Seriál Kybernetický zákon v praxi obcí

Od listopadu 2025 platí nový zákon o kybernetické bezpečnosti č. 264/2025 Sb. a s ním povinnosti, které poprvé dopadají přímo na obce. V úvodním dílu seriálu shrnujeme, koho se regulace týká, podle čeho se řídit a jaké lhůty běží – protože právě lhůty budou v následujících měsících rozhodovat.

Kde začít, když je povinností mnoho a času málo? Vyhláška č. 410/2025 Sb. na to dává překvapivě praktickou odpověď: přehledem bezpečnostních opatření podle přílohy č. 1. Je to zároveň plán, důkaz i ochrana úřadu.

Zatímco ORP mají na splnění povinností čas do přelomu roku, obce I. a II. typu často netuší, že jejich lhůta končí už 31. října 2026. Povinnost jim neukládá kybernetický zákon přímo, ale § 5b zákona č. 365/2000 Sb., o informačních systémech veřejné správy. Tento díl je návod, co za zbývající týdny reálně stihnout.

Vyhláška č. 410/2025 Sb. míří výš, než bývá zvykem: povinnosti ukládá přímo vrcholnému vedení úřadu. Podpis pod směrnicí nestačí – vedení musí bezpečnost řídit, financovat a prokazatelně se o ni zajímat.

Bezpečnostní dokumentace má mezi informatiky pověst nutného zla. Nová regulace ji ale staví do jiné role: je to důkazní materiál úřadu. Co přesně § 3 vyhlášky č. 410/2025 Sb. požaduje a jak to zvládnout bez šanonové tyranie?

Naprostá většina úspěšných útoků na úřady nezačíná prolomením firewallu, ale e-mailem, který někdo otevřel. Vyhláška č. 410/2025 Sb. proto v § 5 věnuje celou pasáž bezpečnosti lidských zdrojů. Jak školit, aby to mělo smysl – a obstálo při kontrole?

Až incident přijde, nebude rozhodovat firewall, ale odpověď na dvě otázky: máme funkční zálohy a víme, co obnovit první? Přesně to požaduje § 6 vyhlášky č. 410/2025 Sb. o řízení kontinuity činností.

Sdílený účet „urad“ s heslem na nástěnce je nejlevnější vstupenka útočníka do systémů radnice. Paragrafy 7 a 8 vyhlášky č. 410/2025 Sb. proto řízení přístupů a identit upravují nezvykle konkrétně – včetně minimální délky hesel.