Kapitola 6 — Kybernetická bezpečnost pro obce

Dodavatelé a smlouvy

Bezpečnostní požadavky ve smlouvách s IT dodavateli – jak vybírat, řídit a kontrolovat.

Proč řešit dodavatele

Většina malých obcí závisí na externích IT dodavatelích. Mají přístup k vašim systémům, datům a infrastruktuře – a mohou být vstupním bodem útoku. Zákon č. 264/2025 Sb. a prováděcí vyhláška č. 410/2025 Sb. o bezpečnostních opatřeních v režimu nižších povinností (do něhož obce s rozšířenou působností typicky spadají) vyžadují, aby bezpečnostní požadavky byly promítnuty do smluv s dodavateli. Praktický výklad této vyhlášky vydal NÚKIB v březnu 2026 jako Manuál pro poskytovatele regulovaných služeb v režimu nižších povinností. [5] Kurz NÚKIB „Šéfuj kyber“ věnuje řízení dodavatelů samostatnou sekci – kompromitovaný dodavatel může být vstupní branou do celé sítě obce. [2]

Co musí smlouva obsahovat

Podle § 3 vyhlášky č. 410/2025 Sb. (uzavírání smluv s dodavateli) musí smlouvy s dodavateli obsahovat bezpečnostní požadavky. [6] Nemusíte vytvářet složité právní dokumenty – stačí jednoznačně definovat:

  • Definici bezpečnostních požadavků a standardů, které dodavatel musí splňovat.
  • Povinnost dodavatele hlásit bezpečnostní incidenty bez zbytečného odkladu; smluvní lhůtu nastavte tak, aby obec stihla zákonné hlášení (prvotní hlášení do 24 hodin od zjištění).
  • Pravidla pro vzdálený přístup dodavatele k vašim systémům (logování, MFA neboli vícefaktorové ověření, časová omezení).
  • SLA (dohoda o úrovni služeb, Service Level Agreement) – garantovaná doba reakce a opravy.
  • Právo na audit – možnost kontroly dodržování bezpečnostních požadavků.
  • Postup při ukončení smlouvy – vrácení dat, smazání přístupů, předání dokumentace.

Tento výčet je minimum. Příloha č. 2 vyhlášky č. 410/2025 Sb. požaduje zohlednit relevantní ustanovení – mlčenlivost, audit dodavatele, řetězení dodavatelů, sankce za porušení povinností, pravidla pro nakládání s daty a postup pro ukončení spolupráce. [2] [6]

Správa přístupů dodavatelů

Kurz NÚKIB „Šéfuj kyber“ zdůrazňuje: vzdálený přístup dodavatele musí být smluvně ošetřen včetně technického nastavení – přidělení certifikátů a identit, dvoufaktorové ověření. Organizace povoluje připojení dodavatele pouze po předchozí komunikaci a dodavatel nemá neomezený přístup k síti. Ideálně přistupuje přes vyhrazenou přístupovou stanici (tzv. „jump server“) zajišťující monitorování jeho činností. [3]

Audit a hodnocení dodavatelů

Ptejte se dodavatelů na jejich vlastní bezpečnostní praxi. Nemusíte vyžadovat certifikace od všech – ale měli byste vědět, s kým spolupracujete:

Otázky pro audit dodavatele

  • Mají dokumentovanou bezpečnostní politiku? (ISO 27001 je ideál, ale ne podmínka)
  • Jak školí své zaměstnance v kybernetické bezpečnosti?
  • Jak řeší bezpečnostní incidenty? Mají plán reakce?
  • Jak zálohují data svých klientů? Kde a jak často?
  • Kdo z jejich zaměstnanců má přístup k vašim systémům? Jak je to evidováno?
  • Mají pojištění pro případ kybernetického incidentu?
  • Jak zajišťují bezpečnost při vzdáleném přístupu (např. vyžadují vícefaktorové ověření (MFA))?
  • Jaké jsou jejich reference od jiných veřejných institucí?

Veřejné zakázky na IT služby

Co zahrnout do zadávací dokumentace: požadavek na MFA pro vzdálený přístup, povinnost hlásit incidenty, SLA pro reakci na bezpečnostní události, požadavek na pravidelné záplatování systémů, definici postupu při ukončení spolupráce včetně předání dat a dokumentace.

Hlášení incidentů dodavatelem

Podle kurzu NÚKIB „Šéfuj kyber“ musí být dodavatelům smluvně uložena povinnost hlásit kybernetické bezpečnostní události a incidenty. Způsob hlášení není předepsán – e-mailem, telefonicky, přes kontaktní místo pro hlášení a řešení požadavků – ale musí být součástí bezpečnostní politiky a dodavatel s ním musí být seznámen. [4]

Vzdálený přístup – pravidla a rizika

NÚKIB k § 11 vyhlášky č. 410/2025 Sb. (vzdálená připojení) definuje vzdálený přístup široce – nejde jen o VPN (šifrované vzdálené připojení do sítě), ale o jakýkoliv nelokální přístup, včetně přístupu přes webový prohlížeč k informačnímu systému. NÚKIB požaduje čtyři věci: omezit vzdálený přístup na nezbytně nutnou úroveň; zajistit důvěrnost a integritu přenášených dat; vést evidenci oprávněných uživatelů a zařízení; zvýšeně chránit přístupy vystavené do internetu. [3]

Zdroje

  1. Kybernetická bezpečnost obcí – podpůrný materiál NÚKIB v1.1 (NÚKIB, 2026)
  2. Šéfuj kyber – nižší 26: § 3 (uzavírání smluv s dodavateli) (NÚKIB, 2025)
  3. Šéfuj kyber – nižší 26: § 11 (vzdálená připojení) (NÚKIB, 2025)
  4. Šéfuj kyber – nižší 26: § 10 (řešení incidentů) (NÚKIB, 2025)
  5. Manuál pro poskytovatele regulovaných služeb v režimu nižších povinností (NÚKIB, 2026)
  6. Vyhláška č. 410/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu nižších povinností (NÚKIB, 2025)