Stručne: IT bezpečnosť patrí medzi úlohy vedenia firmy. O zodpovednosti konateľa pri bezpečnostných medzerách v IT sa diskutuje predovšetkým vtedy, ak sa známe riziká nezvládali primerane, neboli upravené zodpovednosti alebo sa rozhodnutia neprijímali zrozumiteľne. Pri situáciách ako PHP2Shell pomáha jasné, zdokumentované rozhodnutie na základe dostupných faktov. Táto stránka je všeobecná informácia, nie právne poradenstvo.
Žiadne právne poradenstvo: Otázky zodpovednosti závisia výrazne od jednotlivého prípadu, právnej formy a zmluvných úprav. Konkrétne otázky nechajte posúdiť právnika alebo právničku so zameraním na obchodné právo.
Zodpovednosť konateľa a IT bezpečnosť: všeobecný rámec
Pre konateľov GmbH (nemeckej spoločnosti s ručením obmedzeným) vyžaduje § 43 GmbHG (nemecký zákon) starostlivosť riadneho obchodníka. Pre predstavenstvo akciovej spoločnosti obsahuje porovnateľné pravidlo § 93 AktG (nemecký zákon o akciových spoločnostiach); § 91 ods. 2 AktG navyše vyžaduje vhodné opatrenia na včasné rozpoznanie vývoja ohrozujúceho existenciu spoločnosti. Z týchto všeobecných povinností sa v odbornej diskusii odvodzuje, že primerane sa majú riadiť aj IT riziká.
Pre podnikateľské rozhodnutia existuje priestor na posúdenie. Kto rozhoduje na základe primeraných informácií a v prospech spoločnosti, koná podľa takzvanej Business Judgment Rule (pravidlo podnikateľského úsudku) spravidla v súlade s povinnosťami, aj keď sa rozhodnutie neskôr ukáže ako nepriaznivé. Vyplýva z toho praktické poučenie: Rozhodujúci je často menej výsledok než otázka, či sa rozhodnutie prijalo informovane a zrozumiteľne.
Čo pridáva NIS2
Pre firmy, ktoré spadajú pod NIS2, je zodpovednosť vedenia upravená výslovne. Vedenie musí schvaľovať opatrenia riadenia rizík, dohliadať na ich vykonávanie a nechať sa školiť v kybernetickej bezpečnosti. V Nemecku sa smernica prebrala zákonom NIS2UmsuCG (nemecký zákon). Či sa vás firma týka a aké povinnosti platia v jednotlivostiach, nájdete v údajoch BSI (nemecký Spolkový úrad pre informačnú bezpečnosť). Všeobecný prehľad podáva stránka NIS2 a bezpečnosť webserverov.
K tomu pristupujú povinnosti z ochrany údajov. Podľa GDPR musí firma prijať vhodné technické a organizačné opatrenia a porušenia ochrany osobných údajov podľa čl. 33 posúdiť, zdokumentovať a prípadne oznámiť.
Čo od vedenia vyžaduje situácia ako PHP2Shell
PHP2Shell zahŕňa dve kritické zraniteľnosti v samotnom PHP (CVE-2026-109618 a CVE-2026-109619, každá CVSS v4.0 9.2). BSI vyhlásilo stupeň varovania 3 (oranžový) a odporúča okamžitú aktualizáciu a, ak to nejde, webové servery dočasne odpojiť od siete. Pre vedenie tým vzniká typické vyvažovanie: obrat a dostupnosť proti vysokému, verejne známemu riziku.
Nikto nevyžaduje, aby konatelia sami záplatovali servery. Dá sa však očakávať, že vezmú situáciu na vedomie, vyjasnia zodpovednosti, nechajú si podať správu a prijmú rozhodnutie. Otázky, ktoré by si vedenie malo položiť:
- Ktoré z našich systémov používajú PHP a kto za ne zodpovedá, interne alebo u dodávateľa?
- Sú aktualizácie nasadené a procesy reštartované a existuje na to dôkaz?
- Ak nie: Prečo nie, aké prechodné opatrenia bežia a odpájame systém od siete?
