# NIS2 a bezpečnosť webserverov

> Povinnosti podľa NIS2 pre firmy všeobecne vysvetlené: riadenie rizík, hlásenia, zodpovednosť vedenia a čo to znamená pre vaše webservery.

Zdroj: https://phpsos.de/sk/compliance/nis2/  
Stav: 25.10.2026  
Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručne:** Smernica EÚ NIS2 ukladá výrazne viac firmám než predtým povinnosť prijímať opatrenia riadenia rizík a hlásiť významné bezpečnostné incidenty. V Nemecku ju prebieralo NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG, nemecký zákon); príslušným orgánom je BSI. Pre webservery to znamená predovšetkým: aktualizácie, správa zraniteľností a riešenie incidentov musia byť zorganizované a preukázateľné. Táto stránka je všeobecná informácia, nie právne poradenstvo.

> **Dôležité:**
> Žiadne právne poradenstvo: Či vaša firma spadá pod NIS2 a aké povinnosti platia v jednotlivostiach, objasnite podľa údajov príslušného orgánu (v Nemecku BSI) a s právnym poradenstvom. Vedome neuvádzame prahové hodnoty ani lehoty, ktoré závisia od vášho zaradenia.

## Čo je NIS2

NIS2 je druhá smernica EÚ o bezpečnosti sietí a informácií. Okruh povinných firiem oproti predchádzajúcej úprave výrazne rozširuje a rozlišuje medzi mimoriadne dôležitými a dôležitými subjektmi. Ktoré odvetvia a veľkostné triedy sú zahrnuté, určuje zákon.

V Nemecku smernicu prebieral zákon NIS2UmsuCG, ktorý na tento účel okrem iného nanovo upravuje zákon o BSI. BSI je kontaktným miestom pre registráciu, hlásenia a dohľad a na svojej stránke poskytuje informácie a pomôcky na zaradenie. Spoľahlivé, aktuálne údaje o lehotách a postupoch nájdete tam, nie vo všeobecných zhrnutiach.

## Povinnosti podľa NIS2 pre firmy v prehľade

Pre dotknuté firmy sa povinnosti dajú zhruba zhrnúť do troch oblastí:

**Riadenie rizík.** Firmy musia prijať vhodné a primerané technické a organizačné opatrenia. Typicky k tomu patria koncepcie analýzy rizík a bezpečnosti informácií, zvládanie bezpečnostných incidentov, udržanie prevádzky so zálohami a krízovým riadením, bezpečnosť dodávateľského reťazca, bezpečnosť pri obstarávaní, vývoji a údržbe vrátane zaobchádzania so zraniteľnosťami, riadenie prístupu a kryptografia.

**Hlásenia.** Významné bezpečnostné incidenty sa musia hlásiť príslušnému orgánu, v Nemecku BSI. Smernica na to predpokladá viacstupňový postup, od včasného prvého hlásenia až po záverečnú správu. Presné lehoty a cesty hlásenia pre Nemecko nájdete v údajoch BSI.

**Zodpovednosť vedenia.** Vedenie firmy musí opatrenia schvaľovať, dohliadať na ich vykonávanie a nechať sa školiť v otázkach kybernetickej bezpečnosti. Viac na stránke [Zodpovednosť konateľa](https://phpsos.de/sk/compliance/geschaeftsfuehrer-haftung/).

## Čo to znamená pre webservery

Webservery sú často najviac otvoreným systémom firmy. PHP2Shell ukazuje, ako rýchlo môže zraniteľnosť v základnej komponente zasiahnuť všetky aplikácie, ktoré na nej bežia. Obe zraniteľnosti CVE-2026-109618 a CVE-2026-109619 umožňujú spustenie kódu bez prihlásenia; BSI vyhlásilo stupeň varovania 3 (oranžový) a odporučilo okamžitú aktualizáciu.

Pre firmu podliehajúcu NIS2 z toho vznikajú praktické otázky: Vieme, ktoré servery používajú PHP a v akej verzii? Kto sleduje bezpečnostné hlásenia a rozhoduje o núdzových aktualizáciách? Dokážeme útok rozpoznať a kto posudzuje, či je incident významný, a teda podlieha hláseniu? Je upravené, čo preberá poskytovateľ hostingu a dodávatelia?

Záplata neodstráni škodlivý softvér, ktorý bol zavlečený predtým, a nedokazuje, že sa nič nestalo. Aj to patrí k posúdeniu incidentu.

