Nespadáte pod NIS2? Jako jednatel za kyberbezpečnost firmy odpovídáte stejně

„Pod NIS2 nespadáme, takže školení řešit nemusíme.“ Tuhle větu slyším od jednatelů malých firem skoro každý týden. A rozumím jí. O NIS2 se dnes mluví všude, a kdo zjistí, že pod ni nespadá, si oddechne.

Jenže otázka „spadáme pod NIS2?“ je pro jednatele ta méně důležitá. Ta podstatná zní: kdo ponese následky, když jeden zaměstnanec klikne na podvodný e-mail a firma přijde o peníze? A odpověď je nepříjemná. Může to být jednatel osobně, ať firma pod NIS2 spadá, nebo ne.

Jednatel odpovídá za prevenci škod. Vždy.

Povinnost jednatele chránit firmu nevzniká ze zákona o kybernetické bezpečnosti. Vzniká z toho, že je jednatel.

Podle § 159 občanského zákoníku musí každý člen voleného orgánu, tedy i jednatel s.r.o., vykonávat funkci s nezbytnou loajalitou, potřebnými znalostmi a pečlivostí. Tomu se říká péče řádného hospodáře. A jejím jádrem je aktivně předcházet škodám, o kterých jednatel ví nebo vědět má.

Kybernetické riziko dnes mezi ně patří. Podle zprávy Verizon Data Breach Investigations Report 2025 hraje lidský faktor roli zhruba v 60 % bezpečnostních incidentů. Nejčastější scénáře u malých a středních firem:

• podvodná faktura, kde útočník nenápadně změní číslo účtu dodavatele,
• falešný e-mail „od šéfa“ s naléhavou žádostí o platbu,
• otevřená příloha, která zašifruje data a zastaví firmu na několik dní,
• vylákané heslo k e-mailu nebo účetnictví.

Ve všech čtyřech případech nestojí na začátku selhání technologie, ale jedno kliknutí člověka, který nevěděl, na co si dát pozor.

Kde to začne bolet: důkazní břemeno je na vás

Představte si situaci. Účetní zaplatí 380 000 Kč na účet z podvodné faktury, která vypadala úplně stejně jako ty skutečné. Peníze jsou pryč. Společníci se ptají, jak se to mohlo stát a co jste jako jednatel udělal, aby se to nestalo.

Tady přichází detail, který mnoho jednatelů nezná. Zákon o obchodních korporacích (§ 52) v takovém sporu obrací důkazní břemeno. Ne společníci musí dokazovat, že jste pochybil. Vy musíte prokázat, že jste jednal s péčí řádného hospodáře.

A k tomu ještě jedna věc: pokud jednatel škodu, za kterou odpovídá, firmě nenahradí, může podle § 159 odst. 3 občanského zákoníku ručit věřitelům firmy za její dluhy, a to v rozsahu nenahrazené škody, pokud se věřitel nemůže domoci plnění od samotné firmy. Odpovědnost tak může přejít z firmy na vás osobně.

Jak tedy prokázat, že jste prevenci nezanedbal? Zákon o obchodních korporacích (§ 51) vám dává oporu: jednatel, který jednal informovaně a v dobré víře, že jedná v zájmu firmy, péči řádného hospodáře splnil. Jinými slovy: musíte umět ukázat, že jste o riziku věděl a rozumně ho řešil.

„Lidem jsem to říkal na poradě“ se prokazuje těžko. Záznam, že každý zaměstnanec prošel školením, složil test a má certifikát s datem, se prokazuje snadno.

A k tomu GDPR, které platí pro každou firmu

Druhý důvod se týká každé firmy, která pracuje s osobními údaji. Tedy prakticky všech: údaje zaměstnanců, klientů, kontakty v CRM, faktury.

Článek 32 GDPR ukládá povinnost zavést vhodná technická a organizační opatření k ochraně osobních údajů. Odstavec 4 dodává, že lidé s přístupem k údajům s nimi smějí zacházet jen podle pokynů správce. Pokyny ale musí znát a umět je dodržet, a školení patří k nejběžnějším organizačním opatřením.

Zásada odpovědnosti (čl. 5 odst. 2 a čl. 24 GDPR) pak říká, že opatření musíte umět doložit. Když po kliknutí na podvodný odkaz uniknou data, dozorový úřad (ÚOOÚ) se bude ptát, jaká opatření firma měla. Za porušení čl. 32 hrozí podle čl. 83 odst. 4 GDPR pokuta až 10 milionů eur nebo 2 % ročního obratu.

NIS2 jen zvyšuje laťku

Pokud firma pod nový zákon o kybernetické bezpečnosti (zákon č. 264/2025 Sb.) spadá, je školení navíc výslovnou zákonnou povinností s přímým postihem. Pro ostatní firmy ale z výše uvedeného plyne jasný závěr:

NIS2 je jen jeden řádek z tabulky. Ty ostatní platí pro každého jednatele.

Pět otázek, na které byste měl umět odpovědět

Kdyby se zítra něco stalo, zkuste si předem odpovědět:

1. Kdo z mých lidí byl proškolen, jmenovitě?
2. Kdy a v jakém rozsahu?
3. Ověřil jsem, že to pochopili (test, ne jen podpis na prezenčce)?
4. Proškolil jsem i nové kolegy, kteří nastoupili v průběhu roku?
5. Umím to doložit do pěti minut, když se zeptají společníci, úřad nebo pojišťovna?

Pokud na některou odpovídáte „nevím“, nejde o selhání. Jen je to místo, kde jste dnes zranitelný.

Kde vám pomůžu já

Školení v portálu nevyřeší celou kyberbezpečnost firmy ani celé GDPR. To by vám nikdo poctivý neslíbil. Vyřeší ale tu část, která stojí na lidech, a hlavně vám dá doklad. Zaměstnanci projdou krátká videa, ověří si znalosti v testu a dostanou certifikát s datem. Vy vidíte, kdo má hotovo, a export stáhnete jedním kliknutím, ať se ptají společníci, úřad, nebo auditor.

Pro mě jako jednatele je to nejlevnější pojistka, kterou můžu mít: něco přes dvě koruny denně na člověka za klidnější spaní.

Vyzkoušejte první kurz zdarma. Bez karty a bez obchodníka.

---

Tento článek je obecné shrnutí, nikoli právní rada. Pro posouzení vaší konkrétní situace doporučuji konzultaci s advokátem. Příklad s podvodnou fakturou je ilustrativní.

Zdroje: zákon č. 89/2012 Sb., občanský zákoník, § 159; zákon č. 90/2012 Sb., o obchodních korporacích, § 51 a 52; Nařízení (EU) 2016/679 (GDPR), čl. 5, 24, 32 a 83; zákon č. 264/2025 Sb., o kybernetické bezpečnosti; Verizon Data Breach Investigations Report 2025.