezpečnost podle NIS2? – NÚKIB
  • Je NIS2 nařízení, nebo směrnice? – Směrnice – státy ji převádějí do svých zákonů.

Zkus odpovědět zpaměti, pak kartu otoč.

Středně velký dodavatel pitné vody je zasažen ransomwarem a dodávky jsou ohrožené. Co plyne z NIS2?
Vodárenství patří mezi odvětví, na která NIS2 míří. Organizace v režimu zákona musí významný incident hlásit (podle NIS2 první varování do 24 hodin) a řešit ho podle svých bezpečnostních opatření. Pokud unikly i osobní údaje zákazníků, platí navíc povinnosti podle GDPR vůči ÚOOÚ.
✗Když firma řeší incident podle zákona o kybernetické bezpečnosti, GDPR už neřeší.
✓Předpisy platí souběžně. Jeden incident může vyžadovat hlášení NÚKIB i ÚOOÚ.

Každý předpis chrání něco jiného: zákon o kybernetické bezpečnosti fungování služeb, GDPR práva lidí.

GDPR: osobní údaje jen s právním důvodem, minimálně a po nezbytnou dobu, zabezpečené; porušení hlásit ÚOOÚ do 72 h. NIS2 a zákon o kybernetické bezpečnosti: vybrané organizace řídí rizika, zavádějí opatření a hlásí incidenty NÚKIB; odpovídá i vedení. Oba předpisy platí souběžně.
🚨Zálohy a reakce na incident