## Konkrétne opatrenia pre webovú infraštruktúru

Nasledujúce body nie sú konečným zoznamom, ale pokrývajú najčastejšie medzery:

| Opatrenie | Súvislosť |
|---|---|
| Inventár všetkých webserverov, verzií PHP a aplikácií | Analýza rizík |
| Pevný postup pre bezpečnostné aktualizácie vrátane reštartu a dôkazu | Správa zraniteľností |
| Monitorovanie a uchovávanie logov | Zvládanie incidentov |
| Otestované zálohy a plán obnovy prevádzky | Kontinuita prevádzky |
| Písomné rozdelenie úloh s poskytovateľom hostingu a agentúrami | Dodávateľský reťazec |
| Viacfaktorové prihlásenie pre administrátorské prístupy | Riadenie prístupu |
| Pripravené cesty hlásenia a zodpovednosti | Oznamovacie povinnosti |

Ako metodický rámec sa hodí IT-Grundschutz od BSI. [IT núdzový plán pre webservery](https://phpsos.de/sk/compliance/notfallplan-erstellen/) spája techniku, zodpovednosti a cesty hlásenia.

## Myslite na NIS2 a ochranu údajov spoločne

Útok na webserver môže byť zároveň incidentom podľa NIS2 aj porušením ochrany údajov. Vtedy bežia vedľa seba dva postupy, s rôznymi orgánmi a požiadavkami. Oznámenie dozornému orgánu pre ochranu údajov podľa čl. 33 GDPR je opísané na stránke [Oznamovacia povinnosť podľa GDPR: 72 hodín](https://phpsos.de/sk/compliance/dsgvo-meldepflicht-72-stunden/). Obe cesty si naplánujte vopred, aby v kritickom prípade nikto nemusel improvizovať.

Ďalší bod sa týka dodávateľov. Mnohé firmy nechávajú weby spravovať agentúrami a servery prevádzkovať poskytovateľmi hostingu. Povinnosť zohľadňovať riziká dodávateľského reťazca prakticky znamená: zmluvne upraviť, kto nasadzuje bezpečnostné aktualizácie, ako rýchlo sa riešia kritické zraniteľnosti, ako ste informovaní o incidentoch a aké doklady dostanete. Situácia okolo PHP2Shell je dobrý skúšobný kameň, či tieto úpravy už existujú a v kritickom prípade fungovali. Ak odpoveď chýba, je to bod pre vaše riadenie rizík.

## Ako konkrétne pomáha PHP SOS?

- Zaznamenáme vašu webovú infraštruktúru a posúdime riziká a medzery vo forme, ktorú môžete použiť pre svoje riadenie rizík.
- Zavedieme preukázateľný postup pre bezpečnostné aktualizácie a na požiadanie ho prevezmeme cez [zmluvu o bezpečnostnej údržbe](https://phpsos.de/sk/leistungen/security-wartungsvertrag/).
- S [bezpečnostným monitoringom](https://phpsos.de/sk/leistungen/security-monitoring/) a uchovávaním logov vytvoríme základ na rozpoznanie a posúdenie incidentov.
- Pri incidente dodáme technické fakty pre vaše hlásenie orgánu; právne zaradenie zostáva na vás a vašom právnom poradenstve.


## Časté otázky

**Týka sa NIS2 mojej firmy?**  
Závisí to okrem iného od odvetvia a veľkosti podniku. Presné kritériá vyplývajú z vnútroštátneho prebratia smernice. Informácie o dotknutosti poskytuje na svojej stránke BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) pre Nemecko; pri pochybnostiach otázku objasnite s právnym poradenstvom.

**Čo NIS2 znamená pre firemný web?**  
Webservery, zákaznícke portály a obchody patria medzi systémy, ktorých riziká musí dotknutá firma riadiť. Patria sem aktualizácie, správa zraniteľností, riadenie prístupu a schopnosť rozpoznať a hlásiť incidenty.

**Aké lehoty hlásenia platia podľa NIS2?**  
Smernica predpokladá viacstupňový postup hlásenia významných bezpečnostných incidentov. Záväzné lehoty, cesty a formuláre nájdete v údajoch príslušného vnútroštátneho orgánu a v texte zákona. Vedome tu neuvádzame lehoty bez väzby na vašu situáciu.

**Platí NIS2 aj pre dodávateľov?**  
NIS2 vyžaduje od dotknutých subjektov, aby zohľadnili aj bezpečnosť svojho dodávateľského reťazca. Preto sa mnohí zákazníci pýtajú svojich poskytovateľov služieb a dodávateľov na bezpečnostné opatrenia, aj keď sami nepodliehajú zákonu priamo.

## Zdroje

- [BSI](https://www.bsi.bund.de/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [GDPR čl. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)