„Nás se to netýká“ – nejdražší věta českého podnikání. Co odhalí audit kybernetické bezpečnosti?

Útočníci dnes neloví velké ryby, ale vlečou síť přes celý internet a berou, co uvízne – a menší firma bez ochrany uvízne jako první. Podívejme se proto nejdřív na to, co jediný průnik ve skutečnosti napáchá.

Co napáchá jediný kyberútok na firmu

Představte si zámečnictví s osmi lidmi. V noci vyděračský program zašifruje server s objednávkami, výkresy i fakturami a ráno stojí celá dílna – nikdo neví, co řezat a komu to poslat. Externí správce dorazí odpoledne a zjistí, že poslední použitelná záloha je dva měsíce stará. Majitel pak volí mezi výkupným v kryptoměně a týdny ručního dohledávání zakázek.

Nejde o výjimečný příběh. Podle průzkumu Mastercard mezi tuzemskými firmami do 50 zaměstnanců čelila za posledních pět let kybernetickému útoku každá čtvrtá, přitom pětina z nich nedává na zabezpečení měsíčně ani korunu. Účet za úspěšný útok se podle odborníků pohybuje od statisíců po miliony korun – a to mluvíme jen o přímých nákladech.

Skutečná škoda totiž přichází ve třech vlnách:

• zašifrovaná data – účetnictví, smlouvy, výkresy i zákaznická databáze zmizí za jediný večer,
• zastavený provoz – každý den bez systému znamená nevystavené faktury, nezaplacené mzdy a propadlé termíny,
• ztracení zákazníci – klient, kterému jste nedodali, zkusí konkurenci a zpravidla se už nevrátí.

Tip: Dřív, než vás prověří útočník, se nechte raději prověřit odborníkem. Přečtěte si, jak se na takovou prověrku připravit krok za krokem – od výběru auditora až po zavedení opatření.

Co je audit kybernetické bezpečnosti a co není

Audit je nezávislá prohlídka firemního IT očima člověka, který ví, jak pracují útočníci – obdoba technické kontroly u auta, jen místo brzd prověřuje hesla, zálohy a sítě. Odborník nic neopravuje ani neprodává, hodnotí. Výsledkem je srozumitelný seznam slabých míst od nejzávažnějších po drobnosti a doporučení, co s nimi udělat a v jakém pořadí.

Stejně důležité je říct, co audit není. Není to instalace antiviru, není to jednorázové kouzlo, po kterém firma navždy zůstane v bezpečí, a není to ani byrokratické cvičení pro korporace. Pro menší firmu jde ale o nejlevnější způsob, jak zjistit, zda zabezpečení firemních dat stojí na pevných základech, nebo jen na dobré víře, že „se nic nestane“.

Jak audit kybernetické bezpečnosti probíhá a co z něj majitel dostane

Auditor nejprve vyzpovídá majitele a zjistí, na čem firma stojí – který systém, když zhasne, zastaví výdělek. Pak přijde na řadu prohlídka:

• počítače a servery – aktuálnost systémů, antivirus a práva uživatelů,
• sítě – firemní Wi-Fi, vzdálené přístupy, firewall a připojená zařízení,
• hesla – jejich síla, sdílení a dvoufázové ověření,
• zálohy – kde leží, jak často vznikají a zda z nich jde provoz skutečně obnovit,
• lidé – zda zaměstnanci poznají podvodný e-mail a komu hlásí podezření.

Na konci firma dostane zprávu v jazyce, kterému rozumí i člověk bez IT vzdělání: seznam slabých míst s označením závažnosti, odhad, co by jejich zneužití stálo, a konkrétní kroky k nápravě v pořadí podle toho, kolik bezpečí přinesou za vynaložené peníze.

NIS2 – zákon míří na střední firmy, ale dohlédne i na ty menší

Od 1. listopadu 2025 platí nový zákon o kybernetické bezpečnosti (č. 264/2025 Sb.), který do českého práva přenáší evropskou směrnici NIS2. Předchozí úprava dopadala na několik set organizací, nová podle odhadů NÚKIB zavazuje zhruba 6 000 firem a institucí – od energetiky a zdravotnictví přes potravinářství až po poštovní služby. Práh leží u 50 zaměstnanců nebo obratu 10 milionů eur, u vybraných služeb platí povinnosti bez ohledu na velikost. Za zanedbání hrozí pokuty až 250 milionů korun nebo 2 % celosvětového obratu.

Menší firma v zákoně zpravidla nefiguruje, její velcí zákazníci ale ano – a ti nestrpí dodavatele, který jim přes nezabezpečený e-mail přivede útočníka do sítě. Prokazatelně zajištěná kybernetická bezpečnost firmy se tak stává podmínkou spolupráce dřív, než ji nařídí úřad.

Kde stojíte, zjistíte buď u auditora, nebo u výkupného

Rozdíl je v ceně a v tom, kdo drží v ruce účet. Audit kybernetické bezpečnosti stojí zlomek toho, co jediný prolomený server, a jeho výsledek si firma nechává pro sebe. Útočník vám svůj nález pošle i s fakturou – tu ale bohužel nelze reklamovat.