- Existujú náznaky vlámania a kto posudzuje možné oznamovacie povinnosti?
Zdokumentujte rozhodnutia
Zaznamenajte situačný obraz, možnosti, rozhodnutie a odôvodnenie stručne písomne, s dátumom a časom. Takýto záznam nemusí byť dlhý. Neskôr ukáže, že vedenie bolo informované a vážilo. Platí to výslovne aj pre rozhodnutie prevádzkovať systém napriek riziku obmedzený čas.
| Obsah | Príklad |
|---|---|
| Situačný obraz | BSI stupeň varovania 3, záplaty dostupné od 21. 10. 2026 |
| Dotknuté systémy | Obchod, zákaznícky portál, interná inštalácia wiki |
| Možnosti | okamžite zaplátať, prechodné opatrenia, odpojiť od siete |
| Rozhodnutie | Obchod zaplátaný, wiki offline do aktualizácie |
| Odôvodnenie a zodpovední | Dôkaz od dodávateľa, kontrola vedúcim IT |
Záplata neodstráni už zavlečený škodlivý softvér. Do záznamu patrí aj rozhodnutie, či sa budú hľadať stopy.
Organizujte trvalo namiesto improvizácie v kritickom prípade
Najlepšou prevenciou je jasná organizácia: určená zodpovedná osoba za bezpečnosť informácií, postup pre bezpečnostné aktualizácie, pravidelné správy vedeniu, otestovaný IT núdzový plán a nezávislá kontrola v rozumných odstupoch. Ako metodický rámec sa hodí IT-Grundschutz od BSI.
K organizácii patrí aj to, aby sa správy robili tak, že im vedenie rozumie. Často stačí krátka, pravidelná správa s niekoľkými údajmi: Koľko systémov je na aktuálnom stave, kde sú výnimky a prečo, aké incidenty alebo takmer-incidenty boli, aké rozhodnutia sú pred nami. Kto také správy preberá, kladie doplňujúce otázky a zaznamenáva výsledky, môže neskôr preukázať, že dohľad skutočne prebehol. Platí to bez ohľadu na to, či je technika interne alebo u dodávateľa.
Ako konkrétne pomáha PHP SOS?
- Vypracujeme zrozumiteľný situačný obraz vašich webserverov pre vedenie spoločnosti, s jasnými možnosťami.
- Zvolenú možnosť zrealizujeme a dodáme písomný technický dôkaz.
- Cez bezpečnostný audit alebo penetračný test vytvoríme nezávislý základ pre vaše rozhodnutia.
- So zmluvou o bezpečnostnej údržbe upravíme aktualizácie a správy trvalo.
Časté otázky
Zodpovedá konateľ osobne za hackerský útok?
Samotný útok osobnú zodpovednosť nezakladá. O zodpovednosti sa diskutuje predovšetkým vtedy, ak boli porušené povinnosti starostlivosti, napríklad ak sa ignorovali známe riziká alebo neboli upravené zodpovednosti. Či to tak je v jednotlivom prípade, posúdi iba právne poradenstvo.
Môžem IT bezpečnosť úplne odovzdať IT oddeleniu alebo dodávateľovi?
Úlohy sa dajú delegovať, zodpovednosť za výber, vybavenie a dohľad však zostáva na vedení. Nechajte si pravidelne podávať správy a zaznamenávajte, aké rozhodnutia boli prijaté na akom základe.
Čo NIS2 mení na zodpovednosti vedenia?
NIS2 vyžaduje od vedenia dotknutých firiem, aby schvaľovalo opatrenia riadenia rizík, dohliadalo na ich vykonávanie a zúčastňovalo sa školení. Podrobnosti vyplývajú z vnútroštátneho prebratia a z údajov príslušného orgánu, v Nemecku BSI.
Pomôže poistenie D&O?
Poistenie zodpovednosti členov orgánov môže pokrývať určité riziká zodpovednosti vedenia, podmienky sa však výrazne líšia. Rozsah objasnite so svojím maklérom alebo poisťovateľom.