Průvodce · standardy a rámce
Kdy je certifikace investice a kdy zbytečnost, čím se liší katalog opatření, rámec pro řízení a atestace SOC 2, a co z toho uzná dozor.
Tohle je jádro celé stránky a zároveň nejčastější zdroj špatných rozhodnutí. Ve stejné větě se běžně objeví ISO 27001, CIS Controls, NIST CSF, SOC 2, GDPR a zákon o kybernetické bezpečnosti, jako by to byly zaměnitelné cesty k témuž cíli. Nejsou. Liší se v tom, kdo je vydává, co dokládají a co se stane, když je nesplníte.
Norma je dokument s požadavky, ke kterému existuje certifikační schéma. U ISO/IEC 27001 se posuzuje, jestli máte funkční systém řízení bezpečnosti informací, a výsledkem je certifikát vydaný nezávislým certifikačním orgánem. Katalog opatření — typicky CIS Controls — je uspořádaný seznam konkrétních věcí, které se dají udělat, seřazený podle toho, co zastaví nejvíc útoků. Nic se u něj necertifikuje. Rámec pro řízení — NIST CSF — nepředepisuje opatření ani požadavky, dává společný jazyk pro popis stavu, cíle a priorit; jeho hlavní hodnota je v tom, že se dá vysvětlit vedení. Atestace — typicky SOC 2 — je zpráva auditorské firmy o tom, jak jsou opatření navržená a jestli v provozu fungovala; není to certifikát a nevydává ji certifikační orgán. A regulace je právní předpis: zákon č. 264/2025 Sb. a jeho vyhlášky, nařízení CRA, nařízení DORA nebo obecné nařízení o ochraně osobních údajů. Ten nesplníte dobrovolně a jeho nesplnění řeší dozorový orgán, ne obchodní partner.
Praktický dopad: certifikát podle normy neprokazuje splnění předpisu a splnění předpisu vám nedá certifikát. Katalog opatření vás nikam nepřihlásí a rámec pro řízení sám o sobě nezavede jediné opatření. Když se tenhle rozdíl nevyjasní na začátku, vzniká obvyklá situace — firma zaplatí certifikaci proto, aby vyřešila regulaci, a po roce zjistí, že jí zbývá udělat gap analýzu proti vyhlášce a registrovat se.
Zkratka, kterou používáme při prvním jednání: napište si jednu větu o tom, komu chcete co doložit. Zákazníkovi před podpisem smlouvy, dozorovému orgánu, pojišťovně, nebo vlastnímu představenstvu. Odpověď na tuhle otázku rozhodne o volbě rámce spolehlivěji než velikost firmy nebo obor.
Nejdřív časté nedorozumění: necertifikuje se firma ani produkt, ale systém řízení bezpečnosti informací (ISMS) v definovaném rozsahu. Rozsah si stanovuje organizace sama a je uvedený na certifikátu. Certifikát na „vývojové středisko v Brně“ a certifikát na celou skupinu jsou dva velmi rozdílné doklady, i když v obou je stejné číslo normy. Když posuzujete certifikát dodavatele, čtěte rozsah dřív než logo certifikačního orgánu.
Norma má dvě části. V kapitolách požadavků se řeší kontext organizace, vedení, plánování včetně posouzení a ošetření rizik, podpora, provoz, hodnocení výkonnosti a zlepšování. Druhou částí je příloha A — seznam 93 opatření rozdělených do čtyř tematických skupin: organizační, personální, fyzická a technologická. Znění opatření tady neuvádíme, protože je chráněné autorským právem ISO; návod k jejich zavedení obsahuje samostatná norma ISO/IEC 27002, která je s přílohou A strukturovaně sladěná. K normě navíc v roce 2024 vyšla změna reagující na klimatická rizika — dotkla se úvodních kapitol o kontextu a zainteresovaných stranách, ne přílohy A.
Opatření z přílohy A se nezavádějí paušálně. Vybírají se podle výsledku posouzení rizik a výběr se zdůvodňuje v Prohlášení o aplikovatelnosti (SoA), kde je u každého opatření uvedeno, jestli se použije a proč. Auditor se ptá právě na tenhle dokument a na to, jestli sedí na realitu — SoA, ve kterém je použito všech 93 opatření „pro jistotu“, je varovný signál, ne známka důkladnosti.
