Stručně: IT bezpečnost patří k úkolům vedení společnosti. Odpovědnost jednatele za IT bezpečnostní mezery se diskutuje především tehdy, když známá rizika nebyla přiměřeně řešena, odpovědnosti nebyly upraveny nebo rozhodnutí nebyla učiněna srozumitelně. U situací jako PHP2Shell pomáhá jasné, zdokumentované rozhodnutí na základě dostupných faktů. Tato stránka je obecná informace, nikoli právní poradenství.
Žádné právní poradenství: otázky odpovědnosti silně závisejí na jednotlivém případu, právní formě a smluvních úpravách. Konkrétní otázky nechte posoudit advokátkou nebo advokátem se zaměřením na právo obchodních společností.
Odpovědnost jednatele a IT bezpečnost: obecný rámec
Pro jednatele společnosti s ručením omezeným (GmbH) vyžaduje § 43 GmbHG (německý zákon o společnostech s ručením omezeným) péči řádného obchodníka. Pro členy představenstva akciové společnosti obsahuje § 93 AktG (německý akciový zákon) srovnatelnou úpravu; § 91 odst. 2 AktG navíc vyžaduje vhodná opatření k včasnému rozpoznání vývoje, který ohrožuje existenci společnosti. Z těchto obecných povinností se v odborné diskusi odvozuje, že je třeba přiměřeně řídit i IT rizika.
Pro podnikatelská rozhodnutí existuje prostor pro uvážení. Kdo rozhoduje na základě přiměřených informací a ve prospěch společnosti, jedná podle tzv. Business Judgment Rule zpravidla řádně, i když se rozhodnutí později ukáže jako nevýhodné. Z toho plyne praktické poučení: rozhodující je často méně výsledek než otázka, zda bylo rozhodnutí učiněno informovaně a srozumitelně.
Co přidává NIS2
U firem, které spadají pod NIS2, je odpovědnost vedení upravena výslovně. Vedení společnosti musí opatření řízení rizik schvalovat, dohlížet na jejich provádění a nechat se školit v kybernetické bezpečnosti. V Německu směrnici provádí německý zákon NIS2UmsuCG. Zda se vaše firma týká a jaké povinnosti v jednotlivostech platí, zjistíte z údajů BSI (německý Spolkový úřad pro informační bezpečnost). Obecný přehled poskytuje stránka NIS2 a bezpečnost webových serverů.
K tomu přistupují povinnosti z ochrany osobních údajů. Podle GDPR musí firma přijmout vhodná technická a organizační opatření a porušení zabezpečení osobních údajů podle čl. 33 posoudit, zdokumentovat a případně oznámit.
Co od vedení vyžaduje situace jako PHP2Shell
PHP2Shell zahrnuje dvě kritické zranitelnosti v samotném PHP (CVE-2026-109618 a CVE-2026-109619, každá CVSS v4.0 9,2). BSI vyhlásil výstražný stupeň 3 (oranžový) a doporučuje okamžitou aktualizaci a, pokud to nejde, webové servery dočasně odpojit od sítě. Pro vedení tak vzniká typické vážení: tržby a dostupnost proti vysokému, veřejně známému riziku.
Nikdo nevyžaduje, aby jednatelé záplatovali servery sami. Lze ale očekávat, že vezmou situaci na vědomí, vyjasní odpovědnosti, nechají si podat zprávu a rozhodnou. Otázky, které by si vedení mělo položit:
- Které z našich systémů používají PHP a kdo je za ně odpovědný, interně nebo u poskytovatele?
- Jsou aktualizace nasazeny a procesy restartovány a existuje o tom doklad?
- Pokud ne: proč ne, jaká přechodná opatření běží a odpojíme systém od sítě?
- Existují náznaky průniku a kdo posoudí možné oznamovací povinnosti?
Rozhodnutí dokumentovat
Zaznamenejte stručně písemně přehled situace, možnosti, rozhodnutí a odůvodnění, s datem a časem. Takový protokol nemusí být dlouhý. Později ukazuje, že vedení bylo informováno a zvažovalo. Platí to výslovně i pro rozhodnutí provozovat systém navzdory riziku omezenou dobu.
| Obsah | Příklad |
|---|---|
| Přehled situace | BSI výstražný stupeň 3, záplaty k dispozici od 21. 10. 2026 |
| Dotčené systémy | e-shop, zákaznický portál, interní instalace wiki |
| Možnosti | okamžitě záplatovat, přechodná opatření, odpojit od sítě |
| Rozhodnutí | e-shop zazáplatován, wiki do aktualizace offline |
| Odůvodnění a odpovědné osoby | doklad od poskytovatele, kontrola vedoucím IT |
Záplata neodstraní již zavlečený škodlivý software. I rozhodnutí, zda se budou hledat stopy, patří do protokolu.
Organizovat dlouhodobě místo improvizace v krizi
Nejlepší prevencí je jasná organizace: určený odpovědný pro informační bezpečnost, postup pro bezpečnostní aktualizace, pravidelné zprávy vedení, otestovaný IT nouzový plán a nezávislá kontrola v rozumných intervalech. Jako metodický rámec se hodí IT-Grundschutz (německý standard základní ochrany IT) od BSI.
K organizaci patří také zpracovat zprávy tak, aby jim vedení rozumělo. Často stačí krátká, pravidelná zpráva s několika údaji: kolik systémů je na aktuálním stavu, kde jsou výjimky a proč, jaké incidenty nebo téměř-incidenty nastaly, která rozhodnutí čekají. Kdo takové zprávy přijímá, klade doplňující otázky a zaznamenává výsledky, může později prokázat, že dohled skutečně probíhal. Platí to bez ohledu na to, zda technika leží uvnitř firmy, nebo u poskytovatele.
Jak konkrétně pomáhá PHP SOS?
- Vypracujeme srozumitelný přehled situace vašich webových serverů pro vedení společnosti, s jasnými možnostmi.
- Zvolenou možnost provedeme a dodáme písemný technický doklad.
- Prostřednictvím bezpečnostního auditu nebo penetračního testu vytvoříme nezávislý základ pro vaše rozhodování.
- Smlouvou o bezpečnostní údržbě upravíme aktualizace a zprávy trvale.
Časté dotazy
Odpovídá jednatel osobně za hackerský útok?
Útok sám osobní odpovědnost nezakládá. Odpovědnost se diskutuje především tehdy, když byly porušeny povinnosti péče, například když byla známá rizika ignorována nebo nebyly upraveny odpovědnosti. Zda tomu tak je v konkrétním případě, posoudí jen právní poradenství.
Mohu IT bezpečnost zcela předat IT oddělení nebo poskytovateli?
Úkoly lze delegovat, odpovědnost za výběr, vybavení a dohled ale zůstává na vedení. Nechte si pravidelně podávat zprávy a zaznamenejte, která rozhodnutí byla učiněna na jakém základě.
Co NIS2 mění na odpovědnosti vedení společnosti?
NIS2 po vedení dotčených firem požaduje, aby schvalovalo opatření řízení rizik, dohlíželo na jejich provádění a účastnilo se školení. Podrobnosti vyplývají z německého prováděcího zákona a z údajů BSI.
Pomůže pojištění D&O?
Pojištění odpovědnosti členů orgánů může krýt určitá rizika odpovědnosti vedení, podmínky se ale výrazně liší. Rozsah vyjasněte se svým makléřem nebo pojišťovnou.