Lidé a organizace

Kybernetická bezpečnost je odpovědnost vedení

„V případě obcí jsou to právě starostové, kdo musí věnovat zajištění kybernetické bezpečnosti v obci patřičnou pozornost.“, napsal Deník veřejné správy už v roce 2022, ještě za předchozího zákona o kybernetické bezpečnosti. ^[1]

Nová právní úprava posiluje odpovědnost vedení obcí za kybernetickou bezpečnost. Zákon č. 264/2025 Sb., který převádí do českého práva evropskou směrnici NIS2, doplňují prováděcí vyhlášky. Pro obce v režimu nižších povinností je důležitá zejména vyhláška č. 410/2025 Sb., pro vyšší režim pak vyhláška č. 409/2025 Sb.

Vedení obce se proto musí do řízení kybernetické bezpečnosti prokazatelně zapojit. Nestačí tuto oblast ponechat pouze na pracovnících informačních technologií.

Důležitou roli hraje pravidelné vzdělávání zaměstnanců. Podle zkušeností a doporučení Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB) bývá jednou z častých příčin kybernetických incidentů nedostatečné bezpečnostní povědomí v organizaci. Proto se klade důraz na prokazatelné proškolení a průběžné vzdělávání pracovníků. ^[3]

Osoba pověřená kybernetickou bezpečností

Zákon vyžaduje zajištění řízení kybernetické bezpečnosti, typicky prostřednictvím určené pověřené osoby. Pro malé obce existují čtyři realistické varianty:

• Stávající IT správce – nejčastější řešení. Potřebuje kurz „Šéfuj kyber“ na osveta.nukib.gov.cz – NÚKIB odhaduje průchod na 6 hodin studia, certifikát je po úspěšném závěrečném testu (18 otázek, 3 pokusy, úspěšnost alespoň 80 %). ^[9]
• Administrativní pracovník s IT znalostmi – pokud obec nemá dedikovaného IT správce. Stejný kurz.
• Externí dodavatel – musí mít smluvně ošetřeny povinnosti a SLA (smluvní ujednání o úrovni poskytovaných služeb; viz kapitola 6).
• Sdílený manažer kybernetické bezpečnosti pro více obcí v rámci ORP – praktické řešení pro mikro a malé obce s omezeným rozpočtem. Jedna osoba (např. zaměstnanec ORP nebo společně financovaný odborník) zajišťuje KB pro několik obcí najednou. Potřebuje kurz „Šéfuj kyber – nižší“ (kód 275), pokud obsluhované obce spadají do nižšího režimu povinností, nebo „Šéfuj kyber – vyšší“ / „Kurz pro manažery KB“ (kód 276) pro vyšší režim. Viz podrobnosti níže.

Sdílený KB manažer v rámci ORP

Sdílený KB manažer může být pro malé obce praktické řešení, jak zajistit kybernetickou bezpečnost s omezeným rozpočtem. Jedna kvalifikovaná osoba zajišťuje kybernetickou bezpečnost pro více obcí v rámci jednoho ORP. Školení a materiály od NÚKIB jsou bezplatné – chybí jen člověk, který jim věnuje čas.

• Kdo: zaměstnanec ORP, společně financovaný odborník nebo IT pracovník jedné z obcí.
• Právní forma: veřejnoprávní smlouva mezi obcemi, dobrovolný svazek obcí (DSO) nebo koordinace přes ORP. K vymezení regulované služby „výkon svěřených pravomocí“ vydal NÚKIB samostatné FAQ. ^[7]
• Kvalifikace: kurz „Šéfuj kyber – nižší“ (kód 275) pro obce v nižším režimu nebo „Šéfuj kyber – vyšší“ / „Kurz pro manažery KB“ (kód 276) pro vyšší režim – oba bezplatné na osveta.nukib.gov.cz.
• Kapacita: závisí na rozsahu služeb a velikosti obcí; jeden KB manažer může pokrýt několik malých obcí s pravidelným harmonogramem návštěv.
• Náklady: sdílené řešení výrazně snižuje náklady oproti individuálně nakupované externí službě.