Certifikaci nevydává ISO. Vydává ji certifikační orgán akreditovaný národním akreditačním orgánem — v České republice je jím Český institut pro akreditaci. Audit má dva stupně: v prvním se posuzuje připravenost a dokumentace, ve druhém fungování systému v provozu. Po vydání certifikátu běží tříletý cyklus s dozorovými audity a před koncem cyklu recertifikace. To je pravidelný náklad, ne jednorázový.
Rozsah se dá napsat tak, aby prošel auditem a přitom nepokryl to, na co se ptá zákazník. Proto při přípravě začínáme rozsahem a Prohlášením o aplikovatelnosti, ne nákupem nástrojů — když se rozsah opravuje po prvním auditu, platí se dvakrát.
CIS Controls jsou katalog konkrétních opatření od Center for Internet Security. Aktuální verze 8.1 obsahuje 18 kontrol rozpadlých do 153 safeguardů a proti verzi 8 přidala pohled na správu a řízení a upravila popisy tříd aktiv. Podstatné je, že nejde o normu ani o předpis: nic se podle CIS necertifikuje a nikdo to nevymáhá. Je to pracovní seznam.
Hodnota katalogu je v odstupňování. Opatření jsou rozdělená do tří implementačních skupin. IG1 je základní hygiena — 56 safeguardů, které podle CIS má zvládnout každá organizace; typický adresát je malá až střední firma bez vlastního bezpečnostního týmu, která chrání hlavně zaměstnanecká a finanční data a nesnese dlouhé výpadky. IG2 na IG1 navazuje pro organizace, které už mají někoho na bezpečnost vyčleněného a spravují data zákazníků. IG3 zahrnuje celý katalog a počítá s vlastními specialisty. Skupiny se nepřeskakují: IG2 obsahuje IG1, IG3 obsahuje IG2.
Pro malou firmu je to nejlevnější rozumný start. Netřeba kupovat normu, nemusí se platit auditor, práce se dá rozdělit na položky a odškrtávat. A hlavně je pořadí odvozené od toho, čím útoky ve skutečnosti začínají — evidence toho, co vlastně máte, a pořádek v účtech a oprávněních jsou v katalogu nahoře ze stejného důvodu, z jakého se objevují jako první nález v každé druhé bezpečnostní prověrce.
Znění kontrol ani safeguardů tady neuvádíme záměrně. CIS Controls v8.1 jsou vydané pod licencí Creative Commons Attribution-NonCommercial-No Derivatives 4.0: dovoluje šíření pro nekomerční účely, zakazuje šíření upravených verzí a komerční užití podmiňuje předchozím souhlasem CIS. Web obchodní společnosti je komerční kontext, takže popisujeme vlastními slovy a odkazujeme na originál.
Seznam výše i popis implementačních skupin jsou náš text, ne citace katalogu. Popsáno podle CIS Controls Implementation Groups od Center for Internet Security, dostupných pod licencí CC BY-NC-ND 4.0. Pro přesné znění safeguardů a pro zařazení do skupin jděte na stránky CIS. Pokud si chcete udělat obrázek rychle: projděte první tři body na vlastním prostředí a změřte, za jak dlouho dokážete odpovědět. Většina firem se zasekne na první otázce, ne na té poslední.
NIST Cybersecurity Framework je americký rámec, který se dlouhodobě používá i mimo USA. Verze 2.0 z února 2024 přinesla dvě věci, kvůli kterým stojí za pozornost i v Česku. První je šestá funkce Govern, která doplnila původní pětici Identify, Protect, Detect, Respond, Recover a přidala do rámce to, co v praxi rozhoduje nejvíc: kdo za bezpečnost odpovídá, jak se rozhoduje o riziku a jak se řídí dodavatelé. Druhá je rozšíření záběru — CSF 2.0 už není psaný jen pro kritickou infrastrukturu, ale pro organizace jakékoli velikosti.
Struktura je tříúrovňová: šest funkcí se dělí na 22 kategorií a ty na 106 subkategorií. Subkategorie jsou psané jako výsledky, kterých má organizace dosáhnout, ne jako konkrétní opatření — rámec neříká „nasaďte tenhle nástroj“, říká „mějte tuhle vlastnost“. Konkrétní opatření se k nim přiřazují přes takzvané informativní reference, kde jsou vazby na jiné katalogy a normy.
Praktická síla rámce je v profilech. Popíšete současný stav a cílový stav ve stejné struktuře, rozdíl mezi nimi je akční plán a zároveň obrázek, který se dá ukázat vedení. K tomu rámec nabízí úrovně (Tiers) popisující, nakolik je řízení rizik ve firmě formalizované. Není to hodnocení kvality, je to popis přístupu — a pro rozhovor s představenstvem funguje lépe než tabulka nesplněných opatření.
