Stručně: Směrnice EU NIS2 ukládá podstatně více firem než dříve opatření k řízení rizik a oznamování závažných bezpečnostních incidentů. V Německu ji provádí německý zákon NIS2UmsuCG (NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz); příslušným úřadem je BSI (německý Spolkový úřad pro informační bezpečnost). Pro webové servery to znamená především: aktualizace, správa zranitelností a zpracování incidentů musí být zorganizovány a doložitelné. Tato stránka je obecná informace, nikoli právní poradenství.
Žádné právní poradenství: zda vaše firma spadá pod NIS2 a jaké povinnosti v jednotlivostech platí, vyjasněte podle údajů BSI a s právním poradenstvím. Záměrně neuvádíme prahové hodnoty ani lhůty, které závisejí na vašem zařazení.
Co je NIS2
NIS2 je druhá směrnice EU o bezpečnosti sítí a informací. Okruh povinných firem oproti dřívější úpravě podstatně rozšiřuje a rozlišuje mezi zvlášť důležitými a důležitými subjekty. Které obory a velikostní kategorie jsou zahrnuty, stanoví zákon.
V Německu směrnici provádí NIS2UmsuCG a mimo jiné k tomu nově upravuje německý zákon o BSI (BSI-Gesetz). BSI je kontaktním místem pro registraci, oznamování a dohled a na svém webu poskytuje informace a pomůcky k zařazení. Spolehlivé, aktuální údaje o lhůtách a postupech najdete tam, nikoli v obecných shrnutích.
Povinnosti podle NIS2 pro firmy v přehledu
Pro dotčené firmy lze povinnosti zhruba shrnout do tří oblastí:
Řízení rizik. Firmy musí přijmout vhodná a přiměřená technická a organizační opatření. Typicky sem patří koncepce pro analýzu rizik a informační bezpečnost, zvládání bezpečnostních incidentů, udržení provozu se zálohami a krizovým řízením, bezpečnost dodavatelského řetězce, bezpečnost při pořizování, vývoji a údržbě včetně práce se zranitelnostmi, řízení přístupu a kryptografie.
Oznamování. Závažné bezpečnostní incidenty se musí hlásit BSI. Směrnice pro to počítá se stupňovitým postupem, od včasného prvního oznámení až po závěrečnou zprávu. Přesné lhůty a cesty oznamování pro Německo najdete v údajích BSI.
Odpovědnost vedení. Vedení společnosti musí opatření schvalovat, dohlížet na jejich provádění a nechat se školit v otázkách kybernetické bezpečnosti. Více na stránce Odpovědnost jednatele.
Co to znamená pro webové servery
Webové servery jsou často nejotevřenějším systémem firmy. PHP2Shell ukazuje, jak rychle může zranitelnost v základní komponentě zasáhnout všechny aplikace, které na ní běží. Obě zranitelnosti CVE-2026-109618 a CVE-2026-109619 umožňují spuštění kódu bez přihlášení; BSI vyhlásil výstražný stupeň 3 (oranžový) a doporučil okamžitou aktualizaci.
Pro firmu podléhající NIS2 z toho plynou praktické otázky: Víme, které servery používají PHP a v jaké verzi? Kdo sleduje bezpečnostní oznámení a rozhoduje o nouzových aktualizacích? Dokážeme útok rozpoznat a kdo posoudí, zda je incident závažný, a tedy podléhá oznámení? Je upraveno, co přebírá poskytovatel hostingu a dodavatelé?
Záplata neodstraní škodlivý software zavlečený dříve a nedokazuje, že se nic nestalo. I to patří k posouzení incidentu.
Konkrétní opatření pro webovou infrastrukturu
Následující body nejsou úplným seznamem, ale pokrývají nejčastější mezery:
| Opatření | Vazba |
|---|---|
| Inventář všech webových serverů, verzí PHP a aplikací | Analýza rizik |
| Pevný postup pro bezpečnostní aktualizace vč. restartu a dokladu | Správa zranitelností |
| Monitoring a uchovávání logů | Zvládání incidentů |
| Otestované zálohy a plán obnovy provozu | Kontinuita provozu |
| Rozdělení úkolů s poskytovatelem hostingu a agenturami písemně | Dodavatelský řetězec |
| Vícefaktorové přihlášení pro administrátorské přístupy | Řízení přístupu |
| Připravené cesty oznamování a odpovědnosti | Oznamovací povinnosti |
Jako metodický rámec se hodí IT-Grundschutz (německý standard základní ochrany IT) od BSI. IT nouzový plán pro webové servery propojuje technologii, odpovědnosti a cesty oznamování.
Myslet NIS2 a ochranu osobních údajů dohromady
Útok na webový server může být zároveň incidentem podle NIS2 i porušením ochrany osobních údajů. Pak běží vedle sebe dvě řízení, s různými úřady a požadavky. Oznámení dozorovému úřadu pro ochranu osobních údajů podle čl. 33 GDPR je popsáno na stránce Oznamovací povinnost podle GDPR: 72 hodin. Naplánujte obě cesty předem, aby v krizi nikdo nemusel improvizovat.
Další bod se týká poskytovatelů služeb. Mnoho firem nechává weby spravovat agenturami a servery provozovat poskytovateli hostingu. Povinnost zohlednit rizika dodavatelského řetězce prakticky znamená: smluvně upravit, kdo nasazuje bezpečnostní aktualizace, jak rychle se řeší kritické zranitelnosti, jak jste o incidentech informováni a jaké doklady dostanete. Situace kolem PHP2Shell je dobrým zkušebním kamenem, zda tato ujednání už existují a v krizi fungovala. Pokud odpověď chybí, je to bod pro vaše řízení rizik.
Jak konkrétně pomáhá PHP SOS?
- Zmapujeme vaši webovou infrastrukturu a vyhodnotíme rizika a mezery ve formě, kterou můžete použít pro své řízení rizik.
- Zavedeme doložitelný postup pro bezpečnostní aktualizace a na přání ho převezmeme prostřednictvím smlouvy o bezpečnostní údržbě.
- Bezpečnostním monitoringem a uchováváním logů vytvoříme základ pro rozpoznání a posouzení incidentů.
- Při incidentu dodáme technická fakta pro vaše oznámení BSI; právní zařazení zůstává na vás a vašem právním poradenství.
Časté dotazy
Týká se NIS2 moje firma?
Záleží mimo jiné na odvětví a velikosti firmy. Přesná kritéria vyplývají z německého prováděcího zákona. BSI na svém webu poskytuje informace o dotčenosti; v případě pochybností otázku vyjasněte s právním poradenstvím.
Co NIS2 znamená pro firemní web?
Webové servery, zákaznické portály a e-shopy patří mezi systémy, jejichž rizika musí dotčená firma řídit. Patří sem aktualizace, správa zranitelností, řízení přístupu a schopnost incidenty rozpoznat a oznámit.
Jaké lhůty pro oznamování platí podle NIS2?
Směrnice počítá se stupňovitým postupem oznamování závažných bezpečnostních incidentů. Závazné lhůty, cesty a formuláře pro Německo najdete v údajích BSI a v textu zákona. Záměrně zde neuvádíme lhůty bez vazby na vaši situaci.
Platí NIS2 i pro dodavatele?
NIS2 po dotčených subjektech požaduje, aby zohledňovaly i bezpečnost svého dodavatelského řetězce. Mnoho zákazníků se proto svých poskytovatelů služeb a dodavatelů ptá na bezpečnostní opatření, i když sami přímo pod zákon nespadají.