Požadavky a odpovědnost · podrobnosti
Přístupy jsou odpovědností firmy
Neřízené přístupy, opožděné odebrání oprávnění nebo chybějící záznamy mohou firmu dostat do problémů při incidentu i kontrole. a regulace navazující na určují, které povinnosti musíte řešit. Následující přehled se soustředí na oblasti související s přístupy.
1 · Jednoznačná identita a ověřování
Firma potřebuje rozlišit jednotlivé uživatele a nastavit způsob jejich ověřování. V nižším režimu českého zákona o kybernetické bezpečnosti tyto oblasti rozvádí § 7 a § 8 vyhlášky č. 410/2025 Sb. Rozsah opatření vychází z příslušného režimu a regulované služby.
Před umožněním přístupu je potřeba ověřit oprávněného uživatele a chránit jeho autentizační údaje. Zvolený způsob musí odpovídat citlivosti systému a použitelným požadavkům. Kde je vyžadováno , musí pracovat s odlišnými typy faktorů. Samotná karta představuje faktor držení; automatické předání uloženého hesla z ní samo o sobě druhý nezávislý faktor nedělá.
2 · Přidělení, změna a odebrání přístupu
Pracovník potřebuje oprávnění odpovídající své práci. Při změně pozice se mají změnit i jeho přístupy; při odchodu je potřeba je odebrat. Firma má vědět, kdo přístupy přiděluje, kdo je kontroluje a podle čeho rozhoduje. Pro regulované organizace patří řízení identit, rolí a oprávnění mezi konkrétní bezpečnostní opatření. Přístup správce a běžného uživatele přitom mají odlišný účel.
Prakticky jde o celý životní cyklus přístupu: při nástupu jej přidělit, při změně práce upravit a po skončení potřeby odebrat. Vyhláška č. 410/2025 Sb. tyto oblasti řeší zejména v § 7; pro vyšší režim existují vlastní odpovídající požadavky.
3 · Ochrana osobních údajů
GDPR v článku 32 požaduje zabezpečení osobních údajů přiměřené riziku. Zahrnuje například šifrování, důvěrnost, dostupnost a pravidelné ověřování účinnosti opatření. Firma proto řeší ochranu při přenosu i uložení, oprávnění správců a obnovu po výpadku. Ochranu potřebují také údaje zaměstnanců v evidenci karet a související záznamy.
4 · Zaznamenávání relevantních událostí
Když se objeví podezřelá událost, potřebujete podklady pro její vyhodnocení. Zaznamenávání relevantních bezpečnostních událostí je součástí českých kyberbezpečnostních požadavků. Důležitý je obsah záznamu, jeho dostupnost, ochrana i doba uchování. Současně platí, že záznamy obsahující osobní údaje mají jasný účel a přiměřenou dobu uchování; jejich hromadění bez pravidel není cílem.
Pro nižší režim jde zejména o § 9 vyhlášky č. 410/2025 Sb. GDPR samo nestanovuje obecnou povinnost zaznamenat každé přihlášení; přiměřenost záznamů se posuzuje podle účelu a rizik.
Koho se povinnosti týkají a kolik může stát porušení
GDPR se uplatní při zpracování osobních údajů v jeho působnosti. Porušení článku 32 spadá do sazby až 10 milionů eur, nebo u podniku až 2 % celosvětového ročního obratu za předchozí finanční rok — podle toho, co je vyšší. Jde o horní hranici; konkrétní pokuta závisí na okolnostech porušení.
Český zákon č. 264/2025 Sb., který provádí NIS2, je účinný od 1. listopadu 2025. Dopadá na poskytovatele regulovaných služeb podle zákonných kritérií; samotné používání počítačů nebo provoz továrny nestačí. U vymezených přestupků může horní sazba ve vyšším režimu dosáhnout 250 milionů Kč nebo 2 % čistého celosvětového ročního obratu podniku; v nižším režimu 175 milionů Kč nebo 1,4 %. Použije se vyšší částka. Rozhoduje konkrétní povinnost, režim a okolnosti případu.
Co přináší CRA
řeší především bezpečnost digitálních produktů a povinnosti jejich výrobců. Oznamovací povinnosti podle článku 14 se uplatňují od 11. září 2026, hlavní požadavky od 11. prosince 2027. Pro zákazníka je to téma bezpečnosti nakupovaného produktu, podpory a řešení zranitelností. Běžným nasazením ChipLoginu se zákazník automaticky nestává výrobcem; CRA také nenahrazuje jeho vlastní povinnosti při provozu.