Rámec je bezplatný. Publikace NIST vytvořené jeho zaměstnanci nepodléhají v USA autorskoprávní ochraně a k jejich přetištění není potřeba svolení; mimo USA ale ochraně podléhají a NIST k jejich přebírání odkazuje na písemnou žádost. Proto ho tady popisujeme vlastními slovy a odkazujeme na originál.
V našich posouzeních zralosti používáme CSF nejčastěji jako osu výstupu — ne proto, že by byl přesnější než jiné rámce, ale protože v něm jde ukázat rozdíl mezi tím, kde firma je a kde chce být, na jedné stránce. Rozhodnutí o rozpočtu se dělá nad takovým obrázkem, ne nad seznamem 153 položek.
Když dodavatel napíše do dotazníku „máme SOC 2 certifikát“, není to jen nepřesnost — je to signál, že s dokladem sám nepracoval. SOC 2 není certifikace a žádný certifikát u ní nevzniká. Je to atestační zakázka podle standardů americké profesní organizace AICPA: posuzovaná organizace popíše svůj systém a opatření a písemně za popis převezme odpovědnost, auditorská firma (CPA) ho prověří a vydá zprávu s výrokem. Není tu certifikační orgán, který by uděloval razítko, ani veřejný registr, kde by se doklad ověřil. Výstupem je dokument, který musíte dostat a přečíst.
Kritéria, proti kterým se posuzuje, se jmenují Trust Services Criteria a jsou v pěti kategoriích: bezpečnost, dostupnost, integrita zpracování, důvěrnost a soukromí. Bezpečnost tvoří takzvaná společná kritéria a je v každé zakázce; zbylé čtyři kategorie se přidávají podle toho, co organizace svým zákazníkům slibuje. Rozsah kritérií si tedy volí posuzovaná firma sama — a je to první věc, kterou při čtení zprávy zjišťujete. Zpráva, ve které je jen bezpečnost, neříká nic o dostupnosti služby, i kdyby byla jinak bez jediného zjištění.
Rozdíl mezi typem 1 a typem 2 je to podstatné. Zpráva typu 1 (Type I) posuzuje popis systému a to, jestli jsou opatření vhodně navržená — k jednomu konkrétnímu dni. Neříká nic o tom, jestli opatření někdy skutečně fungovala. Zpráva typu 2 (Type II) posuzuje navíc účinnost opatření v provozu za vymezené období: auditor testuje vzorky z celého období a výsledky testů ve zprávě popisuje. Délku období si stanoví zakázka, v praxi bývá šest až dvanáct měsíců, u první zprávy někdy kratší. Jednou větou: typ 1 říká „takhle to bylo postavené k datu“, typ 2 „takhle to prokazatelně fungovalo od data do data“.
Zpráva SOC 2 není veřejný dokument. Obsahuje popis systému, provedené testy i jejich výsledky, takže je určená vymezenému okruhu příjemců a v praxi se předává pod dohodou o mlčenlivosti. Volně šiřitelnou variantou je SOC 3 — kratší zpráva bez podrobností o testech, kterou lze zveřejnit. Odznak na webu dodavatele proto o obsahu zprávy nevypovídá: stojí za ním buď SOC 3, nebo jen grafika, ne ten doklad, který k posouzení potřebujete. A přestože jde o standard americký, v Evropě je běžnou součástí prověřování cloudových a SaaS dodavatelů: evropské firmy ho po dodavatelích chtějí a český dodavatel, který prodává do Spojených států, ho dostane jako smluvní podmínku.
Pro posouzení dodavatele je zpráva typu 1 slabý argument: doloží návrh opatření k jednomu dni, ne to, že je někdo dodržoval. Smysl dává u nové služby v prvním roce jako signál, že se organizace na atestaci připravuje. Když ale dodavatel posílá typ 1 opakovaně několik let po sobě, je to informace sama o sobě. A zprávu si vždy vyžádejte celou — z titulní strany se nedá zjistit ani rozsah, ani období, ani zjištění.
