NÚKIB vydal průvodce řízením aktiv a rizik podle zákona č. 264/2025 Sb.

Národní úřad pro kybernetickou a informační bezpečnost vydal průvodce pro organizace ve vyšším režimu povinností podle zákona č. 264/2025 Sb., o kybernetické bezpečnosti.

Materiál popisuje jeden z možných postupů zavedení a udržování řízení kybernetických aktiv a rizik. Kybernetickým aktivem může být například informační systém, služba, soubor dat nebo technické vybavení, které organizace potřebuje ke svému provozu.

Průvodce začíná stanovením rozsahu řízení kybernetické bezpečnosti. Následuje určení primárních a podpůrných aktiv a osob, které za ně odpovídají. Další části se věnují sestavení katalogu hrozeb a zranitelností, výpočtu rizik a návrhu bezpečnostních opatření. Jednotlivé kroky doplňují modelové příklady.

NÚKIB k průvodci připojil 14 příloh se vzorovou dokumentací. Vydal také stručný metodický postup, který shrnuje hlavní kroky hodnocení aktiv a rizik. Vzory nejsou univerzální a organizace je musí upravit podle svých podmínek, používaných systémů a způsobu práce.

Dokument je určen především organizacím, které zavádějí nebo rozvíjejí řízení kybernetické bezpečnosti podle nového zákona a související vyhlášky pro poskytovatele regulovaných služeb ve vyšším režimu. Průvodce neurčuje, zda konkrétní firma do tohoto režimu patří. Nestanovuje ani další povinnosti nebo nové lhůty.

Materiál může organizacím ve vyšším režimu usnadnit přípravu interní dokumentace a vyjasnit rozdělení odpovědnosti. Samotné převzetí vzorů však nestačí. Evidence aktiv a výpočet rizik musí odpovídat skutečnému provozu organizace.