# VdS 10000: informační bezpečnost pro malé a střední podniky

> VdS 10000 vysvětleno: co směrnice pro malé a střední firmy vyžaduje, co je nové ve verzi 2025 a jaké požadavky se týkají vašeho webu a webového serveru.

Zdroj: https://phpsos.de/cs/blog/vds-10000-kmu/  
Stav: 25.10.2026  
Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručně:** VdS 10000 je směrnice společnosti VdS Schadenverhütung (německý institut pro prevenci škod spojený s pojišťovnictvím) pro informační bezpečnost v malých a středních podnicích. Podle VdS vychází z ISO 27001 a BSI-Grundschutz (základní ochrana IT podle německého Spolkového úřadu pro informační bezpečnost), je však výrazně štíhlejší a přizpůsobená středním firmám. Pro weby a webové servery jsou důležité především inventář, řešení zranitelností, vzdálené přístupy s vícefaktorovým přihlášením, zálohování a zacházení s bezpečnostními incidenty.

## Proč je VdS 10000 pro střední firmy zajímavá

Mnoho firem ví, že by měly informační bezpečnost uchopit strukturovaněji, ale děsí je náročnost ISO 27001. Právě pro to je VdS 10000 určena. VdS ji popisuje jako oborově neutrální katalog opatření, který nemá malé a střední podniky ani obce organizačně či finančně přetěžovat.

Dva údaje od VdS pomáhají se zařazením. Náročnost je prý asi 20 procent ve srovnání s ISO 27001. A BSI podle nich hodnotí požadavky VdS 10000 jako podmnožinu základního zabezpečení IT-Grundschutz. Směrnice tedy není náhradou velkých standardů, ale realistickým vstupem, který je podle VdS vzestupně kompatibilní.

Pro pojišťovny má VdS 10000 zvláštní váhu, protože VdS je úzce spjato s pojišťovnictvím. VdS zdůrazňuje, že certifikace může u pojišťoven vytvářet důvěru a pomáhat přenést zbytkové riziko. Co to konkrétně znamená pro vaši pojistku, ujasněte s pojišťovnou nebo makléřem; pokyny ke škodní události najdete v [Kyberpojištění: na čem záleží při škodní události](https://phpsos.de/cs/compliance/cyberversicherung/).

## Co je nového ve VdS 10000 ve verzi 2025

VdS směrnici v roce 2025 přepracovalo. Podle VdS přibyly nebo se změnily mimo jiné tyto body:

1. **Jasnější jazyk**, aby požadavky pochopili i začátečníci.
2. **Závazné odpovědnosti:** Pověřenci pro informační bezpečnost a příslušný tým musejí být oficiálně jmenováni.
3. **Vícefaktorové ověřování pro vzdálené přístupy** se stává povinností.
4. **Zálohování podle principu více generací**, na různých místech a na různých médiích.
5. **Přepracované řízení rizik** s požadavky na kritéria hodnocení a hranice, od nichž se riziko akceptuje.
6. **Společná kapitola „Bezpečnostní incidenty“**, která slučuje dřívější kapitoly o poruchách, výpadcích a incidentech.
7. **Fyzické přístupy** jako klíče a čipy se upravují v personálních procesech.

Nové vydání navíc zohledňuje směrnici VdS 10100, která popisuje požadavky NIS2. VdS vidí VdS 10000 jako základ, na který lze tyto požadavky později doplnit.

## VdS 10000 a webový server: co konkrétně dělat

Směrnice nehovoří o PHP ani o jednotlivých webových serverech. Její požadavky lze ale přímo přenést na webovou infrastrukturu. Následující tabulka ukazuje, jak to může vypadat. Je to pomůcka k překladu, nikoli úřední výklad.

| Oblast požadavků | Význam pro web a webový server | Příklad ze situace kolem PHP2Shell |
|---|---|---|
| Přehled o IT systémech a rizicích | Weby, e-shopy, portály a jejich servery jsou zachyceny a ohodnoceny | Okamžitě vědět, které systémy používají PHP a v jaké verzi |
| Zranitelnosti a aktualizace | Bezpečnostní aktualizace se instalují včas a dokumentují | Záplata na 8.5.12, 8.4.27, 8.3.36 nebo 8.2.35, restart všech workerů |
| Vzdálené přístupy s vícefaktorovým přihlášením | SSH, hostingový panel a administrace CMS jsou navíc zabezpečeny | Ukradená hesla sama administrátorský přístup neotevřou |
| Zálohování | Více generací, oddělená místa a média | Návrat k záloze před 17. 10. 2026, pokud je třeba |
| Bezpečnostní incidenty | Cesta hlášení, hodnocení, dokumentace | Podezření na webshell se hlásí a kontroluje, nemaže se potichu |
| Dodavatelé | Poskytovatel hostingu a agentura jsou smluvně zapojeni | Písemné potvrzení záplaty od poskytovatele hostingu |

K zálohování stojí za pohled [Zálohy podle pravidla 3-2-1](https://phpsos.de/cs/ratgeber/backups-3-2-1/), ke vzdáleným přístupům [Dvoufázové přihlášení pro administrátorské přístupy](https://phpsos.de/cs/ratgeber/zwei-faktor-admin/). Obojí se dobře kryje s novými povinnostmi verze 2025.

