Organizace, které dostaly od NÚKIB rozhodnutí o registraci regulované služby, řeší jednu praktickou otázku dřív než všechny ostatní: kdo u nich bude bezpečnost skutečně řídit. Vyhlášky k zákonu č. 264/2025 Sb. roli pojmenovávají, ale nikde neříkají, jestli ji má zastávat zaměstnanec, nebo externí odborník. Rozhodnutí tak zůstává na vedení a padá obvykle právě teď, při sestavování rozpočtu a obsazení na příští rok.
Tenhle text nemá prodat jednu variantu. Má popsat, co se po té roli chce, kolik práce v ní je a podle čeho se rozhodnout.
Co vyhlášky skutečně vyžadují
Režim vyšších povinností
Vyhláška č. 409/2025 Sb. ukládá vrcholnému vedení určit osoby, které budou zastávat čtyři bezpečnostní role: manažera kybernetické bezpečnosti, architekta kybernetické bezpečnosti, garanta aktiva a auditora kybernetické bezpečnosti (§ 4 odst. 4). U manažera a architekta musí vedení navíc zajistit zastupitelnost (§ 4 odst. 5).
Manažer kybernetické bezpečnosti je pověřen řízením systému řízení bezpečnosti informací. Pro výkon role musí být vyškolen a prokázat odbornou způsobilost praxí s řízením kybernetické bezpečnosti nebo s řízením bezpečnosti informací po dobu alespoň 3 let (§ 5 odst. 1). Odpovídá za pravidelné informování vrcholného vedení. Je také povinným členem výboru pro řízení kybernetické bezpečnosti, který vedení zřizuje, schází se alespoň jednou ročně a pořizuje se z něj záznam (§ 4 odst. 3).
Režim nižších povinností
Vyhláška č. 410/2025 Sb. roli manažera v téhle podobě nezná. Vedení určí osobu pověřenou kybernetickou bezpečností a svěří jí pravomoci k řízení a rozvoji bezpečnosti, k dohledu nad jejím stavem a ke komunikaci s vedením. Tato osoba buď bez zbytečného odkladu absolvuje odborné školení, nebo prokáže odbornou znalost v kybernetické bezpečnosti (§ 4). Školení musí prokazatelně absolvovat i samo vedení.
Kdy to musí být hotové: povinnost zavádět a provádět bezpečnostní opatření se plní nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby (§ 13 odst. 4 zákona č. 264/2025 Sb.). Lhůta neběží od účinnosti zákona, ale od doručení rozhodnutí. Podrobný rozpis obou vyhlášek po paragrafech máme na stránkách vyhláška č. 409/2025 Sb. pro vyšší povinnosti a vyhláška č. 410/2025 Sb. pro nižší povinnosti.
Externista je legitimní volba
NÚKIB v podpůrném materiálu Požadavky na bezpečnostní role (verze 1.1 z 21. dubna 2026) uvádí, že osoby jmenované do bezpečnostních rolí nemusí být vůči poskytovateli regulované služby v zaměstnaneckém ani obdobném poměru. Roli tedy může vykonávat externista. Úřad k tomu dodává dvě věci, které stojí za pozornost: externí manažer musí mít dostatečnou znalost prostředí organizace a reálné kompetence roli naplnit, stejně jako manažer interní, a požadavky na vzdělání a certifikaci je vhodné ošetřit už ve smlouvě. Odpovědnost vedení se externím zajištěním role nikam nepřenáší, povinnosti vrcholného vedení podle § 4 platí dál.
Co ta role reálně dělá
Pod formulacemi vyhlášky je docela obyčejný výčet práce:
- Řídí zavádění a provoz bezpečnostních opatření a hlídá, co je hotové a co se posouvá.
- Udržuje hodnocení rizik a plán jejich zvládání a vrací se k nim po významných změnách.
- Vede bezpečnostní politiku a dokumentaci, hlídá jejich přezkum a seznámení lidí.
- Vstupuje do výběru dodavatelů a do smluvních ujednání o bezpečnosti.
- Koordinuje řešení incidentů a jejich hlášení.
- Připravuje podklady pro vedení, pro audit a pro případnou kontrolu úřadu.
- Drží plán školení a rozvoje bezpečnostního povědomí.
Většina té práce není technická. Je to řízení, psaní, jednání s dodavateli a s vedením. Proto role automaticky nesedí na nejlepšího administrátora v týmu, i když ten o prostředí ví nejvíc.
Kolik práce je v prvním roce a kolik v běžném provozu
První rok je nárazový. Vzniká rozsah, evidence aktiv, hodnocení rizik, sada politik a navazujících postupů, pravidla pro dodavatele a smluvní ujednání, plán školení a evidence, které se do té doby nevedly. Velká část téhle práce se udělá jednou a pak už se jen udržuje.
Běžný provoz má roční rytmus a pevné termíny. V nižším režimu se alespoň jednou ročně aktualizuje přehled bezpečnostních opatření včetně vyhodnocení jejich účinnosti a jednotlivé přehledy se uchovávají alespoň 4 roky. Ve vyšším režimu se alespoň jednou ročně vyhodnocuje účinnost systému řízení bezpečnosti informací a zpracovává zpráva o jeho přezkoumání, k tomu se koná výbor a běží audit podle plánu. Mezi tím jsou incidenty, změny a dotazy dodavatelů, které se naplánovat nedají.
