Nový zákon o kybernetické bezpečnosti, česká implementace evropské směrnice NIS2, poprvé nutí tisíce firem řešit svou digitální odolnost prokazatelně a povinně. Výzkum však ukazuje, že na to většina institucí není připravená. Zákon je přitom účinný od listopadu 2025. Firmy se měly do konce tohoto roku samy posoudit a ohlásit Národnímu úřadu pro kybernetickou a informační bezpečnost (NÚKIB), zda a v jaké míře spadají pod tuto regulaci. Nyní běží ta náročnější část: na zavedení povinných bezpečnostních opatření mají firmy jeden rok. Přesný termín se liší podle toho, kdy NÚKIB potvrdil správnost registrace dané společnosti.

„Na základě našeho šetření víme, že více než 20 % firem v Česku hodnotí svou připravenost jako nedostatečnou. Naopak 46 %  firem se domnívá, že své povinnosti splní včas. I když je připravených většina, míra těch, kteří si nejsou jisti a kteří už nyní vědí, že jim ujíždí vlak, budí obavy,“ uvedl Ondřej Dědič, solution architect společnosti ESET, a dodal: „Roční lhůta se zdá jako velmi velkorysá, ale zavést řádná opatření není otázka týdnů, ale spíše měsíců intenzivní práce. Kdo zná svůj termín a začne ihned, dokáže pravděpodobně ještě vše zvládnout.“

Firmy si v kyberbezpečnosti věří, data však říkají něco jiného

Průzkum odhalil u českých firem trhlinu mezi sebevědomím a realitou. Tři čtvrtiny firem hodnotí své bezpečnostní schopnosti kladně. Jen třetina má ale zálohy, které odolají např. útoku ransomwarem, a jen čtvrtina si pravidelně ověřuje, že z nich data skutečně dostane zpět.

„Většina firem z našeho dotazování věří, že je na kybernetické incidenty dobře připravena. Platí to ale často jen do chvíle, dokud nedojde k prvnímu incidentu nebo případný audit neprokáže, že obnovu dat nikdy netestovala,“ poznamenal Dědič.

Odolnost je o rychlosti reakce a připravenosti

Bezpečností experti z ESETu dále upozorňují, že těžiště bezpečnosti se přesouvá. Dokonalá ochrana neexistuje a většina útoků se za poslední dva roky rapidně zrychlila. Dnešní kybernetické hrozby, a zejména pak podvody založené na sociálním inženýrství, jsou akcelerovány umělou inteligencí a odehrávají se v řádech minut. Cílem už není nebýt napaden, ale útok včas zachytit a rychle na něj zareagovat.

„Dnes již nerozhoduje, kolik nástrojů firma má. Rozhoduje, jestli si někdo včas všimne, že se něco děje. Deset bezpečnostních řešení, které nikdo nesleduje, vás v důsledku chrání hůř než jeden systém, který funguje,“ řekl Dědič.

Právě nepřetržitý dohled je přitom dle průzkumu ESETu pro menší tuzemské firmy nejtěžší. Vlastními silami ho zvládá zhruba jen pětina a dalších 24 % si pomáhá externím dohledem.

Tři kroky, které dává smysl udělat ihned

Firmám, které chtějí posílit svou odolnost a splnit povinnosti bez paniky, ESET radí začít od základů:

1. Zjistit přesný termín zavedení opatření pro konkrétní organizaci. Ověřit, do jakého režimu firma spadá a dokdy musí mít opatření zavedená. Pomůže kalkulačka na portálu NÚKIB.
2. Otestovat obnovu dat. Nejen, jestli zálohy existují, ale jestli z nich firma data skutečně obnoví. Firmy by si to ideálně měly vyzkoušet nanečisto dřív, než to bude nutné v ostrém provozu.
3. Zajistit rychlou reakci. Kde chybí vlastní bezpečnostní tým, zvážit službu, která dohled a zásah převezme, revidovat procesy pro případ incidentu a hlavně průběžně školit zaměstnance.

Chuť investovat do IT infrastruktury přitom roste. Výdaje na kybernetickou bezpečnost plánuje v příštím roce navýšit 61 % dotazovaných firem. Kde přesně stojí, si mohou ověřit v testu připravenosti, který jim podle jejich odpovědí ukáže, co řešit jako první.

Výzkum pro ESET provedla agentura Median na vzorku 827 firem v Česku s pěti a více zařízeními telefonického a online dotazování mezi IT manažery, správci sítí a dalšími pracovníky, kteří jsou odpovědní za IT nebo nákup bezpečnostních řešení.