Praktické články
Vysvětlení útoků, opatření, legislativy a řízení rizik pro management i zaměstnance.
CyberSafety zdroje
Praktické podklady, které lze použít ve firmě
Obsah třídíme podle problému a role. Méně obecných frází, více konkrétních rozhodnutí, kontrol a postupů.
Checklisty
Kontrolní seznamy pro e-mail, vzdálený přístup, management, incidenty a dodavatele.
Šablony a dokumenty
Pracovní vzory zápisů, plánů, odpovědností, dotazníků a krizových kontaktů.
Případové scénáře
Ransomware, kompromitovaný e-mail, podvodná platba, dodavatelský incident a výpadek provozu.
Slovník pojmů
NIS2, nZKB, DORA, ISMS, RTO, RPO, MFA a další pojmy bez nesrozumitelné definice.
FAQ
Kolik stojí audit, jak dlouho trvá, kdo se účastní a co firma skutečně dostane.
CyberSafety / Pracovní knihovna
Materiály ke stažení pro vedení, IT a provoz
Praktické podklady s pracovním listem pro vaši firmu. PDF můžete vytisknout, Excel upravit. Všechny materiály obsahují kontakty CyberSafety; stáhnete je bez registrace.
CyberSafetyPDFSedm otázek pro vedení a IT
Sedm otázek, které propojí provoz, IT a odpovědnosti. Včetně zápisu z porady.
Stáhnout PDF: Sedm otázek pro vedení a ITCyberSafetyPDFKarta prvního hlášení incidentu
Postup interního hlášení a karta kontaktů. Pro přípravu týmu před incidentem.
Stáhnout PDF: Karta prvního hlášení incidentuCyberSafetyPDFPrověření kritického dodavatele
Otázky k přístupům, obnově, hlášení a ukončení služby. Včetně záznamu rozhodnutí.
Stáhnout PDF: Prověření kritického dodavateleCyberSafetyPDFPlán testu obnovy služby
Příprava testu, cíle RTO/RPO, podmínky zastavení a protokol výsledku.
Stáhnout PDF: Plán testu obnovy službyCyberSafetyPDFPřístupy při nástupu a odchodu
Pracovní postup pro HR, vedoucí a IT. Karta nástupu, změny role a odchodu.
Stáhnout PDF: Přístupy při nástupu a odchoduCyberSafetyPDFBezpečnostní plán na 90 dní
Návrh etap, rozhodnutí, vlastníků a kontrol. Včetně jednostránkového akčního plánu.
Stáhnout PDF: Bezpečnostní plán na 90 dníCyberSafetyXLSXEvidence rizik, úkolů a dodavatelů
Editovatelný sešit se čtyřmi listy, filtry, stavy a prioritami. Bez maker.
Stáhnout XLSX: Evidence rizik, úkolů a dodavatelůCelá sada v jednom souboru
Šest PDF a editovatelný sešit. Materiály přizpůsobte svému prostředí a určete vlastníka dalších kroků.
Verze 1.0 · 6. 10. 2026. Pracovní materiály nenahrazují individuální posouzení ani neprokazují splnění zákonných povinností. Karta incidentu obsahuje pole pro vaše interní kontakty; kontakty CyberSafety nejsou nepřetržitá incidentní linka.
Použijte na nejbližší poradě
Checklist: sedm otázek pro vedení a IT
U každého bodu zapište odpověď, dostupný důkaz, vlastníka a další krok. Odpověď „nevíme“ znamená potřebu ověření. Tento pracovní seznam pomáhá otevřít debatu; není auditem ani úplným seznamem regulatorních požadavků.
- Která služba nesmí vypadnout? Vyberte konkrétní proces, jeho vlastníka, nezbytné systémy a závislosti na dodavatelích. Projděte, co by se stalo při jednodenním výpadku.
- Kdo má přístup a kdo jej schvaluje? Zahrňte administrátory, servisní firmy i účty odchozích zaměstnanců. Připravte aktuální přehled, ne pouze popis ideálního postupu.
- Kdy jste naposledy ověřili obnovu? Zjistěte, co bylo obnoveno, jak dlouho to trvalo a co se nepodařilo. Samotný úspěšný běh zálohy na tuto otázku neodpovídá.
- Jak ověřujete změnu platebních údajů? Projděte schvalování a ověření jiným důvěryhodným kanálem. Modelový požadavek lze nacvičit v rámci školení backoffice.
- Komu lidé hlásí podezření? Kontakt musí být dohledatelný i při nedostupném firemním e-mailu. Ověřte také zastupitelnost a rozhodovací pravomoci.
