Jak posílit kybernetickou odolnost firmy a bez paniky splnit ZoKB povinnosti

Nový zákon o kybernetické bezpečnosti dopadá na tisíce českých firem a už několik měsíců je v platnosti. Podle výzkumu společnosti ESET ale třetina dotázaných firem nemá plán, jak jeho požadavky naplnit, a skoro polovina stále neví, do jakého režimu spadá. Zavedení příslušných opatření přitom trvá měsíce.

Nový zákon o kybernetické bezpečnosti, česká implementace evropské směrnice NIS2, poprvé nutí tisíce firem řešit svou digitální odolnost prokazatelně a povinně, a výzkum ukazuje, že na to většina není připravená. Zákon je účinný od listopadu 2025.

Firmy se měly do konce roku 2026 samy posoudit a ohlásit Národnímu úřadu pro kybernetickou a informační bezpečnost (NÚKIB), zda a v jaké míře spadají pod tuto regulaci. Nyní běží ta náročnější část - na zavedení povinných bezpečnostních opatření mají firmy jeden rok. Přesný termín se liší podle toho, kdy NÚKIB potvrdil správnost registrace dané společnosti.

"Na základě našeho šetření víme, že více než 20 % firem v Česku hodnotí svou připravenost jako nedostatečnou. Naopak 46 % firem se domnívá, že své povinnosti splní včas. I když je připravených většina, míra těch, kteří si nejsou jisti a kteří už nyní vědí, že jim ujíždí vlak, budí obavy. Roční lhůta se zdá jako velmi velkorysá, ale zavést řádná opatření není otázka týdnů, ale spíše měsíců intenzivní práce. Kdo zná svůj termín a začne ihned, dokáže pravděpodobně ještě vše zvládnout," říká Ondřej Dědič, Solution Architect ve společnosti ESET v Praze.

Firmy si v kyberbezpečnosti věří, data však říkají něco jiného

Výzkum odhalil u českých firem trhlinu mezi sebevědomím a realitou. Tři čtvrtiny firem hodnotí své bezpečnostní schopnosti kladně. Jen třetina má ale zálohy, které odolají např. útoku ransomwarem, a jen čtvrtina si pravidelně ověřuje, že z nich data skutečně dostane zpět.

Většina firem z dotazování výzkumu věří, že je na kybernetické incidenty dobře připravena. Platí to ale často do chvíle, dokud nedojde k prvnímu incidentu nebo případný audit neprokáže, že obnovu dat nikdy netestovala.

Odolnost je o rychlosti reakce a připravenosti

Bezpečností experti z ESETu dále upozorňují, že těžiště bezpečnosti se přesouvá. Dokonalá ochrana neexistuje a většina útoků se za poslední dva roky rapidně zrychlila. Dnešní kybernetické hrozby, a zejména pak podvody založené na sociálním inženýrství, jsou akcelerovány umělou inteligencí a odehrávají se v řádech minut. Cílem už není nebýt napaden, ale útok včas zachytit a rychle na něj zareagovat.

Dnes již nerozhoduje, kolik nástrojů firma má. Rozhoduje, jestli si někdo včas všimne, že se něco děje. Deset bezpečnostních řešení, které nikdo nesleduje, vás v důsledku chrání hůř než jeden systém, který funguje.

Právě nepřetržitý dohled je přitom dle výzkumu pro menší tuzemské firmy nejtěžší. Vlastními silami ho zvládá zhruba jen pětina a dalších 24 % si pomáhá externím dohledem.

Tři kroky, které dává smysl udělat ihned

Firmám, které chtějí posílit svou odolnost a splnit povinnosti bez paniky, ESET radí začít od základů.

Zjistit přesný termín zavedení opatření pro konkrétní organizaci. Ověřit, do jakého režimu firma spadá a dokdy musí mít opatření zavedená. Pomůže kalkulačka na portálu NÚKIB.

Otestovat obnovu dat. Nejen, jestli zálohy existují, ale jestli z nich firma data skutečně obnoví. Firmy by si to ideálně měly vyzkoušet nanečisto dřív, než to bude nutné v ostrém provozu.

Zajistit rychlou reakci. Kde chybí vlastní bezpečnostní tým, zvážit službu, která dohled a zásah převezme, revidovat procesy pro případ incidentu a hlavně průběžně školit zaměstnance.

Chuť investovat do IT infrastruktury přitom roste. Výdaje na kybernetickou bezpečnost plánuje v příštím roce navýšit 61 % dotazovaných firem. Kde přesně stojí, si mohou ověřit v testu připravenosti, který jim podle jejich odpovědí ukáže, co řešit jako první.

Výzkum antivirového a bezpečnostního softwaru B2B - firmy

Výzkum pro ESET realizovala agentura Median na vzorku 827 firem v Česku s pěti a více zařízeními v období od 1. 4. do 4. 5. 2026 kombinací telefonického a online dotazování mezi IT manažery, správci sítí a dalšími pracovníky, kteří jsou odpovědní za IT nebo nákup bezpečnostních řešení.

