# Odpovědnost vedení za IT bezpečnostní mezery

> Odpovědnost jednatele za IT bezpečnostní mezery obecně vysvětleno: povinnosti péče, NIS2 a jak rozhodnutí řádně zdokumentovat pro případ sporu.

Zdroj: https://phpsos.de/cs/compliance/geschaeftsfuehrer-haftung/  
Stav: 25.10.2026  
Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručně:** IT bezpečnost patří k úkolům vedení společnosti. Odpovědnost jednatele za IT bezpečnostní mezery se diskutuje především tehdy, když známá rizika nebyla přiměřeně řešena, odpovědnosti nebyly upraveny nebo rozhodnutí nebyla učiněna srozumitelně. U situací jako PHP2Shell pomáhá jasné, zdokumentované rozhodnutí na základě dostupných faktů. Tato stránka je obecná informace, nikoli právní poradenství.

> **Důležité:**
> Žádné právní poradenství: otázky odpovědnosti silně závisejí na jednotlivém případu, právní formě a smluvních úpravách. Konkrétní otázky nechte posoudit advokátkou nebo advokátem se zaměřením na právo obchodních společností.

## Odpovědnost jednatele a IT bezpečnost: obecný rámec

Pro jednatele společnosti s ručením omezeným (GmbH) vyžaduje § 43 GmbHG (německý zákon o společnostech s ručením omezeným) péči řádného obchodníka. Pro členy představenstva akciové společnosti obsahuje § 93 AktG (německý akciový zákon) srovnatelnou úpravu; § 91 odst. 2 AktG navíc vyžaduje vhodná opatření k včasnému rozpoznání vývoje, který ohrožuje existenci společnosti. Z těchto obecných povinností se v odborné diskusi odvozuje, že je třeba přiměřeně řídit i IT rizika.

Pro podnikatelská rozhodnutí existuje prostor pro uvážení. Kdo rozhoduje na základě přiměřených informací a ve prospěch společnosti, jedná podle tzv. Business Judgment Rule zpravidla řádně, i když se rozhodnutí později ukáže jako nevýhodné. Z toho plyne praktické poučení: rozhodující je často méně výsledek než otázka, zda bylo rozhodnutí učiněno informovaně a srozumitelně.

## Co přidává NIS2

U firem, které spadají pod NIS2, je odpovědnost vedení upravena výslovně. Vedení společnosti musí opatření řízení rizik schvalovat, dohlížet na jejich provádění a nechat se školit v kybernetické bezpečnosti. V Německu směrnici provádí německý zákon NIS2UmsuCG. Zda se vaše firma týká a jaké povinnosti v jednotlivostech platí, zjistíte z údajů BSI (německý Spolkový úřad pro informační bezpečnost). Obecný přehled poskytuje stránka [NIS2 a bezpečnost webových serverů](https://phpsos.de/cs/compliance/nis2/).

K tomu přistupují povinnosti z ochrany osobních údajů. Podle GDPR musí firma přijmout vhodná technická a organizační opatření a porušení zabezpečení osobních údajů podle čl. 33 posoudit, zdokumentovat a případně oznámit.

## Co od vedení vyžaduje situace jako PHP2Shell

PHP2Shell zahrnuje dvě kritické zranitelnosti v samotném PHP (CVE-2026-109618 a CVE-2026-109619, každá CVSS v4.0 9,2). BSI vyhlásil výstražný stupeň 3 (oranžový) a doporučuje okamžitou aktualizaci a, pokud to nejde, webové servery dočasně odpojit od sítě. Pro vedení tak vzniká typické vážení: tržby a dostupnost proti vysokému, veřejně známému riziku.

Nikdo nevyžaduje, aby jednatelé záplatovali servery sami. Lze ale očekávat, že vezmou situaci na vědomí, vyjasní odpovědnosti, nechají si podat zprávu a rozhodnou. Otázky, které by si vedení mělo položit:

- Které z našich systémů používají PHP a kdo je za ně odpovědný, interně nebo u poskytovatele?
- Jsou aktualizace nasazeny a procesy restartovány a existuje o tom doklad?
- Pokud ne: proč ne, jaká přechodná opatření běží a odpojíme systém od sítě?
- Existují náznaky průniku a kdo posoudí možné oznamovací povinnosti?

