# NIS2 a bezpečnost webových serverů > Povinnosti podle NIS2 pro firmy obecně vysvětleno: řízení rizik, oznamování, odpovědnost vedení a co to znamená pro vaše webové servery. Zdroj: https://phpsos.de/cs/compliance/nis2/ Stav: 25.10.2026 Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6 **Stručně:** Směrnice EU NIS2 ukládá podstatně více firem než dříve opatření k řízení rizik a oznamování závažných bezpečnostních incidentů. V Německu ji provádí německý zákon NIS2UmsuCG (NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz); příslušným úřadem je BSI (německý Spolkový úřad pro informační bezpečnost). Pro webové servery to znamená především: aktualizace, správa zranitelností a zpracování incidentů musí být zorganizovány a doložitelné. Tato stránka je obecná informace, nikoli právní poradenství. > **Důležité:** > Žádné právní poradenství: zda vaše firma spadá pod NIS2 a jaké povinnosti v jednotlivostech platí, vyjasněte podle údajů BSI a s právním poradenstvím. Záměrně neuvádíme prahové hodnoty ani lhůty, které závisejí na vašem zařazení. ## Co je NIS2 NIS2 je druhá směrnice EU o bezpečnosti sítí a informací. Okruh povinných firem oproti dřívější úpravě podstatně rozšiřuje a rozlišuje mezi zvlášť důležitými a důležitými subjekty. Které obory a velikostní kategorie jsou zahrnuty, stanoví zákon. V Německu směrnici provádí NIS2UmsuCG a mimo jiné k tomu nově upravuje německý zákon o BSI (BSI-Gesetz). BSI je kontaktním místem pro registraci, oznamování a dohled a na svém webu poskytuje informace a pomůcky k zařazení. Spolehlivé, aktuální údaje o lhůtách a postupech najdete tam, nikoli v obecných shrnutích. ## Povinnosti podle NIS2 pro firmy v přehledu Pro dotčené firmy lze povinnosti zhruba shrnout do tří oblastí: **Řízení rizik.** Firmy musí přijmout vhodná a přiměřená technická a organizační opatření. Typicky sem patří koncepce pro analýzu rizik a informační bezpečnost, zvládání bezpečnostních incidentů, udržení provozu se zálohami a krizovým řízením, bezpečnost dodavatelského řetězce, bezpečnost při pořizování, vývoji a údržbě včetně práce se zranitelnostmi, řízení přístupu a kryptografie. **Oznamování.** Závažné bezpečnostní incidenty se musí hlásit BSI. Směrnice pro to počítá se stupňovitým postupem, od včasného prvního oznámení až po závěrečnou zprávu. Přesné lhůty a cesty oznamování pro Německo najdete v údajích BSI. **Odpovědnost vedení.** Vedení společnosti musí opatření schvalovat, dohlížet na jejich provádění a nechat se školit v otázkách kybernetické bezpečnosti. Více na stránce [Odpovědnost jednatele](https://phpsos.de/cs/compliance/geschaeftsfuehrer-haftung/). ## Co to znamená pro webové servery Webové servery jsou často nejotevřenějším systémem firmy. PHP2Shell ukazuje, jak rychle může zranitelnost v základní komponentě zasáhnout všechny aplikace, které na ní běží. Obě zranitelnosti CVE-2026-109618 a CVE-2026-109619 umožňují spuštění kódu bez přihlášení; BSI vyhlásil výstražný stupeň 3 (oranžový) a doporučil okamžitou aktualizaci. Pro firmu podléhající NIS2 z toho plynou praktické otázky: Víme, které servery používají PHP a v jaké verzi? Kdo sleduje bezpečnostní oznámení a rozhoduje o nouzových aktualizacích? Dokážeme útok rozpoznat a kdo posoudí, zda je incident závažný, a tedy podléhá oznámení? Je upraveno, co přebírá poskytovatel hostingu a dodavatelé? Záplata neodstraní škodlivý software zavlečený dříve a nedokazuje, že se nic nestalo. I to patří k posouzení incidentu. ## Konkrétní opatření pro webovou infrastrukturu Následující body nejsou úplným seznamem, ale pokrývají nejčastější mezery: | Opatření | Vazba | |---|---| | Inventář