Průvodce 2026: Kyberbezpečnostní audit pro obce. Vše, co potřebujete vědět.

Co je kyberbezpečnostní audit?

Kyberbezpečnostní audit je nezávislé, systematické prověření toho, zda vaše obec zavádí bezpečnostní opatření požadovaná zákonem, zda jsou tato opatření funkční a zda odpovídají aktuálním hrozbám.

Není to jednorázová kontrola počítačů. Jde o komplexní posouzení organizačních procesů, technické infrastruktury i bezpečnostní kultury zaměstnanců.

Výsledkem je auditní zpráva se stavem plnění zákonných povinností, identifikovanými mezerami a konkrétními doporučeními, co a v jakém pořadí napravit.

Koho se povinnost auditu týká?

Zákonná povinnost: ORP a regulované subjekty

Nový zákon č. 264/2025 Sb. zařadil obce s rozšířenou působností (ORP) do režimu nižších povinností jako poskytovatele regulované služby.

Zákon ORP přímo ukládá zavést a udržovat bezpečnostní opatření (technická i organizační).

Pravidelný externí audit ze zákona povinný není (ten platí pro subjekty vyššího režimu), ale NÚKIB může audit nařídit kdykoli, pokud má indicie nebo důkazy o nedostatcích.

Proč tedy audit i tak dává smysl? Protože bez nezávislého auditu jen těžko prokážete, že vaše opatření jsou skutečně funkční. Audit je nejspolehlivější způsob, jak si to ověřit interně i navenek.

Jak by audit probíhal konkrétně u vás?

Co konkrétně auditor u obce zkoumá?

Rozsah auditu vychází z požadavků zákona. Auditor se zaměří na organizační i technická opatření.

Klíčové oblasti kyberbezpečnostního auditu pro obce

• Bezpečnostní dokumentace: existence a aktuálnost bezpečnostní politiky, směrnic a provozní dokumentace
• Řízení aktiv: inventarizace a klasifikace informačních systémů, hardware, software a dat
• Správa identit a přístupů: politika hesel, vícefaktorová autentizace (MFA), práva uživatelů
• Zálohování a obnova dat: pravidelnost záloh, testování obnovení, offsite uložení
• Zabezpečení sítě: firewall, segmentace, správa vzdálených přístupů (VPN)
• Aktualizace a patch management: postupy pro záplatování operačních systémů a aplikací
• Řízení kybernetických incidentů: plán reakce, hlášení NÚKIB, evidence incidentů
• Bezpečnost dodavatelského řetězce: smlouvy a bezpečnostní požadavky vůči externím IT dodavatelům
• Školení zaměstnanců: povědomí o phishingu, bezpečnostní hygieně a postupech
• Fyzická bezpečnost: přístupy do serveroven, ochrana hardware

Jak často audit provádět?

Zákon č. 264/2025 Sb. žádnou konkrétní frekvenci auditu nestanovuje. Pro regulované subjekty platí obecný princip: opatření musí být pravidelně přezkoumávána a vyhodnocována v souladu s hodnocením rizik. NÚKIB nevyžaduje audit proaktivně. Může ho nařídit ex-post, tedy v případě, kdy má indicie nebo důkazy o nesouladu s povinnostmi.

Audit jednoznačně dává smysl po konkrétních událostech: po zásadní změně IT infrastruktury (nový systém, přechod na cloud, změna dodavatele), po kybernetickém incidentu nebo bezpečnostní události, nebo po implementaci opatření z dotace 120.IROP.

Ale co když u vás nic z toho nenastalo? Kybernetické útoky na obce a veřejné instituce v posledních letech výrazně přibývají. Obec, která roky neprovedla žádný audit, neví o svých slabinách. Únik osobních dat občanů, zablokování obecního systému ransomwarem nebo zveřejnění interních dokumentů jsou scénáře, které se reálně stávají. Jejich dopady (finanční, provozní i reputační) mnohonásobně převyšují náklady na preventivní audit.

„Auditní cyklus nejlépe nastavte tak, aby výsledky byly k dispozici vždy před sestavováním rozpočtu. Snáze tak získáte schválení prostředků na nápravná opatření.”

Jiří Jedlička

ASITIS.cz

Jaké jsou sankce za nesplnění povinností?

Pro regulované subjekty (ORP a další) nový zákon výrazně zpřísnil sankce. Pokuty za nedodržení povinností v oblasti kybernetické bezpečnosti mohou dosáhnout desítek milionů korun. Finanční sankce jsou ale jen část obrazu. Větší praktická hrozba pro většinu obcí je jiná: ochromení chodu úřadu. Ransomwarový útok nebo výpadek klíčových systémů může paralyzovat výplatu dávek, přístup k registrům, provoz datových schránek i komunikaci s občany. K tomu se přidává reputační škoda, která se v komunální politice napravuje velmi obtížně.

Pro menší obce bez zákonné povinnosti pokuty ze ZoKB přímo nehrozí, ale kybernetické riziko je reálné bez ohledu na velikost. Útočníci cílí právě tam, kde je nejméně ochrany.

Dotace 120.IROP

Dobrou zprávou je, že Ministerstvo pro místní rozvoj vyhlásilo 120. výzvu IROP — Kybernetická bezpečnost II. Výzva umožňuje spolufinancovat technická bezpečnostní opatření z evropských fondů a přímo reaguje na nový zákon o kybernetické bezpečnosti.

120. výzva IROP: Kyberbezpečnost II. – co potřebujete vědět

• Kyberbezpečnost

Jan Vokřál

Zjistěte, kde vaše obec stojí z pohledu kybernetické bezpečnosti. Nezávazná konzultace zdarma. Do 24 hodin se vám ozveme.