Kyberbezpečnost pro malé firmy: co dnes musíte zvládnout (a co přikazuje nový zákon)

Ještě před pár lety platilo, že kyberzločince zajímají hlavně banky a velké korporace. Dnes je realita jiná. Útočníci vědí, že malá a střední firma bývá hůř zabezpečená, přitom má cenná data, přístup k účtům a často i k systémům svých větších odběratelů. K tomu se přidal nový zákon o kybernetické bezpečnosti, který od podzimu 2025 posunul laťku i pro firmy, jež do té doby žádné povinnosti neměly.

Dobrá zpráva zní, že se nemusíte přes noc stát bezpečnostním expertem. Většinu běžných útoků zastaví několik základních opatření, která zvládne i firma bez vlastního IT oddělení. Tenhle text vám ukáže, co dnes musíte řešit, co po vás chce zákon a kde má smysl začít.

Proč jsou terčem právě menší firmy

Velké společnosti mají bezpečnostní týmy, vlastní analytiky a rozpočty v řádech milionů. Malá firma má obvykle jednoho externího ajťáka, málo času a spoustu jiných starostí. Přesně tuhle asymetrii útočníci využívají. Nejde jim o cílený útok na konkrétní jméno — pracují plošně, automatizovaně, a hledají, kde je vrátka pootevřená.

Typický scénář nebývá geniální hack, ale banalita: zaměstnanec klikne na odkaz v podvodném e-mailu, zadá přihlašovací údaje na falešnou stránku a útočník se přihlásí do firemní pošty nebo cloudu. Odtud už je krok k rozeslání faktur s podvrženým číslem účtu nebo k zašifrování dat ransomwarem. Průměrné náklady na takový incident u malé firmy se pohybují v řádu stovek tisíc korun — a to ještě nepočítáme výpadek provozu a ztrátu důvěry klientů.

Nový zákon o kybernetické bezpečnosti: koho se týká

Od 1. listopadu 2025 je v Česku účinný nový zákon o kybernetické bezpečnosti č. 264/2025 Sb., který do českého práva zavádí evropskou směrnici NIS2. Zásadní změna je v tom, že regulace se už netýká jen státní sféry a velkých hráčů — nově dopadá i na střední firmy a poskytovatele digitálních služeb. Podle odhadů se může dotknout až deseti tisíc subjektů, přičemž řada z nich zatím vůbec netuší, že pod novou legislativu spadá.

Kdo je „povinný subjekt“

Zjednodušeně řečeno jde o firmy v regulovaných sektorech — energetika, doprava, zdravotnictví, bankovnictví, ale také IT, e-commerce, výroba, telekomunikace a některé služby —, které překročí určitou velikost, typicky více než 50 zaměstnanců nebo obrat nad 10 milionů eur. Pod zákon se dostanou i menší firmy, pokud jsou dodavateli kritických systémů pro jiné regulované subjekty. Jestli spadáte pod regulaci, si můžete ověřit v samohodnoticím průvodci na portálu NÚKIB.

Co zákon nařizuje

Povinné subjekty musí zavést odpovídající bezpečnostní opatření, určit osobu odpovědnou za kybernetickou bezpečnost, vést dokumentaci svých procesů a — což bývá nejcitlivější bod — hlásit bezpečnostní incidenty do 24 hodin od jejich zjištění. Po účinnosti zákona se firmy musí do 60 dnů zaregistrovat u NÚKIB a konkrétní požadavky pak splnit v roční lhůtě. Za nesplnění hrozí sankce až 10 milionů eur nebo 2 % z celkového ročního obratu. NÚKIB navíc počítá s elektronickými i fyzickými kontrolami.

I když vaše firma pod zákon nespadá, opatření, která popisujeme níž, jsou v podstatě tím, co po povinných subjektech regulace chce. Vyplatí se je zavést tak jako tak — jsou to prostě dobré základy.

Šest opatření, která dají největší efekt

Zkušenost bezpečnostních firem je konzistentní: naprostou většinu běžných hrozeb zastaví několik správně zvolených základů. Nemusíte začínat drahými technologiemi, začněte tímhle.

1. Vícefaktorové ověřování všude, kde to jde

Samotné heslo dnes nestačí. Pokud útočník získá přihlašovací údaje vašeho zaměstnance — třeba z úniku dat na úplně jiném webu, kde použil stejné heslo —, druhý faktor mu zabrání dostat se dál. Zapněte vícefaktorové ověřování (MFA) na firemní e-mail, cloudové úložiště, VPN i všechny důležité aplikace. Je to jeden z nejlevnějších a zároveň nejúčinnějších kroků vůbec.

2. Zálohy podle pravidla 3-2-1

Tři kopie dat, na dvou různých typech médií, jedna z nich mimo firmu nebo v cloudu. A hlavně: zálohy testujte. Záloha, ze které neumíte data obnovit, není záloha. Ransomware dokáže firmu paralyzovat na dny i týdny a ověřená záloha je přesně ten rozdíl mezi zvládnutelným incidentem a existenční krizí. Zálohování dat je jiný svět než záložní napájení, ale logika je stejná — kontinuitu provozu řešíte předem, ne až když nastane problém. Provázat obojí do jednoho plánu kontinuity provozu se vyplatí.

