Když se to stane

Krizový plán pro kybernetický incident

Tento plán vychází ze zákona č. 264/2025 Sb., zejména z § 15 a § 16 o hlášení a zvládání incidentů, a z podpůrných materiálů NÚKIB pro obce. ^[1][9] Klíčové je mít plán připravený PŘEDEM – v době incidentu na studium příruček není čas.

Jak to vypadá v praxi: když se koncem července 2026 někdo neoprávněně dostal do vnitřní sítě šumperského úřadu, radnice incident nahlásila NÚKIB, podala trestní oznámení a den fungovala v omezeném režimu – část agend na papíře a platby jen v hotovosti. ^[4] Druhý den se vrátila k běžnému provozu, možný únik dat se prověřoval dál. ^[5] Tři věci se tedy dějí souběžně: hlásíte, řešíte techniku a zároveň musíte udržet úřad v chodu bez počítačů.

Fáze 1: Detekce a eskalace (0–1 hodina)

Zaměstnanec, který zjistí podezřelé chování (nefungující systém, výkupní obrazovka, podezřelé e-maily), okamžitě informuje osobu pověřenou kybernetickou bezpečností. Ta posoudí závažnost a rozhodne o dalších krocích. Důležité: nepanikařit, ale jednat rychle.

Fáze 2: Analýza a hlášení (1–24 hodin)

1. Ověřte, že izolace z fáze 1 skutečně zastavila šíření – včetně zařízení, která se do sítě připojují automaticky (notebooky, Wi-Fi, zálohovací server).
2. Zjistěte rozsah – které systémy jsou zasaženy, jaká data mohla být kompromitována.
3. Kontaktujte IT dodavatele pro odbornou pomoc.
4. Nahlaste incident přes Portál NÚKIB (portal.nukib.gov.cz). To je primární oficiální kanál hlášení; při jeho nedostupnosti se podle § 16 odst. 4 zákona použije náhradní kanál – v režimu nižších povinností e-mail abuse@csirt.cz nebo datová schránka h4axdn8 Národního CERT (CSIRT.CZ; CERT/CSIRT je tým pro reakci na kybernetické bezpečnostní incidenty). Telefonický kontakt na GovCERT.CZ (+420 541 110 555 v pracovní době, +420 725 502 878 mimo pracovní dobu) využijte pro urgentní součinnost, samotné hlášení jím nenahradíte. Povinnost hlásit má poskytovatel regulované služby u incidentu s významným dopadem na regulovanou službu (§ 15 odst. 2 zákona; kdy povinnost nabíhá, viz níže), ostatní obce mohou hlásit dobrovolně. ^[2]
5. U ransomwaru: NEPLAŤTE výkupné – zaplacení nedává žádnou záruku, že data skutečně dostanete zpět a že je útočník nezveřejní nebo neprodá dál, a financuje další útoky. Podejte trestní oznámení Policii ČR – na kterémkoli oddělení, e-podatelnou, datovou schránkou nebo ústně do protokolu (postup policie.gov.cz/podat-oznameni). Pro hlášení phishingu, podvodných stránek a závadného obsahu lze využít stoponline.cz (provozuje CZ.NIC za účasti CSIRT.CZ, spolupracuje s Policií ČR). Tísňové linky 158/112 jsou určené pro bezprostřední ohrožení osob či majetku, ne pro hlášení tohoto typu incidentu.
6. Dokumentujte vše – screenshoty, logy, časy, kroky, které jste podnikli.

Fáze 3: Zahájení obnovy (od 24 hodin dál)

V tomto okně obnovu zahajujete, ne dokončujete – plný návrat k běžnému provozu trvá po ransomwaru obvykle dny, někdy týdny. Pořadí obnovy má určovat váš plán pro případ výpadku (§ 6 vyhlášky č. 410/2025 Sb., viz kapitolu 2); pokud ho zatím nemáte, obvyklé pořadí je: (1) e-mail a komunikace, (2) spisová služba, podatelna a matrika, (3) účetnictví a platby, (4) ostatní systémy. Obnovujte z offline/izolovaných záloh. Než systémy vrátíte do provozu, ověřte, že zálohy nejsou infikované, a vynuťte změnu hesel u všech účtů, zejména administrátorských a servisních.

Zálohy řeší jen půlku problému. Ransomware dnes obvykle vydírá dvakrát: data zašifruje, ale ještě předtím si je zkopíruje. I když se tedy kompletně obnovíte z offline zálohy a o nic nepřijdete, útočník pořád drží kopii a hrozí jejím zveřejněním – přesně to je případ pražské Správy služeb, odkud odešlo 200 GB dat. ^[7] Po každém takovém útoku proto musíte odpovědět na dvě různé otázky: „jak rychle se vrátíme do provozu“ (na to jsou zálohy a plán obnovy) a „co všechno mohlo odejít ven“ (na to jsou logy, ohlášení ÚOOÚ a informování dotčených lidí). Placení za nezveřejnění dat je přitom ještě horší sázka než placení za dešifrovací klíč – že útočník kopii opravdu smazal, si nemáte jak ověřit.