Organizační struktura podle velikosti obce

Školení vedení obce

Zákon ukládá vedení obce zajistit odpovídající školení v oblasti kybernetické bezpečnosti. NÚKIB pro vrcholné vedení nabízí bezplatné kurzy na osveta.nukib.gov.cz: rozcestník „Kurz pro vrcholné vedení“ (KVV, kód 270), který směruje na dvě verze navázané na režim povinností – „KVV – nižší“ (KVVN, kód 271) a „KVV – vyšší“ (KVVV, kód 272). Pro obce v nižším režimu je relevantní zejména KVVN. Vedení musí být seznámeno s dokumentem Přehled bezpečnostních opatření a aktivně se podílet na plánování kontinuity provozu. ^[3] Po komunálních volbách (9.–10. října 2026) je potřeba kurz pro vrcholné vedení absolvovat i s novým vedením obce. ^[11]

Školení všech zaměstnanců

Vyhláška č. 410/2025 Sb. (§ 5) vyžaduje vstupní a pravidelná školení a vedení jejich evidence. Obec k tomu stanoví politiku bezpečného chování uživatelů a v jejím rámci zohlední relevantní témata uvedená v příloze č. 3 vyhlášky (§ 5 odst. 1 písm. a). NÚKIB nabízí: ^{[5] [9] [10]}

Co musí školení pokrývat

Příloha č. 3 vyhlášky 410/2025 Sb. definuje témata, ze kterých organizace vybere relevantní. Kurz NÚKIB „Dávej kyber“ (266) pokrývá klíčová témata v 9 povinných okruzích + 2 dobrovolných: ^[4]

1. Hesla a přihlašování – frázová hesla, správce hesel, 2FA (dvoufaktorové ověření), monitoring úniků
2. Odemykání zařízení – tradiční a moderní metody
3. Sociální inženýrství – phishing, vishing, smishing, baiting (podvodné e-maily, telefonáty, SMS a návnady), sociální sítě
4. Důvěryhodná komunikace – e-podpisy (prostý, zaručený, kvalifikovaný), datové schránky
5. Škodlivé soubory – maskování souborů, makra, ransomware (vyděračský škodlivý software)
6. Ochrana zařízení – antivirus, aktualizace, bezpečnostní nástroje
7. Stahování aplikací – bezpečná instalace
8. Připojení a soukromí – Wi-Fi, VPN (zabezpečené připojení přes virtuální privátní síť), ochrana dat
9. Rizika využívání AI – bezpečné používání nástrojů umělé inteligence
10. Dobrovolné: Znáte z médií – zranitelnosti, DDoS (útok zahlcením služby), 5G
11. Dobrovolné: Vzdělávání dětí – materiály NÚKIB pro děti

Pravidla pro zaměstnance

Příručka pro zastupitele uvádí 13 základních pravidel pro zaměstnance obce – samotná pravidla platí, právní část toho zdroje je ale zastaralá (odkazuje na zrušený zákon č. 181/2014 Sb.). Vytiskněte je a dejte na nástěnku do každé kanceláře: ^[2]

1. Pracovní zařízení používejte jen pro práci.
2. Nemodifikujte systémy, neinstalujte neautorizovaný software.
3. Rozumějte stupňům citlivosti informací.
4. Chraňte zařízení, používejte silná unikátní hesla.
5. Nikdy neotevírejte podezřelé e-maily ani neznámé přílohy.
6. Nepřeposílejte automaticky pracovní e-maily na osobní účty.
7. Zamykejte obrazovku při odchodu (Win+L).
8. Udržujte fyzickou bezpečnost kanceláří a dokumentů.
9. S vyměnitelnými médii zacházejte zodpovědně, šifrujte.
10. Neukládejte pracovní data do veřejných cloudových úložišť.
11. Vyhýbejte se nedůvěryhodným webovým stránkám.
12. Hlaste neobvyklé chování okamžitě, bez paniky.
13. Nikdy nežádejte o výjimky z bezpečnostních pravidel – stávají se vektory útoku (cestami, které může útočník zneužít).

Evidence a kontrola

Vyhláška vyžaduje evidenci školení; forma (např. prezenční listiny nebo elektronické záznamy) musí být prokazatelná. Přizpůsobte školení cílovým skupinám (jiný obsah pro vedení, jiný pro řadové zaměstnance). Pružně reagujte na aktuální hrozby – když NÚKIB vydá varování, zařaďte téma do nejbližšího školení. Kontrolujte dodržování pravidel a stanovte důsledky za jejich porušení. ^{[3] [5]}