3. Aktualizace bez výjimek

Záplatování systémů je nudná, neviditelná práce — a přitom drtivá většina úspěšných útoků zneužívá zranitelnosti, na které záplata existuje celé měsíce. Útočník jen čeká, kdo ji nenainstaloval. Nastavte automatické aktualizace všude, kde to jde, a u kritických systémů mějte přehled, co běží a jestli je to aktuální.

4. Ochrana firemního e-mailu

E-mail je brána číslo jedna. Správně nastavené technické záznamy (SPF, DKIM a DMARC) útočníkům ztěžují, aby se za vaši doménu vydávali a rozesílali podvodné zprávy vaším jménem. Ke stejné disciplíně patří i zabezpečený firemní web s aktuálním certifikátem a udržovaným systémem — zanedbaný web bývá dalším snadným vstupním bodem.

5. Lidé, ne jen technologie

Nejlepší firewall nezachrání firmu, ve které zaměstnanec bez rozmyslu zadá heslo do podvodného formuláře. Pravidelné, krátké a srozumitelné školení — jak poznat phishing, proč neposílat hesla e-mailem, co dělat při podezření — je investice s jednou z nejvyšších návratností. Nejde o strašení, ale o to, aby lidé věděli, na co si dát pozor.

6. Plán pro případ, že se to stane

Otázka nezní jestli, ale kdy vás někdo zkusí. Mějte předem jasno, kdo incident řeší, koho voláte, jak odpojíte zasažené systémy a odkud obnovíte data. Pár stránek napsaných v klidu ušetří hodiny paniky ve chvíli, kdy se něco děje. A pokud incident přesto způsobí výpadek, má smysl znát rozdíl mezi tím, co pokryje pojištění přerušení provozu, a tím, co musíte ustát z vlastní rezervy.

Kolik to stojí — a kolik stojí nedělat nic

Většina opatření výše je levná nebo úplně zdarma; jde spíš o čas a disciplínu než o rozpočet. MFA bývá součástí služeb, které už platíte. Zálohovací nástroje stojí řádově stokoruny měsíčně. Školení lze zvládnout interně za odpoledne. Proti tomu stojí náklady jediného vážného incidentu — obnova dat, dny bez provozu, ušlé zakázky, případné sankce a hlavně důvěra klientů, která se buduje roky a ztrácí za den. V téhle rovnici nevychází „počkáme, až to bude nutné“ nikdy dobře.

Kde začít, když nevíte kudy

Nemusíte zvládnout všechno najednou. Udělejte si jednoduchý přehled: kde máte firemní data, kdo k nim má přístup, kde všude se přihlašujete heslem a jestli tam máte druhý faktor. Zapněte MFA na e-mail a cloud ještě dnes. Ověřte, že máte funkční zálohu a že z ní umíte obnovit. Zbytek doplňujte postupně. A pokud spadáte mezi povinné subjekty podle nového zákona, nečekejte na kontrolu — NÚKIB k tomu vydal praktické manuály a promeškanou registraci je lepší napravit dřív než později.

Časté otázky

Týká se nový zákon o kybernetické bezpečnosti i mojí malé firmy?

Záleží na sektoru a velikosti. Povinnosti dopadají hlavně na firmy v regulovaných oborech (energetika, doprava, zdravotnictví, IT, e-commerce, výroba a další), které mají přes 50 zaměstnanců nebo obrat nad 10 milionů eur, případně dodávají kritické systémy jiným regulovaným subjektům. Jestli mezi ně patříte, ověříte v samohodnoticím průvodci na portálu NÚKIB.

Do kdy se musí hlásit bezpečnostní incident?

Povinné subjekty musí incident nahlásit do 24 hodin od jeho zjištění. Právě proto se vyplatí mít předem připravený postup — kdo incident vyhodnotí a kdo hlášení odešle —, aby vás lhůta nezaskočila.

Jaké jediné opatření udělá nejvíc, když mám čas jen na jedno?

Zapněte vícefaktorové ověřování na firemní e-mail a cloud. Většina útoků začíná kompromitací přihlašovacích údajů a druhý faktor je zastaví, i když útočník vaše heslo zná. Je to levné, rychlé a účinné.

Co je pravidlo zálohování 3-2-1?

Tři kopie dat, uložené na dvou různých typech médií, přičemž jedna kopie je mimo firmu nebo v cloudu. K tomu patří pravidelné testování obnovy — teprve tím se ze zálohy stává skutečná pojistka proti ransomwaru i běžné havárii disku.

Hrozí za nesplnění povinností sankce?

Ano. Za nesplnění povinností podle nového zákona hrozí povinným subjektům pokuta až do výše 10 milionů eur nebo 2 % z celkového ročního obratu. NÚKIB navíc počítá s elektronickými i fyzickými kontrolami.

Přečtěte si také: Kyberbezpečnost není jediná evropská regulace, která letos dopadá na malé firmy. Od 2. srpna 2026 platí pravidla transparentnosti AI Actu — co začne platit a co se odložilo.