# IT bezpečnost pro daňové poradce a jejich klientské portály > Nahrávání dokladů, klientský portál, mzdová data: jak daňoví poradci zabezpečí systémy PHP proti PHP2Shell a ochrání data klientů i v období termínů. Zdroj: https://phpsos.de/cs/branchen/steuerberater/ Stav: 25.10.2026 Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6 **Stručně:** Pro IT bezpečnost daňových poradců je rozhodující, které systémy kancelář provozuje sama. Velké portály dodavatelů softwaru jsou v jejich odpovědnosti, vlastní web, formuláře pro nahrávání a datové místnosti naopak ve vaší. Ty teď patří na záplatované PHP, s restartem a písemným dokladem. ## Které systémy v daňových kancelářích běží na PHP Pro finanční účetnictví a mzdy používá většina kanceláří specializovaný software a jeho portály. Vedle toho s léty vznikají vlastní řešení: formulář pro nahrávání dokladů na webu, dotazníky k dani z příjmů, stránka pro nové zaměstnance klientů k zadání mzdových kmenových dat, portál pro uchazeče o práci nebo vlastní [Nextcloud](https://phpsos.de/cs/plattformen/nextcloud/) pro velké soubory. Tyto systémy běží téměř vždy na PHP a spravuje je agentura, IT firma nebo hosting. Právě malé formuláře upadají v zapomnění, protože byly jednou zřízeny a od té doby prostě fungují. Nahrané doklady pak často leží roky ve složce pro nahrávání na webovém serveru, ačkoli jsou už dávno zpracovány v kancelářském softwaru. ## Jaká data jsou v sázce Daňové kanceláře zpracovávají data v hustotě, jaké dosahuje málokterý obor: IBAN a bankovní výpisy, daňová identifikační čísla, doklady o příjmech, seznamy společníků a mzdové výkazy. Mzdová data někdy obsahují i zvláštní kategorie podle čl. 9 GDPR, například příslušnost k církvi pro církevní daň. K tomu přistupuje profesní mlčenlivost: daňoví poradci jsou povinni mlčenlivosti, neoprávněné vyzrazení může být podle § 203 StGB (německý trestní zákoník) trestné. A mnoho dotčených osob nejsou vaši klienti, nýbrž jejich zaměstnanci. Při úniku se tak okruh dotčených rychle rozrůstá. ## IT bezpečnost daňového poradce: co incident konkrétně způsobí Útok na daňovou kancelář má typické následky, které se liší od jiných oborů: - **Podvod se skutečnými daty:** Kdo zná faktury, bankovní spojení a kontaktní osoby, může klientům posílat klamavě věrohodné výzvy k platbě. - **Tlak termínů:** Když portál pro nahrávání vypadne v období podávání, doklady se hromadí a klienti uhýbají k nebezpečným cestám, jako jsou nešifrované e-maily. - **Důvěra:** Klienti spoléhají na to, že jejich finance zůstanou důvěrné. Incident, o kterém se dozvědí z tisku, váží víc než ten, o kterém je kancelář sama věcně informuje. > **Jednejte ihned:** > Pokud váš portál pro nahrávání stojí na serveru, jehož stav záplat PHP nikdo nedokáže potvrdit, odpojte ho od sítě, dokud nebude záplata a restart doložen. Tak to BSI (německý spolkový úřad pro informační bezpečnost) doporučuje u serverů, které nelze okamžitě aktualizovat. ## Mezera v odpovědnosti mezi IT firmou a agenturou IT firma spravuje kancelářský software a pracovní stanice, agentura web, hosting server. Kdo odpovídá za PHP na webovém serveru, stojí ve smlouvě jen zřídka výslovně. Vyjasněte si to nyní a nechte si potvrdit stav balíčku. Jak údaje zhodnotit, vysvětluje návod [Kontrola verze PHP a stavu záplat](https://phpsos.de/cs/php2shell/php-version-pruefen/). Opravené verze jsou PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pokud rozhraní ukazuje starší verzi, může být přesto nasazen backport. A