Odpovědná osoba za kybernetickou bezpečnost: kdo to má být a co reálně dělá

Podle § 4 vyhlášky 410/2025 Sb. musí vrcholné vedení určit fyzickou osobu odpovědnou za zajišťování kybernetické bezpečnosti. Zní to jako formalita. Není.

Kdo to má být

V typické firmě s 50 až 249 zaměstnanci to bývá vedoucí IT nebo IT manažer. Důležitější než titul jsou tři věci:

1. Rozumí prostředí firmy. Ví, které systémy jsou kritické a kdo v nich pracuje.
2. Má přístup k vedení. Když potřebuje rozpočet nebo rozhodnutí, dostane se k němu.
3. Má kapacitu. Nula hodin týdně znamená nula zavedených opatření.

Nesmí to být: oddělení, tým, ani „externí IT firma“. Zákon chce fyzickou osobu.

Co má obsahovat jmenování

Písemný dokument podepsaný statutárním orgánem i jmenovanou osobou. Uvádí:

• jméno a pozici jmenované osoby,
• vymezení působnosti - za co konkrétně odpovídá,
• pravomoci - co může rozhodnout sama, včetně práva odpojit systém v naléhavém případě,
• komu se zodpovídá a jak často reportuje,
• kontaktní údaje pro NÚKIB.

Jaké pravomoci reálně potřebuje

Nejčastější důvod, proč jmenování nefunguje, je odpovědnost bez pravomoci. Odpovědná osoba potřebuje aspoň:

• právo vyžadovat součinnost od ostatních útvarů a od dodavatelů,
• právo rozhodnout v naléhavém případě o odpojení systému,
• vyhrazenou kapacitu - ideálně konkrétní počet hodin týdně,
• rozpočet nebo aspoň jasný postup, jak o něj žádat,
• přímý přístup k vedení minimálně čtvrtletně.

Co odpovědná osoba dělá v praxi

Týdně to bývá jedna až tři hodiny, pokud má nástroj a nesbírá věci ručně:

• projít úkoly s termínem v tomto týdnu,
• doplnit důkazy k dokončeným činnostem,
• reagovat na bezpečnostní upozornění,
• jednou za čtvrtletí připravit report pro vedení,
• jednou ročně aktualizovat přehled opatření, spustit školení a revizi přístupů.

Co dělat při změně osoby

Když odpovědná osoba odejde:

1. Vydejte nové jmenování.
2. Aktualizujte kontaktní údaje v registraci u NÚKIB.
3. Předejte přístupy do nástrojů a dokumentaci.
4. Upravte interní dokumenty, kde je jméno uvedené.

Zapomenutý kontakt v registraci je klasika. Úřad pak píše na adresu člověka, který ve firmě rok nepracuje.

Časté dotazy