## Jak postupují malé a střední firmy realisticky?

VdS 10000 lze využít jako vodítko i bez cíle certifikace. Pragmatická cesta začíná inventářem, protože bez přehledu nelze čistě splnit žádný jiný požadavek. Poté následují body s největším účinkem na vynaložené úsilí: vícefaktorové přihlášení, fungující zálohy s testem obnovy a jasná cesta hlášení při podezření.

Teprve když tyto základy stojí, vyplatí se formální stránka se směrnicemi, jmenovanými odpovědnými osobami a hodnocením rizik. Kdo později usiluje o certifikaci, najde postup v podkladech VdS; samotnou zkoušku provádí certifikační místo, nikoli dodavatel jako my.

Častým kamenem úrazu u středních firem je otázka, kdo převezme roli pověřence pro informační bezpečnost. Verze 2025 vyžaduje oficiální jmenování. V malých firmách úkol často skončí u vedoucího IT nebo přímo u vedení firmy. To je možné, pokud jsou čas a pravomoci rozumně vymezeny. Důležité je, aby tato osoba měla na očích i weby, které spravuje marketing nebo agentura. Právě ty při prvním soupisu rády propadnou sítem, protože neběží ve vlastním datovém centru. Pomáhá jednoduché pravidlo: Každá doména, kterou firma vlastní, má odpovědnou osobu a záznam v inventáři.

Pro webový server to znamená: Zabezpečení a disciplína záplat nejsou nadstavbou vedle směrnice, ale přesně tím, co v každodenní praxi vyžaduje. Co k tomu patří, popisuje [Zabezpečení serverů s PHP](https://phpsos.de/cs/leistungen/server-haertung/). Srovnání s velkými standardy podává příspěvek [ISO 27001 a TISAX: čeho se týkají webové servery](https://phpsos.de/cs/blog/iso-27001-tisax-webserver/).

## Jak konkrétně pomáhá PHP SOS?

- Společně s vámi vytvoříme inventář vašich webů, serverů a verzí PHP a označíme kritické systémy.
- Technické požadavky u webového serveru plníme: aktualizace s dokladem, vícefaktorové přihlášení pro vzdálené přístupy, zabezpečení a kontrola záloh.
- Dokumentujeme to tak, aby to vaši pověřenci pro informační bezpečnost mohli převzít do podkladů VdS.
- Neslibujeme žádnou certifikaci. Zda jsou požadavky splněny, posuzuje prověřující místo.

## Závěr

VdS 10000 je vážně míněný, ale zvládnutelný rámec pro střední firmy. Verze 2025 zostřuje právě ty body, které se počítají i po PHP2Shell: odpovědné osoby, vícefaktorové přihlášení, dobré zálohy a řádné zacházení s incidenty. Kdo začne u webového serveru, má rychle viditelný pokrok a pevný základ pro další.


## Časté dotazy

**Pro koho je VdS 10000 určena?**  
Podle VdS pro malé a střední podniky a také obce a obecní podniky. Je oborově neutrální a nemá organizačně ani finančně přetěžovat. Podle VdS ji mohou uplatnit i větší organizace.

**Jaký je rozdíl mezi VdS 10000 a ISO 27001?**  
VdS 10000 podle VdS vychází z ISO 27001 a BSI-Grundschutz, je ale přizpůsobena malým a středním podnikům a je výrazně štíhlejší. VdS vyčísluje náročnost přibližně na 20 procent ve srovnání s ISO 27001 a popisuje směrnici jako vzestupně kompatibilní, tedy jako možný vstup do řady ISO 27000.

**Pomáhá VdS 10000 u NIS2?**  
VdS popisuje nové vydání 2025 jako základ, na který lze požadavky NIS2 později doplnit. K tomu slouží samostatná směrnice VdS 10100. Zda se na vaši firmu NIS2 vztahuje a co pak platí, ujasněte prosím zvlášť.

**Existuje verze pro výrobní zařízení?**  
Ano. Pro průmyslové automatizační systémy vydává VdS příručku VdS 10020, která VdS 10000 pro tuto oblast vykládá.

## Zdroje

- [VdS: VdS 10000 Informationssicherheit für KMU](https://vds.de/kompetenzen/cyber-security/zertifizierungen/informationssicherheits-und-datenschutzmanagement/vds-10000-informationssicherheit-fuer-kmu)
- [VdS: VdS 10000, die neue Version 2025](https://vds.de/kompetenzen/cyber-security/vds-10000-die-neue-version-2025)
- [BSI: IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)