všech webových serverů, verzí PHP a aplikací | Analýza rizik | | Pevný postup pro bezpečnostní aktualizace vč. restartu a dokladu | Správa zranitelností | | Monitoring a uchovávání logů | Zvládání incidentů | | Otestované zálohy a plán obnovy provozu | Kontinuita provozu | | Rozdělení úkolů s poskytovatelem hostingu a agenturami písemně | Dodavatelský řetězec | | Vícefaktorové přihlášení pro administrátorské přístupy | Řízení přístupu | | Připravené cesty oznamování a odpovědnosti | Oznamovací povinnosti | Jako metodický rámec se hodí IT-Grundschutz (německý standard základní ochrany IT) od BSI. [IT nouzový plán pro webové servery](https://phpsos.de/cs/compliance/notfallplan-erstellen/) propojuje technologii, odpovědnosti a cesty oznamování. ## Myslet NIS2 a ochranu osobních údajů dohromady Útok na webový server může být zároveň incidentem podle NIS2 i porušením ochrany osobních údajů. Pak běží vedle sebe dvě řízení, s různými úřady a požadavky. Oznámení dozorovému úřadu pro ochranu osobních údajů podle čl. 33 GDPR je popsáno na stránce [Oznamovací povinnost podle GDPR: 72 hodin](https://phpsos.de/cs/compliance/dsgvo-meldepflicht-72-stunden/). Naplánujte obě cesty předem, aby v krizi nikdo nemusel improvizovat. Další bod se týká poskytovatelů služeb. Mnoho firem nechává weby spravovat agenturami a servery provozovat poskytovateli hostingu. Povinnost zohlednit rizika dodavatelského řetězce prakticky znamená: smluvně upravit, kdo nasazuje bezpečnostní aktualizace, jak rychle se řeší kritické zranitelnosti, jak jste o incidentech informováni a jaké doklady dostanete. Situace kolem PHP2Shell je dobrým zkušebním kamenem, zda tato ujednání už existují a v krizi fungovala. Pokud odpověď chybí, je to bod pro vaše řízení rizik. ## Jak konkrétně pomáhá PHP SOS? - Zmapujeme vaši webovou infrastrukturu a vyhodnotíme rizika a mezery ve formě, kterou můžete použít pro své řízení rizik. - Zavedeme doložitelný postup pro bezpečnostní aktualizace a na přání ho převezmeme prostřednictvím [smlouvy o bezpečnostní údržbě](https://phpsos.de/cs/leistungen/security-wartungsvertrag/). - [Bezpečnostním monitoringem](https://phpsos.de/cs/leistungen/security-monitoring/) a uchováváním logů vytvoříme základ pro rozpoznání a posouzení incidentů. - Při incidentu dodáme technická fakta pro vaše oznámení BSI; právní zařazení zůstává na vás a vašem právním poradenství. ## Časté dotazy **Týká se NIS2 moje firma?** Záleží mimo jiné na odvětví a velikosti firmy. Přesná kritéria vyplývají z německého prováděcího zákona. BSI na svém webu poskytuje informace o dotčenosti; v případě pochybností otázku vyjasněte s právním poradenstvím. **Co NIS2 znamená pro firemní web?** Webové servery, zákaznické portály a e-shopy patří mezi systémy, jejichž rizika musí dotčená firma řídit. Patří sem aktualizace, správa zranitelností, řízení přístupu a schopnost incidenty rozpoznat a oznámit. **Jaké lhůty pro oznamování platí podle NIS2?** Směrnice počítá se stupňovitým postupem oznamování závažných bezpečnostních incidentů. Závazné lhůty, cesty a formuláře pro Německo najdete v údajích BSI a v textu zákona. Záměrně zde neuvádíme lhůty bez vazby na vaši situaci. **Platí NIS2 i pro dodavatele?** NIS2 po dotčených subjektech požaduje, aby zohledňovaly i bezpečnost svého dodavatelského řetězce. Mnoho zákazníků se proto svých poskytovatelů služeb a dodavatelů ptá na bezpečnostní opatření, i když sami přímo pod zákon nespadají. ## Zdroje - [BSI](https://www.bsi.bund.de/) - [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html) - [GDPR čl. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)