Rozdíl mezi prvním rokem a provozem je důležitý pro rozhodování: podle špičky v prvním roce se obsazení role nevyplatí dimenzovat natrvalo, podle klidného provozu zase první rok nestihnete.
Vlastní člověk
Co mluví pro: zná prostředí, lidi i historii rozhodnutí. Je k dispozici denně, ne podle smlouvy. Role roste spolu s firmou a může na sebe nabalit další agendu. U organizace, která má bezpečnost dlouhodobě řídit sama, je to cílový stav.
Co je potřeba počítat: požadavek na vyškolení a alespoň 3 roky praxe s řízením bezpečnosti okruh kandidátů zužuje a nábor na takovou pozici nebývá otázkou týdnů. Lhůta od registrace mezitím běží. Jeden člověk sám také nenaplní zastupitelnost, kterou vyhláška u vyššího režimu výslovně chce. A pokud je ten člověk zároveň vedoucím IT, dostává se do pozice, kdy posuzuje vlastní práci.
Externí role
Co mluví pro: je k dispozici hned, praxi a školení lze doložit a smluvně vymínit, zastupitelnost řeší tým dodavatele, a na vlastní IT i na dodavatele se dívá někdo zvenčí. Rozsah se dá nastavit podle fáze programu, jinak v prvním roce a jinak v provozu.
Co je potřeba počítat: externí manažer zná prostředí jen tak dobře, jak dobře mu ho ukážete, a bez pravidelného kontaktu s vedením a s IT role nefunguje. Dostupnost při incidentu musí být ve smlouvě, ne v dobré vůli. Externí manažer bude zpravidla sám významným dodavatelem, takže patří do vašeho řízení dodavatelů a smluvních ujednání o bezpečnosti. A někoho interního budete potřebovat tak jako tak: člověka, který rozhoduje, otevírá dveře a zajišťuje součinnost.
Co je lepší držet oddělené
Vyhláška u auditora kybernetické bezpečnosti stojí na nestrannosti a na tom, že audit nezávisle hodnotí správnost a účinnost zavedených opatření (§ 16). NÚKIB k tomu v materiálu k bezpečnostním rolím doplňuje, že osoba odpovědná za průběh auditu by neměla zároveň vykonávat roli manažera nebo architekta kybernetické bezpečnosti.
Druhé oddělení není v textu vyhlášky napsané takhle výslovně, ale vyplývá ze zdravého rozumu i z praxe kontrol: kdo opatření navrhuje a provozuje, neměl by být zároveň tím, kdo potvrzuje, že jsou v pořádku.
Pro výběr dodavatele z toho plyne jednoduché pravidlo. Jeden dodavatel může nad stejnou oblastí buď zavádět opatření, nebo je auditovat. Ne obojí. Platí to i tehdy, když je levnější mít všechno u jednoho.
Pro koho dává smysl co
| Situace | Co obvykle dává smysl |
|---|---|
| Nižší režim, funkční IT, žádná bezpečnostní agenda navíc | Interní pověřená osoba s písemným pověřením a reálně navýšenou kapacitou, externí podpora na první rok |
| Vyšší režim, žádná bezpečnostní role zatím neexistuje | Externí role hned kvůli běžící lhůtě, interní nábor jako cíl na další období |
| Vyšší režim, interní kandidát s praxí už ve firmě je | Interní manažer, zastoupení a architekturu nebo audit doplnit zvenčí |
| Blíží se audit nebo kontrola a termín je do roka | Externí role kvůli rychlosti, interní protějšek pro součinnost a rozhodování |
| Provoz s výrobní nebo průmyslovou technologií | Interní znalost provozu je nenahraditelná, externě doplnit metodiku a dokumentaci |
Tohle není tabulka, podle které se rozhoduje bez přemýšlení. Je to vodítko pro první kolo diskuse ve vedení.
Tři otázky, které rozhodnou dřív než cena
- Kdo bude mít roli podepsanou a jaké pravomoci k ní dostane? Pověření bez přístupu k vedení a bez rozpočtu je jen jméno v dokumentu.
- Kdo tu osobu zastoupí, když bude dva týdny nedostupná? U vyššího režimu to vyhláška vyžaduje, u nižšího to stejně potřebujete.
- Kdo bude kontrolovat výsledek? Jakmile si na tuhle otázku odpovíte stejným jménem jako na první, máte problém s nestranností.
Když na tyto tři otázky umíte odpovědět, je volba mezi náborem a externí rolí už hlavně otázkou kapacity a rozpočtu. Co dalšího patří do bezpečnostního rozpočtu na příští rok, jsme shrnuli v článku Bezpečnost do rozpočtu na příští rok. Jak u nás vypadá externí vedení bezpečnosti, popisujeme na stránce služby, a jestli se rozhodujete mezi oběma cestami, projdeme vaši situaci v nezávazné úvodní konzultaci.
Poslední poznámka. Posouzení, do kterého režimu vaše organizace spadá a jaké povinnosti z toho plynou, je výklad zákona. My děláme bezpečnostní stránku věci, právní rozbor patří advokátům.
Zdroje: Vyhláška č. 409/2025 Sb., bezpečnostní role a požadavky na vrcholné vedení · Vyhláška č. 410/2025 Sb., osoba pověřená kybernetickou bezpečností · Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, lhůty podle § 13 · NÚKIB, Požadavky na bezpečnostní role, podpůrný materiál verze 1.1