Kybernetická bezpečnost ERP a nový zákon č. 264/2025 Sb. (NIS2): koho se týká a co požadovat od dodavatele

ERP je pro firmu kritický systém: výpadek nebo zašifrování dat útočníkem zastaví fakturaci, expedici i mzdy. Od 1. 11. 2025 platí nový zákon o kybernetické bezpečnosti č. 264/2025 Sb., který promítá evropskou směrnici NIS2 a výrazně rozšiřuje okruh regulovaných subjektů – zejména o střední a velké firmy ve vybraných odvětvích (např. energetika, doprava, zdravotnictví, výroba vybraných produktů, digitální služby). Regulované firmy se musí registrovat u NÚKIB a zavést bezpečnostní opatření včetně řízení bezpečnosti dodavatelů – tedy i dodavatele ERP. Pro malou firmu, která regulovaná není, je zákon hlavně vodítkem; požadavky ale může dostat od svého regulovaného odběratele. Termíny a rozsah povinností ověřujte u NÚKIB, prováděcí předpisy se ještě upřesňovaly.

Článek patří k přehledu rizika ERP projektu.

Týká se zákon vaší firmy?

Otázka	Kde ověřit
Působíte v odvětví uvedeném v zákoně nebo prováděcí vyhlášce o regulovaných službách?	NÚKIB, portál NÚKIB
Jste podle velikosti střední nebo velký podnik (zaměstnanci, obrat, bilanční suma)?	kritéria v zákoně a doporučení EU k definici MSP
Jste dodavatelem regulované firmy?	smlouva s odběratelem, bezpečnostní požadavky
Poskytujete digitální služby (cloud, datová centra, správa IT)?	zvláštní kritéria, často bez ohledu na velikost

Podle § 6 odst. 1 zákona musí poskytovatel regulované služby oznámit službu NÚKIB (elektronicky přes Portál NÚKIB) nejpozději do 60 dnů ode dne, kdy začal splňovat podmínky; u firem, které je splňovaly už k 1. 11. 2025, běžela lhůta od účinnosti zákona. Které služby jsou regulované, stanoví vyhláška NÚKIB č. 408/2025 Sb. o regulovaných službách (účinná také od 1. 11. 2025). Bezpečnostní opatření a hlášení incidentů je pak třeba zavést nejpozději do 1 roku od doručení rozhodnutí o registraci (§ 13 odst. 4 a § 15 odst. 4). Pokud jste oznámení nevyřešili a zákon se vás týká, kontaktujte NÚKIB; podrobnosti opatření ověřujte v prováděcích vyhláškách na e-Sbírce.

Bezpečnost dodavatelského řetězce a ERP

Regulovaná firma musí řídit rizika spojená s dodavateli, kteří mají vliv na bezpečnost jejích systémů. U ERP to typicky znamená:

smluvní bezpečnostní požadavky (přístupy, šifrování, logování, hlášení incidentů),
právo na audit nebo doložení certifikace,
informace o subdodavatelích a místě zpracování,
plán kontinuity – obnova dat a náhradní postup při výpadku,
ukončení – předání dat a výmaz.

Řada těchto bodů se kryje se smlouvou o zpracování podle GDPR, viz GDPR a smlouva o zpracování.

Praktická opatření pro každou firmu

Bez ohledu na regulaci se vyplatí:

Opatření	Proč	Náklad
Vícefaktorové ověření (MFA) pro všechny uživatele	nejčastější vstup útočníka je ukradené heslo	nízký
Role a minimální oprávnění	omezí škody při zneužití účtu	nízký
Okamžité zrušení přístupu při odchodu zaměstnance	bývalí zaměstnanci, sdílené účty	nízký
Zálohy mimo hlavní prostředí + test obnovy	ransomware, chyba	střední
Logování přístupů a změn	dohledání incidentu	nízký až střední
Aktualizace (u on-premise i OS a databáze)	známé zranitelnosti	střední
Postup při incidentu (kdo, komu, kdy)	rychlá reakce	nízký

Modelový příklad: kolik stojí výpadek ERP

Ilustrativní firma fakturuje průměrně 1 000 000 Kč za pracovní den. Výpadek ERP na 3 pracovní dny:

zpoždění fakturace 3 000 000 Kč (cash-flow, ne ztráta),
práce navíc: 10 lidí × 3 dny × 8 h × 350 Kč = 84 000 Kč,
obnova a konzultant: modelově 60 000 Kč,
ztracené zakázky: neodhadnutelné, ale reálné.

