Kybernetická bezpečnost není IT projektJak rozdělit odpovědnost mezi vedení, manažera kybernetické bezpečnosti a IT
Odpovědnost za kybernetickou bezpečnost nemůže ležet v IT oddělení. V tomto článku rozdělujeme role mezi vedení firmy, manažera kybernetické bezpečnosti a IT tak, aby systém byl řiditelný a žádná oblast nezůstala bez vlastníka.
2. září 2026 · aktualizováno 5. října 2026 · 6 min čtení
Obsah článku
Proč je kybernetická bezpečnost odpovědnost vedení, ne IT projektu
Kybernetická bezpečnost ovlivňuje fungování celé firmy: provoz, dodavatelské vztahy, finance, povinnosti vůči zákonným požadavkům i pověst. Nejedná se tedy o technický úkol, který lze zadat IT oddělení a považovat za vyřešený. Je to systémové téma, které se řídí stejně jako finance, kvalita nebo bezpečnost práce.
Zákon o kybernetické bezpečnosti (ZoKB) a jeho prováděcí předpisy navíc jasně ukazují, že odpovědnost za zabezpečení nese subjekt jako celek, tedy vedení firmy. Technici mohou měřítky a kontrolami řídit, co je potřeba, ale rozhodnutí o rizicích, rozpočtu a prioritách patří vedení.
Co má na starosti vedení firmy
Vedení nese odpovědnost za tři základní věci: rozhodování o přijatelné úrovni rizika, poskytnutí zdrojů (rozpočet, lidé, čas) a zodpovědnost za dodržování zákonných povinností. Bez těchto rozhodnutí nemůže žádný manažer ani IT tým systém postavit.
- Schvaluje zásady a cíle kybernetické bezpečnosti.
- Přijímá nebo vědomě nese reziduální riziko.
- Poskytuje rozpočet a kapacity na opatření.
- Vybírá a podporuje manažera kybernetické bezpečnosti.
- Pravidelně přezkoumává stav a rozhoduje o prioritách.
Co má na starosti manažer kybernetické bezpečnosti
Manažer kybernetické bezpečnosti (v praxi často označovaný jako CISO) stojí mezi vedením a provozem. Jeho úkolem je přeložit požadavky zákona a rizika firmy do konkrétních opatření, dokumentace a procesů, a naopak vedení informovat o stavu v jazyce managementu.
- Zodpovídá za dokumentaci bezpečnostních politik a jejich souhlas s požadavky ZoKB.
- Definuje procesy: řízení rizik, správu incidentů, fyzickou a personální bezpečnost, přístupová práva.
- Koordinuje ostatní role a oddělení, která se bezpečností dotýkají (HR, provoz, administrativa, IT).
- Vede evidenci rizik a připravuje podklady pro rozhodování vedení.
- Připravuje firmu na audity a hlášení incidentů.
Co má na starosti IT oddělení
IT oddělení realizuje technická opatření, která manažer kybernetické bezpečnosti definuje: správu přístupů, aktualizace, zálohy, síťovou bezpečnost, monitoring. IT je tedy provozní ruka systému, ale ne jeho architekt a ani nemá rozhodovat o tom, jaká rizika firma nese.
| Role | Zodpovídá za | Nerozhoduje o |
|---|---|---|
| Vedení firmy | Rizika, zdroje, politiky, dodržování povinností | Technické implementaci opatření |
| Manažer kybernetické bezpečnosti | Dokumentaci, procesy, koordinaci, evidenci rizik | Rozpočtu a prioritách vedení |
| IT oddělení | Technickou implementaci a provoz opatření | Tomu, jaká rizika firma přijme |
Jak předělat meze mezi rolemi, aby nevznikaly mezery
Problémem firem často není absence role, ale překrývání a mezery mezi nimi. Někdo si myslí, že opatření zadává, druhý ho zpracovává a třetí si myslí, že za něj odpovídá jiný. Řešením je jednoduchý model: jedno místo, kde se definují požadavky, jedno místo, kde se procesy dokumentují, a jedno místo, kde se realizují.
