Dotazník NIS2 od odběratele: jak ho vyplnit

Vyplňování dotazníku kybernetické bezpečnosti u stolu s notebookem a zámkem

Firmy, které spadají pod nový zákon o kybernetické bezpečnosti, rozesílají svým dodavatelům dotazníky a nové přílohy smluv. Když vám takový přijde, nemusíte panikařit, ale nevyplňujte ho ani od stolu samými „ano“. Co v něm obvykle je a jak ho zvládnout?

Proč vám dotazník přišel

Od 1. listopadu 2025 platí zákon č. 264/2025 Sb. o kybernetické bezpečnosti, který do českého práva převádí evropskou směrnici NIS2. Regulované firmy a instituce musí podle § 13 odst. 5 vybírat dodavatele podle bezpečnostních požadavků a ty promítnout do smluv. Okruhy, které má smlouva pokrýt, stanoví vyhlášky č. 409/2025 Sb. a 410/2025 Sb.: například bezpečnost informací, audit dodavatele, poddodavatele, hlášení incidentů nebo kontinuitu činností.

Požadavky se týkají jen dodavatelů, jejichž práce souvisí s IT, daty nebo přístupy odběratele. Pokud jim čistíte okna, dotazník dostat nemusíte. Pokud spravujete jejich web, vedete jim účetnictví nebo servisujete počítače, počítejte s ním.

Pět věcí, na které se ptají skoro vždy

Dvoufázové přihlášení. Je zapnuté u e-mailu, cloudu a bankovnictví? Pokud ne, zapněte ho jako první. Zabere to minuty a je to nejčastější díra.
Ochrana e-mailu. Má vaše doména nastavené záznamy SPF, DKIM a DMARC? Bez nich může kdokoli poslat e-mail, který vypadá, že je od vás, třeba s podvodnou fakturou.
Zálohy. Zálohujete mimo počítač a mimo kancelář a zkusili jste obnovu? Záloha, kterou nikdo nezkusil obnovit, je jen naděje.
Aktualizace. Kdo hlídá aktualizace systému, programů a webu? Stačí jedna věta, ale musí být pravdivá.
Hlášení incidentů. Komu a do kdy dáte vědět, když vám někdo napadne e-mail nebo ztratíte notebook s daty odběratele.

Jak dotazník vyplnit

Odpovídejte pravdivě. Pokud něco nemáte, napište, do kdy to zavedete. Nepravdivé „ano“ ve smlouvě je horší než poctivé „zavedeme do konce měsíce“, protože smlouva odběrateli často dává právo vás auditovat.

Odpovědi si uložte. Další odběratel se bude ptát na totéž. Nejlepší je mít jednou sepsaný krátký bezpečnostní profil firmy, dvě strany o tom, jak to u vás funguje, a posílat ho jako přílohu.

Právní stránku nepodceňujte. Smlouva může obsahovat sankce nebo právo odběratele smlouvu ukončit. Znění si nechte projít právníkem, technické odpovědi s vámi rádi dáme dohromady my.

Rychlý test, který zvládnete hned

Zkontrolujte, jestli máte u e-mailu zapnuté dvoufázové přihlášení. Pak pošlete zkušební e-mail na adresu, kterou vám ukáže bezplatný test mail-tester.com, a podívejte se, jestli prochází SPF, DKIM a DMARC. Pokud ne, máte první úkol.

Celé to s vámi projdeme, opravíme, co chybí, a připravíme bezpečnostní profil i postup při incidentu v rámci služby NIS2 pro dodavatele.

Mohlo by vás zajímat

Všechny články