Přímé náklady 144 000 Kč převyšují roční cenu většiny základních opatření z tabulky. Čísla jsou ilustrativní.

Cloud vs. on-premise z pohledu bezpečnosti

U cloudu přenášíte část bezpečnosti na dodavatele (infrastruktura, aktualizace, fyzická ochrana), ale odpovědnost za přístupy a data zůstává na vás. U on-premise odpovídáte za vše. Srovnání nákladů najdete v článku cloud vs. on-premise, smluvní SLA v článku smlouva na ERP. Ochranu archivních dat řeší archivace dat v ERP.

Otázky pro dodavatele ERP z pohledu bezpečnosti

Ať už jste regulovaný subjekt, nebo ne, tyto otázky by měl dodavatel zodpovědět písemně:

Jak je zajištěno vícefaktorové ověření a lze ho vynutit pro všechny uživatele?
Jak často se data zálohují, kde jsou zálohy uložené a jak dlouho trvá obnova?
Kdo z dodavatele má přístup k vašim datům, jak se přístup schvaluje a loguje?
Jak a v jaké lhůtě vás dodavatel informuje o bezpečnostním incidentu?
Jaké subdodavatele používá (datová centra, podpora) a v jakých zemích?
Jak rychle nasazuje bezpečnostní opravy a jak o nich informuje?
Má certifikaci nebo nezávislý audit bezpečnosti a může doložit jeho rozsah?

Zálohy, které opravdu pomohou

Záloha chrání jen tehdy, když ji útočník nemůže zašifrovat spolu s ostrými daty a když ji umíte obnovit. Běžně doporučovaný přístup je mít více kopií na různých místech, alespoň jednu oddělenou od hlavního prostředí (offline nebo neměnná) a pravidelně zkoušet obnovu na testovacím prostředí. U cloudového ERP se ptejte, zda si můžete pravidelně stahovat vlastní export dat; pro malou firmu je to levná pojistka pro případ výpadku nebo sporu s dodavatelem.

Uživatelé a sdílené účty

V malých firmách se často sdílí jeden účet pro sklad nebo pro směnu. Je to levnější z pohledu licencí, ale znemožňuje dohledat, kdo co v systému udělal, a po odchodu zaměstnance se heslo zpravidla nemění. Pokud vás cena licencí tlačí ke sdílení, zvažte levnější omezené nebo terminálové přístupy, které mnoho systémů nabízí. Každá osoba by měla mít vlastní přístup s vícefaktorovým ověřením.

Časté otázky

Musí malá firma s 10 zaměstnanci něco dělat podle nového zákona?

Pokud není regulovaná (typicky kvůli velikosti a odvětví), zákon jí přímé povinnosti neukládá. Výjimkou mohou být některé digitální služby. Požadavky ale mohou přijít od odběratele, který regulovaný je.

Je dodavatel ERP sám regulovaným subjektem?

Může být, pokud poskytuje regulovanou službu (např. cloud) a splňuje kritéria. To ověří sám u NÚKIB; vy se ho můžete zeptat, jak své povinnosti plní.

Co dělat při útoku na ERP?

Odpojit napadené systémy, informovat dodavatele, zajistit zálohy, nevyjednávat bez odborníků. Regulované firmy mají ohlašovací povinnost vůči NÚKIB, a pokud jde o osobní údaje, správce ohlašuje porušení ÚOOÚ do 72 hodin.

Zdroje

NÚKIB – zákon č. 264/2025 Sb., registrace, prováděcí předpisy, doporučení
e-Sbírka – oficiální znění zákona a vyhlášek
Úřad pro ochranu osobních údajů – ohlašování porušení zabezpečení osobních údajů
Zákony pro lidi – konsolidované znění předpisů