Minimální bezpečnostní standard (MBS) vznikl v roce 2020 ve spolupráci NÚKIB, NAKIT a Ministerstva vnitra a mířil přesně na organizace, které pod zákon o kybernetické bezpečnosti nespadaly, ale bezpečnost řešit potřebovaly — obecní úřady, školy, zdravotnická zařízení, menší firmy. Dokument měl kolem padesáti stran a dvě části: manažerskou, o nastavení procesů a podpoře vedení, a technickou, psanou pro správce. Z oficiálního zdroje umíme doložit jen první vydání, verzi 1.0 z července 2020; odkazy kolující po internetu míří na pozdější verzi 1.2, tu ale na webu NÚKIB k 8. 8. 2026 neotevřeme, takže její vydání ani datum platnosti tady netvrdíme. Závazný nebyl dokument nikdy — byl to nezávazný doporučující materiál.
Stav k 8. srpnu 2026 je ale potřeba říct rovnou: MBS už není uvedený v přehledu podpůrných materiálů NÚKIB a původní soubor se nám na webu úřadu nepodařilo stáhnout, přestože jiné dokumenty ze stejného umístění se stahují normálně. Berte proto odkazy na „MBS v1.2“, které kolují po internetu a v našich starších materiálech, jako odkazy na historický dokument. Jeho obsah nezestárnul nijak dramaticky, ale citovat ho jako aktuální doporučení úřadu se nedá.
Co MBS z pohledu úřadu nahradilo: po nabytí účinnosti zákona č. 264/2025 Sb. vydal NÚKIB manuál pro poskytovatele regulované služby v režimu nižších povinností (verze 1.0 z 31. března 2026, aktualizace 1.1 z 2. června 2026). Vysvětluje vyhlášku č. 410/2025 Sb. na příkladech, popisuje nejčastější chyby a obsahuje vzorový přehled bezpečnostních opatření, který subjekty v nižším režimu musí vést. Je psaný pro regulované subjekty, ale nic nebrání tomu, aby ho jako vodítko použila i firma mimo regulaci — a je to dnes nejbližší česká náhrada za to, co dělal MBS.
Rozdíl proti vyhláškám je zásadní a stojí za zopakování. Vyhlášky č. 409/2025 Sb. a č. 410/2025 Sb. jsou závazné a jejich plnění se prokazuje dozorovému orgánu. Manuál je výklad, který nic neukládá a nic nemění; když se rozejde s textem vyhlášky, platí vyhláška. MBS byl doporučení bez adresáta v předpisu.
Kdyby se MBS na webu NÚKIB znovu objevil nebo vyšel v nové verzi, mění se tahle sekce a jedna otázka ve FAQ — jinde na stránce se toho netýká nic. Stav dostupnosti jsme ověřovali 8. 8. 2026.
Do stejné věty jako ISO a CIS spadne v rozhovorech pravidelně i GDPR, a proto tu má krátké místo. Patří ale do jiné kategorie: obecné nařízení o ochraně osobních údajů je nařízení Evropské unie — nařízení (EU) 2016/679, přímo použitelné ode dne 25. května 2018, v Česku doplněné zákonem č. 110/2019 Sb. Povinnosti z něj plynou samy o sobě, bez ohledu na to, jaký bezpečnostní rámec si firma zvolí, a dozor nad nimi vykonává Úřad pro ochranu osobních údajů, ne certifikační orgán. Certifikátem se tedy nařízení nesplní, protože není co certifikovat — je to právo, ne schéma.
S bezpečnostními rámci se nařízení potkává hlavně v článku 32 o zabezpečení zpracování. Ten žádá technická a organizační opatření odpovídající riziku a jmenuje mimo jiné pseudonymizaci a šifrování osobních údajů, schopnost zajistit trvalou důvěrnost, integritu, dostupnost a odolnost systémů, schopnost obnovit dostupnost údajů po incidentu a proces pravidelného testování a hodnocení účinnosti opatření. To jsou činnosti, které v systému řízení podle ISO/IEC 27001 i v katalogu CIS Controls existují — práce na nich se do plnění článku 32 promítne a nemusí se dělat podruhé od nuly.
Pozor ale na to, co z toho plyne. Článek 32 odst. 3 říká, že dodržování schváleného kodexu chování nebo schváleného mechanismu pro vydávání osvědčení lze použít jako jeden z prvků k doložení souladu s požadavky téhož článku — tedy jako podpůrný důkaz, ne jako splnění povinnosti. Článek 42 odst. 4 k tomu dodává, že osvědčení nesnižuje odpovědnost správce ani zpracovatele. A navíc: osvědčení podle článku 42 je institut samotného nařízení, jehož kritéria schvaluje dozorový úřad. Certifikát podle ISO/IEC 27001 ani zpráva SOC 2 osvědčením podle GDPR nejsou, i když se tak občas prezentují.