Hodnocení odborných kapacit v oblasti kybernetické bezpečnosti

Necelé tři čtvrtiny (74 %) oslovených hodnotily odbornou kvalifikaci zaměstnanců týmu odpovědného za kybernetickou bezpečnost v jejich firmě kladně. Téměř třetina (30 %) představitelů největších společností (500 a více zaměstnanců) považuje odbornou úroveň týmu za maximální, stejný názor však zastává jen 16 % respondentů z firem o 6 až 49 zaměstnancích.

Ve společnostech, které k ochraně koncových stanic využívají ESET a/nebo NOD32, je pozitivní hodnocení odbornosti významně častější - 80 % dotázaných.

Bezpečnostní monitoring a reakce - SOC/MDR

Necelá čtvrtina společností má bezpečnostní monitoring zajištěný interními zdroji nepřetržitě (23 %), pro přibližně stejnou část ho řeší 24/7 externí dodavatel (24 %). Pětina firem (22 %) je schopna zajistit bezpečnostní monitoring a reakci jen v pracovní době.

Největší společnosti (dle počtu PC, zaměstnanců i obratu) řeší monitoring interně 24/7, zatímco ty malé nejčastěji uváděly, že bezpečnost monitorují a reagují jen v pracovní době.

Možnost jen v pracovní době zvolila také největší část společností se sídlem na Moravě (26 %), zatímco v Praze se jedná jen o 16 %.

Mezi zákazníky ESETu převládá nákup monitoringu jako externí služby (31 %, ostatní 20 %), naopak významně méně si ho zajišťují sami 24/7 (19 %, ostatní 26 %).

Podíl těch, kteří žádný monitoring nemají a na hrozby reagují ad hoc, je významně vyšší mezi českými firmami (19 %) oproti pobočkám zahraničních společností (12 %).

Časový plán plnění povinností ZoKB

Třetina firem (34 %) očekává, že požadavky související se zavedením ZoKB bude schopna splnit do 12 měsíců, další třetina (35 %) však zatím vůbec nemá konkrétní plán. To se ve větší míře týká českých společností (38 %) než firem vlastněných zahraničním kapitálem (18%). I v této otázce se tedy potvrzuje obecně menší připravenost firem s českým vlastníkem na přizpůsobení se podmínkám nového zákona.

Odolnost záloh proti ransomwaru

Zálohy odolné vůči ransomwaru má necelá třetina dotázaných společností (32 %), 39 % deklaruje částečnou odolnost záloh a pětina oslovených neví (21 %).

Mezi firmami s ročním obratem od 300 mil. Kč výše potvrdilo odolné zálohy 41 %, zatímco u malých subjektů do10 mil. Kč se jedná jen o pětinu (21 %).

Plnění povinností ZoKB

Více než polovina dotázaných společností (51 %) má již splněna technická bezpečnostní opatření, ke stejné hodnotě se blíží i podíl firem, které již připravily povinnou dokumentaci (48 %) a evidenci a řízení kybernetických rizik (43 %). Každá pátá firma však ještě v souvislosti se ZoKB nepřipravila nic. Nejméně jsou (s výjimkou technických opatření, kde jsou čísla napříč kategoriemi vyrovnaná) připravené nejmenší společnosti do 25 PC.

Téměř třetina z nich (30 %) ještě žádné opatření nezavedla. Incident response plán nachystaly významně častěji pobočky zahraničních firem (31 %) než společnosti vlastněné českým kapitálem (20 %) a pražské firmy (28 %) oproti firmám ze zbytku Čech (19 %).

Testování obnovy dat

Čtvrtina společností testuje obnovu dat ze záloh minimálně jednou za měsíc, třetina (34 %) alespoň jednou za čtvrtletí. Dotázaní, kteří spontánně znají ESET a/nebo NOD32, významně častěji deklarují nejvyšší frekvenci restore testu (28 % minimálně jednou měsíčně) nežti, kteří si na ESET nevzpomněli (20 %).

Režim ZoKB

Do vyššího režimu z hlediska Zákona o kybernetické bezpečnosti spadá téměř pětina oslovených firem (19 %). Skoro polovina respondentů (46 %) však v době průzkumu ještě neměla jasno, do kterého režimu se jejich společnost zařadí. Největší nejistota panuje mezi malými firmami do 25 PC, 56 % z nich nedokázalo režim určit, zatímco mezi středně velkými jde o významně méně dotázaných (40% firmy o 50 až 100 PC, 36 % firmy o 100 až 200 PC).

Také polovina (49 %) ryze českých společností nevěděla, do kterého režimu se zařadit, kdežto mezi zahraničními nemělo jasno jen 27 %.

Z velkých společností spadá do vyššího režimu zhruba třetina (měřeno počtem PC, zaměstnanců i ročním obratem), z nejmenších okolo 10 %.

Mezi zákazníky ESETu (kteří využívají ESET a/nebo NOD32 k ochraně koncových stanic) je významně méně firem spadajících do vyššího bezpečnostního režimu (13 %) než mezi ostatními (23 %).