Kontrola dodavatelů podle nového zákona o kybernetické bezpečnosti: co musí být ve smlouvě

Nejčastější otázky

Proč řešit bezpečnost dodavatelů

Většina závažných kybernetických incidentů poslední doby nepřišla zevnitř napadené organizace. Přišla přes dodavatele.

• SolarWinds (2020): útočníci napadli aktualizaci softwaru, kterou si stáhlo 18 000 organizací po celém světě včetně amerických vládních agentur.
• Kaseya (2021): ransomware distribuovaný přes nástroj pro vzdálenou správu zasáhl 1 500 firem najednou.
• MOVEit (2023): zranitelnost v přenosovém softwaru odhalila data stovek organizací.
• CrowdStrike (2024): vadná aktualizace vyřadila z provozu 8,5 milionu zařízení – a nešlo ani o kybernetický útok.

Společný jmenovatel? Všechny tyto incidenty zasáhly organizace, které samy neudělaly nic špatně. Problém byl v tom, komu důvěřovaly.

Přesně na to reaguje nová legislativa: za bezpečnost odpovídáte i tehdy, když službu provozuje někdo jiný.

Co říká zákon

Klíčový je § 13 odst. 5 zákona č. 264/2025 Sb. Poskytovatel regulované služby musí vybírat dodavatele podle bezpečnostních požadavků – a tyto požadavky pak zahrnout do smluv.

Pro vás to znamená dvě věci:

1. Dobrý dodavatel nestačí. Musíte prokázat, že jste ho vybrali na základě bezpečnostních kritérií.
2. Bezpečnostní opatření patří do smlouvy. Ne do hlavy vašeho IT manažera.

Konkrétní smluvní požadavky upravují dvě prováděcí vyhlášky:

• Vyhláška č. 410/2025 Sb. pro režim nižších povinností – v příloze č. 2 najdete 14 kategorií smluvních ujednání.
• Vyhláška č. 409/2025 Sb. pro režim vyšších povinností – Příloha č. 5 rozšiřuje požadavky na 18 kategirií a přidává celý § 9 věnovaný řízení dodavatelů, včetně identifikace významných dodavatelů, hodnocení rizik a pravidelného přehodnocování.

Kategorizace dodavatelů

Než začnete revidovat smlouvy, potřebujete vědět, s kým máte co do činění. Ne každý dodavatel představuje stejné riziko.

Zákon vám neřekne, jak dodavatele roztřídit – to je na vás. V praxi se osvědčuje hodnotit ve dvou rovinách: jaký má dodavatel přístup k vašim datům a systémům a jak snadno ho nahradíte.

Jedna z možných metod je jednoduchá matice:

Konkrétní hranice si nastavíte podle své organizace a výsledků řízení rizik. Podstatné je, že tento krok uděláte – navazuje na něj všechno ostatní: rozsah due diligence, obsah bezpečnostního dodatku i frekvence přehodnocování.

Co k tomu říká zákon

Zákon a vyhlášky pracují s vlastním dělením – rozlišují režim povinností vaší organizace a typ dodavatele.

• Režim nižších povinností (vyhláška č. 410/2025 Sb.) stanovuje základní sadu bezpečnostních opatření. Příloha č. 2 definuje 14 kategorií smluvních ujednání, která musí smlouva s dodavatelem obsahovat. Platí pro všechny dodavatele regulované organizace v tomto režimu.
• Režim vyšších povinností (vyhláška č. 409/2025 Sb.) požadavky rozšiřuje. Příloha č. 5 obsahuje 18 kategorií smluvních ujednání. Navíc přibývají požadavky na formát předání dat, likvidaci dat, změnu kontroly nad dodavatelem nebo žádosti cizozemských orgánů.

Nad rámec těchto režimů pak zákon definuje dvě zvláštní kategorie dodavatelů:

Významný dodavatel (§ 9 vyhlášky 409/2025). Musíte ho identifikovat, evidovat a hodnotit jeho rizika ještě před uzavřením smlouvy. Indikátory významnosti: přístup k datům nebo systémům, provozování kritické služby, napojení na síťovou infrastrukturu, obtížná nahraditelnost (vendor lock-in), zpracování dat mimo EU nebo koncentrace více služeb u jednoho dodavatele. U významných dodavatelů hodnotíte opakovaně a nedostatky řešíte bez zbytečného odkladu.

Strategicky významný dodavatel. Týká se organizací poskytujících strategicky významné služby. Tady už nejde o vaši interní klasifikaci – vláda může nařízením určit, že konkrétní dodavatel nebo typ technologie představuje bezpečnostní riziko. Regulovaná organizace pak musí situaci řešit, případně dodavatele nahradit. Cílí to zejména na geopolitická rizika u hardwaru a síťové infrastruktury.

Podobné povinnosti přináší pro finanční sektor i nařízení DORA (Digital Operational Resilience Act). Pokud spadáte pod NIS2 i DORA současně, řešíte kontrolu dodavatelů a bezpečnostní dodatky paralelně pro oba režimy. Kde DORA stanovuje specifičtější požadavky – typicky u řízení ICT rizik třetích stran, exit strategií nebo testování provozní odolnosti — má přednost před obecnější úpravou NIS2.