Blíž k ochraně osobních údajů má norma ISO/IEC 27701 pro systém řízení ochrany soukromí. Vydání z roku 2019 bylo rozšířením norem ISO/IEC 27001 a 27002, revize z roku 2025 z ní udělala samostatnou normu, kterou lze zavést i mimo systém řízení bezpečnosti informací. Ani ta ale nepokrývá nařízení celé: právní tituly zpracování, informační povinnost, práva subjektů údajů, záznamy o činnostech zpracování ani posouzení vlivu na ochranu osobních údajů nejsou otázky, na které odpovídá bezpečnostní norma.
Tahle sekce je orientace, ne výklad nařízení — na GDPR se dívejte jako na samostatné téma s vlastním dozorem. Praktické pravidlo z projektů: kdo řeší současně ochranu osobních údajů a vyhlášky k zákonu o kybernetické bezpečnosti, ať vede jednu evidenci aktiv a jeden registr incidentů a výstupy z nich generuje pro každého adresáta zvlášť. Dvě paralelní evidence se rozejdou vždycky, obvykle přesně ve chvíli, kdy je potřeba někam něco nahlásit.
Nejužitečnější věta celé stránky: certifikace podle ISO/IEC 27001 neznamená automatické splnění vyhlášky č. 409/2025 Sb. a splnění vyhlášky vám nedá certifikát. Není to formalita ani opatrnost — jsou to dva různé typy dokumentu s různými adresáty. Norma říká „mějte funkční systém řízení a vybírejte opatření podle rizik“. Vyhláška říká „udělejte tohle konkrétně, v tomhle rozsahu a doložte to“. Tam, kde norma nechává prostor pro úvahu, vyhláška často určuje parametr.
To ale neznamená, že se práce dělá dvakrát. Naopak — podstatná část podkladů je sdílená a rozdíl je hlavně v tom, co se navíc dokládá a komu. Pokud máte ISMS v rozsahu, který pokrývá regulovanou službu, máte podle našich zkušeností velkou část cesty k vyššímu režimu hotovou; zbytek je dokládání specifik. Opačným směrem to funguje hůř: firma, která postavila bezpečnost jen podle vyhlášky, obvykle nemá to, co po ní bude chtít certifikační auditor — souvislé posouzení rizik napříč rozsahem, Prohlášení o aplikovatelnosti, interní audit systému řízení a přezkum vedením.
Stejná logika platí i u dalších předpisů, jen s jinými mezerami. U nařízení CRA se posuzují vlastnosti produktu a doložitelnost toho, jak vznikly — systém řízení podle ISO/IEC 27001 tam pomůže s procesy, ale posouzení rizik na úrovni produktu, softwarový kusovník ani technickou dokumentaci nenahradí. U nařízení DORA je zase vlastní registr informací a smluvní požadavky, které z normy nevypadnou. A žádný z rámců nezajistí registraci u dozorového orgánu ani odeslání hlášení ve lhůtě.
Praktický důsledek pro plánování: rozhodněte, který dokument je hlavní, a ostatní k němu vztáhněte. Když má firma povinnost podle zákona a zároveň obchodní tlak na certifikát, vede regulace — je vymahatelná — a certifikace se staví na stejné evidenci. Obráceně to vede k tomu, že se rok pracuje na certifikátu a lhůty z předpisu mezitím uplynou.
Co tady záměrně nenajdete, je tabulka typu „opatření normy X odpovídá paragrafu vyhlášky Y“. Takové párování vypadá užitečně, ale svádí k tomu, že se odškrtnutá položka v jednom sloupci vydává za splněnou povinnost ve druhém — přitom se liší rozsah, hloubka i to, co a komu se dokládá. Vztah konkrétního opatření ke konkrétnímu požadavku se dá poctivě posoudit jen nad konkrétní firmou a jejím rozsahem; obecná tabulka to nezvládne, a u chráněných textů norem by ji ani nešlo publikovat. Užitečná je proto úroveň o patro výš: které činnosti se dají použít vícekrát a které ne.
Když se něco dělá dvakrát, obvykle to není proto, že by to nešlo sdílet, ale proto, že to ve firmě vlastní dva různí lidé a každý si vede vlastní tabulku. Proto v projektech začínáme jedním registrem opatření a jedním registrem důkazů, ke kterým se teprve přiřazují adresáti — norma, vyhláška, zákaznický dotazník. Kdo na to hledá nástroj místo tabulek: přesně tohle dělá naše GRC platforma Observa, sedm dní zdarma a bez platební karty.