naopak, aktualizace bez restartu procesů PHP nestačí. ## Co by klienti měli nyní od vás vědět Klienti reagují na zprávy o bezpečnostních zranitelnostech nejistotou, zvlášť pokud pravidelně nahrávají doklady. Důvěru pak buduje krátká, věcná informace: jaké cesty pro výměnu dokladů nyní platí, že kancelář nikdy nemění bankovní spojení e-mailem a že podezřelé výzvy k platbě je třeba ověřit telefonicky. Pro firemní klienty je užitečný ještě jeden pokyn: mzdové účtárny a personální oddělení by měly být obzvlášť pozorné u dotazů na platová data nebo změněná bankovní spojení zaměstnanců. Takové pokusy o podvod rády využívají znalosti pocházející z kanceláří. Zda konkrétní incident vyžaduje formální oznámení podle GDPR, je samostatná otázka, kterou vyjasníte s pověřencem pro ochranu osobních údajů. ## První hodiny pro vedení kanceláře 1. Sepsat všechny vlastní systémy s PHP dostupné z internetu, včetně starých formulářů a testovacích instalací. 2. U každého systému nechat písemně potvrdit stav záplat a restart, nebo ho dočasně vypnout. 3. Zajistit logy od 20. 10. 2026 a stanovit bezpečnou náhradní cestu pro výměnu dokladů. 4. Brzy informovat pojišťovnu a pověřence pro ochranu osobních údajů. Co vyžaduje vaše smlouva, objasňuje stránka o [kyberpojištění](https://phpsos.de/cs/compliance/cyberversicherung/). ## Jak konkrétně pomáhá PHP SOS? - Zmapujeme všechny externě dostupné systémy PHP kanceláře a ujasníme, které leží u dodavatele softwaru a které u vás. - V rámci [okamžité pomoci při PHP2Shell](https://phpsos.de/cs/leistungen/php2shell-soforthilfe/) záplatujeme nebo necháme záplatovat, restartujeme všechny workery a výsledek doložíme. - Zkontrolujeme adresáře pro nahrávání a databáze na webshelly a neznámé přístupy. - Uklidíme: co se už nepoužívá, po dohodě vypneme místo toho, abychom to dál záplatovali. - Díky [servisní smlouvě pro bezpečnost](https://phpsos.de/cs/leistungen/security-wartungsvertrag/) zůstane odpovědnost za PHP poté jasně upravena. ## Časté dotazy **Týká se výměna dokladů přes velké softwarové portály i nás?** Portály, které provozuje dodavatel softwaru ve vlastním datacentru, jsou v jeho odpovědnosti. Za jejich stav záplat odpovídá dodavatel. Postiženy mohou být především systémy, které vaše kancelář provozuje sama nebo přes agenturu, například webové formuláře, stránky pro nahrávání nebo vlastní Nextcloud. **Proč jsou data daňových poradců pro útočníky tak zajímavá?** Daňová kancelář soustředí data mnoha firem a soukromých osob: bankovní spojení, příjmy, daňová identifikační čísla a mzdová data zaměstnanců. S nimi lze připravit věrohodné podvodné e-maily a zneužití identity. Jediný incident tak často zasáhne stovky lidí, které kancelář nikdy přímo nezaměstnala. **Co dělat, když musí portál uprostřed období podávání odejít offline?** Předem stanovte náhradní cestu pro výměnu dokladů, například šifrované předání přes nepostižený systém. Klienty informujte stručně a věcně. Termíny a případná prodloužení lhůt řešíte jako obvykle odborně; portál odpojený od sítě není náhradou za domluvu. **Zaplatí kyberpojištění, když jsme byli nezáplatovaní?** Záleží na podmínkách a povinnostech ve vaší smlouvě. Informujte pojišťovnu včas a zdokumentujte, kdy jste jaké opatření provedli. Závaznou informaci poskytne jen pojišťovna nebo váš makléř. ## Zdroje - [php.net: bezpečnostní oznámení](https://www.php.net/) - [php.net: podporované verze](https://www.php.net/supported-versions.php) - [BSI: varování a doporučení](https://www.bsi.bund.de/)