## Rozhodnutí dokumentovat

Zaznamenejte stručně písemně přehled situace, možnosti, rozhodnutí a odůvodnění, s datem a časem. Takový protokol nemusí být dlouhý. Později ukazuje, že vedení bylo informováno a zvažovalo. Platí to výslovně i pro rozhodnutí provozovat systém navzdory riziku omezenou dobu.

| Obsah | Příklad |
|---|---|
| Přehled situace | BSI výstražný stupeň 3, záplaty k dispozici od 21. 10. 2026 |
| Dotčené systémy | e-shop, zákaznický portál, interní instalace wiki |
| Možnosti | okamžitě záplatovat, přechodná opatření, odpojit od sítě |
| Rozhodnutí | e-shop zazáplatován, wiki do aktualizace offline |
| Odůvodnění a odpovědné osoby | doklad od poskytovatele, kontrola vedoucím IT |

Záplata neodstraní již zavlečený škodlivý software. I rozhodnutí, zda se budou hledat stopy, patří do protokolu.

## Organizovat dlouhodobě místo improvizace v krizi

Nejlepší prevencí je jasná organizace: určený odpovědný pro informační bezpečnost, postup pro bezpečnostní aktualizace, pravidelné zprávy vedení, otestovaný [IT nouzový plán](https://phpsos.de/cs/compliance/notfallplan-erstellen/) a nezávislá kontrola v rozumných intervalech. Jako metodický rámec se hodí IT-Grundschutz (německý standard základní ochrany IT) od BSI.

K organizaci patří také zpracovat zprávy tak, aby jim vedení rozumělo. Často stačí krátká, pravidelná zpráva s několika údaji: kolik systémů je na aktuálním stavu, kde jsou výjimky a proč, jaké incidenty nebo téměř-incidenty nastaly, která rozhodnutí čekají. Kdo takové zprávy přijímá, klade doplňující otázky a zaznamenává výsledky, může později prokázat, že dohled skutečně probíhal. Platí to bez ohledu na to, zda technika leží uvnitř firmy, nebo u poskytovatele.

## Jak konkrétně pomáhá PHP SOS?

- Vypracujeme srozumitelný přehled situace vašich webových serverů pro vedení společnosti, s jasnými možnostmi.
- Zvolenou možnost provedeme a dodáme písemný technický doklad.
- Prostřednictvím [bezpečnostního auditu nebo penetračního testu](https://phpsos.de/cs/leistungen/sicherheitsaudit-penetrationstest/) vytvoříme nezávislý základ pro vaše rozhodování.
- [Smlouvou o bezpečnostní údržbě](https://phpsos.de/cs/leistungen/security-wartungsvertrag/) upravíme aktualizace a zprávy trvale.


## Časté dotazy

**Odpovídá jednatel osobně za hackerský útok?**  
Útok sám osobní odpovědnost nezakládá. Odpovědnost se diskutuje především tehdy, když byly porušeny povinnosti péče, například když byla známá rizika ignorována nebo nebyly upraveny odpovědnosti. Zda tomu tak je v konkrétním případě, posoudí jen právní poradenství.

**Mohu IT bezpečnost zcela předat IT oddělení nebo poskytovateli?**  
Úkoly lze delegovat, odpovědnost za výběr, vybavení a dohled ale zůstává na vedení. Nechte si pravidelně podávat zprávy a zaznamenejte, která rozhodnutí byla učiněna na jakém základě.

**Co NIS2 mění na odpovědnosti vedení společnosti?**  
NIS2 po vedení dotčených firem požaduje, aby schvalovalo opatření řízení rizik, dohlíželo na jejich provádění a účastnilo se školení. Podrobnosti vyplývají z německého prováděcího zákona a z údajů BSI.

**Pomůže pojištění D&O?**  
Pojištění odpovědnosti členů orgánů může krýt určitá rizika odpovědnosti vedení, podmínky se ale výrazně liší. Rozsah vyjasněte se svým makléřem nebo pojišťovnou.

## Zdroje

- [BSI](https://www.bsi.bund.de/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [GDPR čl. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)