Běžná chyba je vybírat rámec podle velikosti firmy — „jsme malí, takže CIS, jsme velcí, takže ISO“. Velikost ovlivňuje pracnost, ne volbu. Rozhoduje to, co má být na konci výsledkem, a možnosti jsou v podstatě čtyři.
Čtyři situace níže se dají kombinovat, jen ne všechny najednou. Pokud vám vychází víc než jedna, seřaďte je podle toho, která má termín — regulace ho má vždycky, obchodní požadavek obvykle taky, vlastní zlepšování skoro nikdy.
Rozhodnutí zapište i s důvodem a datem. Za rok se bude ptát někdo jiný — nový zákazník, pojišťovna, nebo vlastní vedení při schvalování rozpočtu — a věta „vybrali jsme X, protože jsme potřebovali doložit Y“ ušetří druhé kolo stejné debaty. Když se volba zadrhne, bývá to obsah první konzultace: probrat, komu se co má doložit, a podle toho vybrat. A pokud chcete stav sledovat průběžně místo jednorázového snímku, máme na to vlastní GRC platformu Observa — sedm dní zdarma v omezeném rozsahu, bez platební karty a bez závazku, dál od 2 990 Kč měsíčně.
Konkrétní ceny tady neuvádíme, protože se u srovnatelných firem liší i dvojnásobně a nabídka certifikačního orgánu závisí na rozsahu. Uvádíme strukturu nákladů, protože ta je stejná vždycky a překvapení bývají v jejích méně viditelných částech.
U certifikace podle ISO/IEC 27001 se platí ve třech proudech. Prvním je certifikační orgán — cena se odvíjí od počtu osob v rozsahu systému řízení a od počtu lokalit; pravidla, podle kterých orgány dobu auditu počítají, jsou v normě ISO/IEC 27006-1. Druhým je příprava: interní čas lidí, kteří dosud dělali něco jiného, případně externí podpora. Třetím je udržení — dozorové audity v mezidobí a recertifikace před koncem tříletého cyklu, k tomu čas na interní audit a přezkum vedením každý rok. Kdo počítá jen s prvním rokem, spočítá si zhruba polovinu.
Časově nejdražší položkou přitom nebývá zavedení opatření, ale doba, po kterou musí systém běžet, aby po něm zůstaly záznamy. Auditor ve druhém stupni nechce vidět jen politiku, ale i to, že proběhl interní audit, přezkum vedením a že existují záznamy z běžného provozu. Tohle se nedá zrychlit penězi — je to kalendář a je to hlavní důvod, proč se cesta k certifikátu měří v měsících, ne v týdnech.
U CIS Controls a NIST CSF je struktura jednodušší: žádný auditor, žádný poplatek za znění, náklad je čas a případně nástroje. To je zároveň důvod, proč se u nich dá začít okamžitě a proč jsou rozumným prvním krokem i pro firmu, která k certifikaci teprve směřuje — práce se nezahodí, jen se k ní později doplní důkazy a formality.
Než si vyžádáte nabídku od certifikačního orgánu, mějte rozhodnutý rozsah a počet osob, které do něj spadají. S těmito dvěma údaji dostanete srovnatelné nabídky; bez nich dostanete čísla, která se nedají porovnat. Připravit podklad pro poptávku je práce na jedno odpoledne a ušetří víc než vyjednávání o ceně.
U regulací bývá na tomhle místě výčet termínů z předpisu. Tady žádné termíny nejsou — standardy je neukládají. Místo nich uvádíme realistické trvání jednotlivých cest. Údaje o certifikačním cyklu vyplývají z pravidel, kterými se řídí akreditované certifikační orgány; ostatní řádky jsou naše odhady z projektů a mění se hlavně s velikostí rozsahu a s tím, co ve firmě už funguje.
Tento průvodce je informativní a znění norem, rámců ani předpisů nenahrazuje. Texty norem a kritérií tu záměrně neopisujeme — u ISO, CIS i AICPA to nedovolují licenční podmínky. Všechny údaje výše jsou z těchto zdrojů, stav k 8. 8. 2026.
Než se rozhodnete pro rámec
Posouzení zralosti proti NIST CSF, ISO/IEC 27001 nebo CIS Controls, příprava na certifikaci včetně rozsahu a Prohlášení o aplikovatelnosti, gap analýza proti vyhláškám i čtení zpráv SOC 2 od dodavatelů. Cílem je jedna evidence opatření a důkazů, ze které se obslouží norma, předpis i dotazník od zákazníka.