- Na kterém dodavateli závisí obnova? Zkontrolujte kontakty, dostupnost podpory a informace, které bude potřebovat. Další otázky najdete u rizik dodavatelského řetězce.
- Která tři opatření dostanou prioritu? Určete vlastníka, realistický termín a důkaz dokončení. Když vám chybí podklady, začněte cíleným bezpečnostním auditem.
Pracovní šablona
Evidence rizik a nápravných úkolů
Zápis má propojit problém s rozhodnutím. Uveďte proces, scénář, možný dopad, dostupný důkaz a osobu odpovědnou za další krok. Pokud chybí ověření, nezapisujte domněnku jako prokázaný nedostatek.
Ilustrační zápis: ERP je nutné pro expedici. Není doložen poslední test obnovy. Vlastník IT zajistí termín testu s dodavatelem; vedoucí expedice určí přijatelné omezení. Dokončení prokáže zápis z testu a řešení zjištěných mezer. Nejde o zjištění u konkrétního klienta.
Stáhnout evidenci rizik, úkolů a dodavatelů (XLSX)
Pokud potřebujete pravidelnou koordinaci vlastníků a report pro vedení, navazuje externí vCISO.
Scénář pro společnou debatu
Dodavatel hlásí incident. Co to znamená pro vás?
Modelová situace: V pondělí ráno dostanete informaci o nedostupnosti služby dodavatele. Není jasné, zda se incident týká také dat nebo servisního přístupu do vaší firmy. Zákazník přitom čeká na potvrzení termínu dodání.
- Kdo ověří informaci a zjistí, které naše procesy jsou závislé na dodavateli?
- Kdo rozhodne o dočasném omezení přístupů a posoudí provozní dopady?
- Jaké podklady potřebuje vedení pro komunikaci zákazníkům?
- Jak obnovíme provoz a kdo schválí návrat k běžnému stavu?
Odpovědi zachyťte v zápisu. Chybějící rozhodovatel nebo kontakt se stává úkolem k doplnění. Pro moderovaný nácvik s postupným vývojem situace využijte krizové cvičení TTX. Tento scénář není operativním návodem pro právě probíhající incident.
Pojmy pro společnou řeč
Malý slovník bezpečnosti pro management
- vCISO
- Externí manažer bezpečnosti, který pomáhá řídit rizika, priority a spolupráci vedení s IT. Rozsah služby vCISO.
- GAP analýza
- Porovnání současného stavu s vybranými požadavky. Výstupem jsou konkrétní mezery, ne automaticky potvrzení souladu.
- RTO
- Cílová doba obnovení služby po přerušení. Firma potřebuje ověřit, zda ji dokáže splnit i se svými závislostmi.
- RPO
- Cílový bod obnovy vyjadřující tolerovanou ztrátu dat v čase. Například návrat ke stavu před poslední hodinou má jiný dopad než návrat ke včerejšku.
- MFA
- Vícefaktorové ověřování využívá více různých typů ověřovacích faktorů. Dvě hesla sama o sobě dva různé faktory nepředstavují.
- TTX
- Tabletop exercise neboli stolní cvičení. Tým diskutuje modelový incident a procvičuje rozhodování bez útoku na produkční systémy.
- OT
- Provozní technologie používané k monitorování a řízení fyzických procesů. Při posuzování je důležitá dostupnost, bezpečný provoz a specifika zařízení.
Jak pracovní podklady používat
Mohu checklist použít na interní poradě?
Ano. Doplňte vlastní odpovědi a odpovědné osoby. Citlivé údaje ukládejte ve schváleném firemním prostředí.
Prokazuje vyplněná šablona splnění NIS2?
Ne. Jde o pracovní pomůcku. Rozsah povinností a potřebné důkazy se posuzují pro konkrétní organizaci. Navazující službu popisuje NIS2 Readiness.
Co dělat s výsledky, které neumíme vyhodnotit?
Označte je jako neověřené a určete, kdo doplní podklad. S prioritizací pomůže orientační Risk Score nebo konzultace konkrétní situace.
Odborný zdroj pro další orientaci
NIST vydal v roce 2024 průvodce CSF 2.0 pro malé a střední firmy. Je vhodným rozcestníkem pro zahájení řízení kybernetických rizik. Zdejší checklist a šablona jsou vlastní pracovní materiály CyberSafety.
NIST CSF 2.0: Small Business Quick Start Guide (2024). Ověřeno 6. 10. 2026.
Potřebujete podklady přizpůsobit svému provozu?
Checklist a evidenci úkolů můžete použít hned. Na konzultaci je propojíme s konkrétními procesy a odpovědnostmi vaší firmy.