Doporučujeme požadavek na jednoho jmenovaného vlastníka pro každou oblast, který vidí celý řetězec: od rizika, přes opatření, po kontrolu účinnosti. Bez tohoto vztahu se systém postupně rozpadá na jednotlivé technické úkony bez souvislostí.
Kybernetická bezpečnost je systém řízení, ne technický projekt. Pokud vedení deleguje odpovědnost do IT, deleguje tím i rozhodování o vlastním podnikatelském riziku.
Typická chyba: vše delegováno do IT
Nejčastější selhání je situace, kdy firma nechá celé téma na IT správci. Ten pak odpovídá za dokumentaci, řízení rizik, kontakty na úřady i rozhodování o prioritách, na které nemá mandát ani informace. Výsledkem je formální dokumentace bez vazby na realitu firmy a vedení, které se o rizicích dozvídá až při incidentu.
Tento model navíc nefunguje v oblastech, do kterých IT nemá přístup: personální bezpečnost, fyzická bezpečnost, dodavatelské vztahy, řízení kontinuity. Ty patří managementu a manažeru kybernetické bezpečnosti, který je propojuje.
Související služby
FAQ
Často se ptáte
Kdo ve firmě nese odpovědnost za kybernetickou bezpečnost?
Odpovědnost nelze jednoduše přesunout na IT oddělení. Vedení rozhoduje o prioritách, zdrojích a přijatelném riziku, bezpečnostní funkce stanovuje požadavky a kontroluje jejich plnění a IT zpravidla zajišťuje technickou realizaci. Konkrétní rozdělení rolí musí odpovídat velikosti a způsobu fungování organizace.
Může být manažer IT současně manažerem kybernetické bezpečnosti?
V některých organizacích to může být prakticky nutné, ale vzniká riziko střetu rolí. Stejný útvar potom navrhuje opatření, provozuje je a současně hodnotí jejich dostatečnost. Pokud jsou role spojeny, je vhodné vytvořit alespoň nezávislý mechanismus kontroly a reportingu vedení.
Proč má být řízení bezpečnosti oddělené od běžného provozu IT?
Provoz IT sleduje především dostupnost a funkčnost technologií. Bezpečnostní řízení musí zároveň posuzovat rizika, regulatorní požadavky, dodavatele, odpovědnosti a dlouhodobé priority. Oddělení těchto pohledů vytváří větší nezávislost při rozhodování.
Co by mělo vedení o kybernetické bezpečnosti pravidelně schvalovat?
Především významná rizika, priority nápravy, potřebné zdroje, případné přijetí zbytkového rizika a zásadní změny bezpečnostního programu. Vedení nemusí schvalovat technické konfigurace jednotlivých systémů.
Jak poznáme, že máme role nastavené správně?
Firma by měla být schopna jednoznačně odpovědět, kdo stanovuje bezpečnostní požadavky, kdo je realizuje, kdo kontroluje jejich splnění a kdo rozhoduje o přijetí zbývajícího rizika. Pokud se odpovědi překrývají nebo nejsou jasné, governance potřebuje upravit.
Čtěte dále
Související články
Co má obsahovat report kybernetické bezpečnosti pro vedení firmy
Report pro vedení neslouží k technickému přehledu, ale k rozhodování. Ukazujeme, co má obsahovat, aby vedení vidělo stav opatření, klíčová rizika a rozhodnutí, která musí udělat.
Interní, nebo externí manažer kybernetické bezpečnosti?
Úspěch stojí na modelu, ne na názvu pozice. Porovnáváme interní a externí manažera kybernetické bezpečnosti podle dostupnosti, znalosti firmy, nákladů a kontinuity a ukazujeme, jak model zvolit podle rozsahu povinností firmy.
Od regulatorní povinnosti k řiditelnému systému
Povinnosti z NIS2 a ZoKB je potřeba převést do systému, který firma skutečně řídí. Tento článek ukazuje, jak rozdělit prvních 90 dní do jednotlivých kroků: od přehledu o stavu firmy po plán opatření s prioritami.
Potřebujete zjistit, co z toho plyne pro vaši organizaci?
Probereme vaši situaci, současný stav a priority a navrhneme další postup odpovídající vašemu provozu, kapacitám a termínům.
Domluvit nezávaznou konzultaci