Jak úřad funguje, když počítače nejedou

Počítejte s tím, že úřad bude několik dní fungovat na papíře. Dva české případy z roku 2026 ukazují rozpětí: v Náměšti nad Oslavou zvládali úředníci po březnovém ransomwarovém útoku jen zlomek běžné agendy a s návratem k normálu počítali až během dalšího týdne. ^[3] „Vracíme se k psacímu stroji,“ popsal to starosta. ^[8] V Šumperku, kde se o šifrování dat ani výkupném nepsalo, stačil den. Kolik dní výpadek potrvá, ovlivní typ útoku – a hlavně připravenost: ověřené zálohy, sepsaný postup a předem promyšlený náhradní provoz.

• Co obvykle jede dál: agendy postavené na centrálních systémech státu – občanské průkazy a cestovní pasy. V Náměšti nad Oslavou to byly ve dnech výpadku jediné věci, které si lidé mohli na úřadě vyřídit – pracuje se u nich s jinými systémy než se sítí úřadu. ^[3] Matrika a další agendy běžící na systémech úřadu vypadnout mohou – ověřte si hned první den, co skutečně funguje, ať víte, co můžete lidem slíbit.
• Co jde vyřídit na papíře: podatelna – podání přijímejte ručně a pečlivě zapisujte datum a čas doručení, protože lhůty běží dál; pokladna v hotovosti proti ručně vypsanému dokladu; ověřování podpisů a listin, pokud běží ověřovací systém a máte po ruce ověřovací knihu a razítka.
• Co se musí odložit: všechno, co jde přes zasažené systémy – platby a výplaty přes napadené účetnictví, hromadné rozesílky, výstupy ze systémů na zasažené síti. Sepište to na jeden list, vyvěste na dveře úřadu i na náhradní informační kanál, ať lidé nechodí zbytečně.
• Náhradní spojení pro veřejnost: telefonní číslo a e-mailová adresa nezávislé na zasažené infrastruktuře, zveřejněné hned první den. Počítejte s tím, že odpovídat lidem po telefonu, jak mají postupovat, se na několik dní stane hlavní prací části úředníků – v Náměšti to tak bylo. ^[3]
• Jak informovat občany: místní rozhlas, fyzická úřední deska, vývěsky a leták na dveřích úřadu, regionální tisk, obecní web a profil na sociální síti. Informujte i ve chvíli, kdy ještě nevíte, co se přesně stalo – stačí říct, co nefunguje, co jde vyřídit a kdy dáte další zprávu.

Druhá vlna: podvodníci, kteří se ozvou po incidentu

Jakmile se o útoku píše v médiích, přichází druhá vlna – tentokrát mířená na lidi. Ozývají se falešní „vyjednavači“, „specialisté na obnovu dat“ nebo údajní zástupci úřadů a policie. Za poplatek slibují vrátit data či ukradené peníze. Oslovují telefonem, e-mailem i přes sociální sítě; důvěryhodnost si dodávají podvrženými kopiemi oficiálních webů a deepfake videem se známou tváří. Americká FBI přesně před tímto varovala v červenci 2026 – podvodníci se vydávali přímo za její centrum pro hlášení internetové kriminality, které samo nikdy nežádá platbu za vrácení peněz. ^[6] Pravidlo pro úřad i pro občany je jednoduché: úřady ani policie takto samy neoslovují a nikdy nechtějí platbu předem. Každý takový kontakt si ověřte zpětně na oficiálním čísle nebo adrese, kterou si sami vyhledáte – nikdy ne na kontaktu, který vám dal volající.

GDPR: Ohlášení úniku dat

Komunikace během incidentu

• Interní – stručně informujte zaměstnance, co se děje a co mají/nemají dělat.
• Nadřízené orgány – informujte krajský úřad a případně Ministerstvo vnitra dříve, než se zpráva dostane do médií.
• Občané – řekněte konkrétně, které agendy nefungují, co jde vyřídit na papíře a v hotovosti, na jaké telefonní číslo a e-mail se mají obrátit a kdy čekáte obnovení provozu. Termín raději opatrný, ale pravidelně aktualizovaný – lidé unesou „nejdřív v pondělí“, hůř unesou ticho.
• Média – připravte stručné prohlášení. Nespekulujte o útočnících ani o škodách, dokud nemáte ověřené informace.
• Náhradní kanál – telefonní čísla, e-mailové adresy nezávislé na systémech úřadu a skupinu v šifrované aplikaci si domluvte a otestujte předem; během incidentu už nemusí být kam se přihlásit.
• Napadený web nebo profil obce – dokud nejsou ověřeně vyčištěné, k informování občanů je nepoužívejte a informujte jinými kanály (místní rozhlas, fyzická úřední deska, regionální tisk).