💬 Řešíte bezpečnost svých dodavatelů? Pomáháme organizacím promítnout interní bezpečnostní dokumentaci do bezpečnostních dodatků ke smlouvám. Připravujeme NIS2 i DORA dodatky na míru.

Ozvěte se

Due diligence: prověrka dodavatele před podpisem

Před uzavřením smlouvy si dodavatele prověřte. Zaměřte se na čtyři oblasti:

• Organizační zralost. Má dodavatel bezpečnostní politiku? CISO nebo bezpečnostního manažera? Školí zaměstnance?
• Certifikace a důkazy. ISO 27001, SOC 2 Type II, pen-testové zprávy, pojištění kyber rizik.
• Technická opatření. Šifrování dat, MFA, patch management, zálohování s testováním obnovy.
• Subdodavatelský řetězec. Vendor management třetích a čtvrtých stran.

Konkrétní otázky se liší podle role dodavatele. Jinak prověřujete kritického dodavatele s plným přístupem k systémům a jinak běžného dodavatele bez přístupu k datům. Pro inspiraci připojujeme orientační vzor – finální podobu si vždy přizpůsobte konkrétnímu dodavateli a riziku. Otázky můžou vypadat třeba takhle:

Co musí být ve smlouvě: bezpečnostní příloha v praxi

Obě vyhlášky (409 i 410) přesně definují témata, která musí smlouva pokrývat. Neříkají ale, jak má dané ujednání znít – jenom co tam musí být.

A v tom je háček. Stejná vyhláška vede k radikálně odlišným smluvním podmínkám podle toho, kdo smlouvu připravuje. Dodavatel ji formuluje pro maximální flexibilitu, objednatel pro maximální kontrolu. Obě verze přitom formálně splní zákon.

Podívejte se, jak dramaticky se ujednání liší:

Obě strany formálně splní vyhlášku. Ale ekonomický dopad je dramaticky odlišný. Rozdíl mezi „exit do 30 dnů" a „exit do 24 měsíců" může v praxi znamenat miliony korun. Rozdíl mezi „bezplatná součinnost jen při zavinění" a „bezplatná součinnost vždy" ovlivní celkovou cenu dodávky.

Záleží tedy na tom, kdo smlouvu píše první. A jestli druhá strana rozumí tomu, co podepisuje.

💬 Potřebujete revidovat smlouvy s dodavateli? Připravujeme NIS2 i DORA dodatky v souladu s vyhláškami č. 409 a č. 410 – pro objednatele i dodavatele.

Zjistit víc

Sankce: co hrozí, když to zanedbáte

Nový zákon zavádí citelné pokuty:

• Organizace v režimu vyšších povinností: až 5 % ročního obratu (§ 59).
• Organizace v režimu nižších povinností: až 3 % obratu.
• Dodavatel, který neplní zákonné povinnosti: až 2 % obratu (§ 60).

Odpovědnost za kybernetickou bezpečnost dopadá přímo na vedení organizace. Jednatel ani člen představenstva se jí nezbaví delegováním.

6 kroků ke compliance

Nečekejte na kontrolu NÚKIB. Od registrace máte 12 měsíců na implementaci, ale tohle můžete udělat hned:

1. Zmapujte dodavatele. Vytvořte přehled všech, kteří mají přístup k vašim systémům, datům nebo infrastruktuře.
2. Kategorizujte je. U každého vyhodnoťte míru přístupu a nahraditelnost. Rozlišujte běžné, významné a strategicky významné dodavatele.
3. Proveďte due diligence. U významných a kritických si vyžádejte certifikace, bezpečnostní politiky a informace o subdodavatelích.
4. Připravte vzorový bezpečnostní dodatek. Na základě vyhlášky 410 (nebo 409 pro vyšší režim).
5. Zrevidujte stávající smlouvy. Projděte aktuální smlouvy s klíčovými dodavateli a najděte mezery oproti zákonu.
6. Nastavte interní proces. Pro výběr nových dodavatelů, pravidelné hodnocení stávajících a řešení změn v dodavatelském řetězci.

Tři věci, které si odnést

✅ Smluvní zajištění dodavatelů není volitelné. Zákon ho explicitně vyžaduje a NÚKIB ho bude kontrolovat.

✅ Záleží na tom, kdo smlouvu píše. Totožná vyhláška může vést k diametrálně odlišným podmínkám. Rozdíl mezi „verzí dodavatele" a „verzí objednatele" znamená miliony korun a měsíce právní nejistoty.

✅ Dodavatel, který podepíše cokoliv, pravděpodobně nic neplní. Pokud váš IT dodavatel bez mrknutí oka akceptuje 18 kategorií povinností, je to větší red flag než ten, kdo vyjednává. Vyjednávání ukazuje, že rozumí, k čemu se zavazuje.