Kontakty pro případ incidentu

Aktuální přehled kontaktů a kanálů pro hlášení incidentů zveřejňuje NÚKIB na svém webu v sekci Hlášení incidentů. ^[2]

Hlášení incidentu NÚKIB – postup

Postup hlášení upravují § 15 a § 16 zákona 264/2025 Sb. V režimu nižších povinností se hlásí kybernetické bezpečnostní incidenty s významným dopadem na poskytování regulované služby (§ 15 odst. 2). Prvotní hlášení se podává bez zbytečného odkladu, nejpozději do 24 hodin od zjištění incidentu; do 72 hodin od zjištění následuje podrobné oznámení (prvotní posouzení incidentu, jeho dopad a stopy útoku – indikátory kompromitace) a poté závěrečná zpráva nejpozději do 30 dnů ode dne předložení tohoto oznámení. Pokud incident v této lhůtě stále trvá, předložíte bez zbytečného odkladu průběžnou zprávu a závěrečnou zprávu pak nejpozději do 30 dnů ode dne vyřešení incidentu (§ 16 odst. 3 písm. c) zákona). ^[1] Hlášení podává poskytovatel regulované služby – v praxi pověřený zaměstnanec úřadu – přes Portál NÚKIB (portal.nukib.gov.cz). V režimu nižších povinností, do něhož obce s rozšířenou působností řadí příloha vyhlášky č. 408/2025 Sb., je adresátem hlášení Národní CERT (CSIRT.CZ); podává se ale standardně přes Portál NÚKIB, takže se pro vás postup nemění. NÚKIB doporučuje mít postup pro posouzení a řešení incidentu připravený předem, ne až ve chvíli, kdy ho máte hlásit. ^[9]

Samotným podáním vás od srpna 2026 provedou krokové návody na Portálu NÚKIB – zvlášť pro režim nižších a zvlášť pro režim vyšších povinností. Ukazují, jaký typ hlášení kdy zvolit, co si k formuláři připravit a jaké lhůty hlídat. ^[14] Jeden praktický detail si zjistěte předem: formulář může odeslat jen statutární orgán nebo jím pověřený zástupce, přihlášený Identitou občana. Až incident nastane, není čas řešit, kdo z úřadu na to má oprávnění.

Kdy se hlášení stává povinným: hlásit incidenty musí poskytovatel v režimu nižších povinností začít do 1 roku od doručení rozhodnutí o registraci (§ 15 odst. 4 zákona) – stejná lhůta jako u bezpečnostních opatření podle § 13 odst. 4 (viz tabulku termínů v kapitole 2). ^[1] Do té doby lze incident hlásit dobrovolně (§ 15 odst. 5 zákona); při nejistotě, zda o incident jde, NÚKIB radí raději nahlásit. ^[10] Po uplynutí roku už jde o zákonnou povinnost s odpovídající sankcí.

Kdy má incident „významný dopad“

Co je „významný dopad“, není na libovůli úřadu. V režimu nižších povinností si ho vyhodnocuje sám poskytovatel regulované služby – ve vyšším režimu to za něj dělá NÚKIB – a § 14 vyhlášky č. 410/2025 Sb. mu k tomu vymezuje šest oblastí, které má vzít v úvahu. ^[12]

1. Provozní dopad na úřad a jeho schopnost poskytovat regulovanou službu – od zanedbatelného omezení až po úplné přerušení služby.
2. Množství zasažených osob – uživatelé služby i další zasažené orgány a osoby, obvykle jako podíl z celkového počtu.
3. Zdroje potřebné k obnově – kolik času, lidí a techniky si návrat do provozu vyžádá a zda vůbec jde obnovit vše.
4. Typ a umístění zasažených aktiv – čeho se incident dotkl a kde to leží.
5. Citlivost zasažených informací a dat a újma, kterou může jejich narušení způsobit úřadu nebo někomu dalšímu.
6. Přímá příčina incidentu, je-li známa – lidská chyba, technická závada, nebo úmyslné jednání.

U každé oblasti si máte předem stanovit prahovou hodnotu, při jejímž překročení dopad považujete za významný; NÚKIB k tomu v únoru 2026 vydal podpůrný materiál s příklady čtyřstupňové škály a s ukázkovým výpočtem na konkrétním incidentu. ^[12] Není to akademické cvičení – Manuál pro režim nižších povinností k § 10 vyhlášky požaduje, aby úřad měl metodiku pro posuzování událostí a incidentů (včetně posuzování významnosti dopadu podle § 14) vytvořenou jako dokument, a aby měl zavedený a v bezpečnostní politice popsaný způsob, jakým zaměstnanci, administrátoři i dodavatelé hlásí podezřelé chování dovnitř úřadu. ^[13] Obojí musí existovat dřív, než incident nastane.