ISMS: co to je a proč ho nestavět jen v Excelu

ISMS (systém řízení bezpečnosti informací) je soubor cílů, pravidel, rolí a záznamů, kterým firma řídí ochranu svých dat, a vyhláška č. 409/2025 Sb. ho definuje jako část řízení firmy postavenou na práci s riziky. Excel dává smysl hlavně v nižším režimu, kde vyhláška č. 410/2025 Sb. chce jen přehled bezpečnostních opatření. Ve vyšším režimu vyhláška žádá věci, které sešit bez hodně práce navíc nezvládne. Do kterého režimu patříte, určuje zákon č. 264/2025 Sb., účinný od 1. listopadu 2025.

Co ISMS je a z čeho se skládá

Vyhláška č. 409/2025 Sb. v § 2 písm. g) říká, že ISMS firma ustanoví, zavede, provozuje, sleduje, přezkoumává, udržuje a zlepšuje. Je to tedy cyklus, ne dokument. Firma si stanoví cíle, ohodnotí rizika, zavede bezpečnostní opatření, ověří, že fungují, a za rok se k tomu vrátí.

V praxi z toho vzniká pár konkrétních výstupů. Bezpečnostní politika. Zpráva o hodnocení rizik. Plán zvládání rizik. Zpráva o přezkoumání. Vyhláška chce, aby je firma pravidelně přezkoumávala a určila osobu, která za přezkum odpovídá (§ 6 odst. 3 a 4).

Kdo ho musí mít a komu stačí tabulka

Podle § 8 zákona č. 264/2025 Sb. existují dva režimy a každý má vlastní vyhlášku. Režim vyšších povinností platí pro poskytovatele, který je kvůli velikosti, počtu uživatelů, dopadu na odvětví nebo rizikovosti provozu značně významný pro Českou republiku. Nižší režim platí pro každého ostatního poskytovatele regulované služby. Kdo je pod zákonem, ukazuje článek o NIS2 a novém zákonu.

Co přesně musí vést vyšší režim

Tady začíná to, o čem se v Excelu špatně pracuje. Podle § 8 vyhlášky č. 409/2025 Sb. firma:

• stanoví metodiku, jak rizika určuje a posuzuje, včetně kritérií, kdy je riziko přijatelné,
• provádí hodnocení rizik alespoň jednou ročně a při významných změnách, a zohlední přitom incidenty, výsledky auditů, výsledky penetračních testů a skenů zranitelností i roční vyhodnocení účinnosti ISMS,
• sepíše zprávu o hodnocení rizik a seznam, která opatření z vyhlášky platí a která ne, s důvodem u každého opatření, které nezavedla (§ 8 odst. 1 písm. f),
• sepíše plán zvládání rizik se sedmi položkami: popis opatření, cíle a přínosy, odpovědná osoba, zdroje, termín, vazby mezi riziky a opatřeními a konkrétní postup.

K tomu přibývá roční vyhodnocení účinnosti ISMS podle § 3 se sedmi vstupy, zpráva o přezkoumání a audit alespoň jednou za 2 roky podle § 16. Výsledky penetračního testu tak vstupují přímo do hodnocení rizik, jak popisuje článek o retestu po penetračním testu.

Proč na to Excel nestačí, a kde stačí

Následující čtyři body jsou náš úsudek, ne text vyhlášky. Vyhláška nástroj nepředepisuje, jen říká, co musí dokumenty splňovat.

1. Vazby. Vyhláška chce evidovat vazby mezi aktivy (§ 7 písm. f) a v plánu zvládání rizik vazby mezi riziky a opatřeními. Sešit to udrží, dokud ho vede jeden pozorný člověk. Chyby v tabulkách jsou ale dobře zdokumentované: studie Powella, Lawsona a Bakera z roku 2008 našla u 50 provozních tabulek chyby v 0,8 až 1,8 % buněk se vzorcem. Mnohé chyby podle autorů žádný dopad nemají, některé ano.
2. Záznamy. § 3 písm. i) žádá zaznamenávat činnosti kolem ISMS a řízení rizik. Zkuste to na svém sešitu: dokážete z něj za rok říct, kdo co změnil a proč?
3. Ochrana dokumentů. Podle § 6 odst. 5 musí být dokumenty chráněné před únikem, neoprávněnou změnou a nedostupností a zároveň úplné, čitelné, snadno identifikovatelné a vyhledatelné. Sešit na sdíleném disku, který smí upravit každý, tohle splňuje jen s pravidly navíc.
4. Role. Manažer podle § 5 nesmí řídit provoz technických aktiv. Kdo co smí upravit, v obyčejné tabulce nastavíte těžko.

V nižším režimu je to jinak. Přehled bezpečnostních opatření podle § 3 odst. 2 vyhlášky č. 410/2025 Sb. je svým tvarem seznam a tabulka se na něj hodí. Pro firmu o dvaceti lidech v tomhle režimu je to poctivá volba, pokud se drží pravidel níže.

Co udělat ve firmě o dvaceti lidech

Pokud máte nižší režim, založte tabulku se sloupci, které vyhláška předepisuje:

• Opatření, která už máte. Ke každému popis, jak je zavedené.
• Opatření, která teprve zavedete. Ke každému termín, priorita a jméno odpovědné osoby.
• Opatření, která nezavedete. U každého důvod.
• Jednou ročně přehled aktualizujte a změnu zdokumentujte. Staré verze uschovejte alespoň 4 roky.

Přehled má mít jednoho vlastníka a pro každý rok jeden samostatný soubor, starý soubor nepřepisujte. Vyhláška sice formu nepředepisuje, ale uchovat jednotlivé přehledy i jejich novější verze musíte, takže přepisovaný soubor je pro vás nejhorší varianta.

Spadáte-li do vyššího režimu, začněte seznamem aktiv a jejich garantů a hodnocením rizik. Teprve potom se vyplatí vybrat nástroj, který udrží vazby mezi aktivy, riziky a opatřeními. K přípravě na certifikaci podle ISO 27001 slouží stránka o ISO 27001. Ta uvádí, že jde o mezinárodní normu pro ISMS a že certifikát vydává akreditovaná certifikační autorita. Vyhláška sama normu ISO 27001 nezmiňuje.

Chyby, které se opakují

• Seznam, co platí a co ne, bez důvodů. U každého opatření, které nezavedete, musí být důvod.
• Plán rizik bez jména a termínu. Vyhláška chce u každého opatření odpovědnou osobu i požadovaný termín.
• Hodnocení rizik jednou a dost. Má se dělat alespoň jednou ročně a při významných změnách.
• ISMS jako věc IT. Vrcholné vedení musí projít školením a zajistit zdroje, to za ně správce neudělá.
• Výjimky bez procesu. Kdo dělá výjimky z politiky, musí mít popsané, jak se schvalují (§ 3 písm. j).

Zdroje

• Vyhláška č. 409/2025 Sb., účinná od 1. 11. 2025: https://www.zakonyprolidi.cz/cs/2025-409
• Vyhláška č. 410/2025 Sb., účinná od 1. 11. 2025: https://www.zakonyprolidi.cz/cs/2025-410
• Zákon č. 264/2025 Sb., znění účinné od 1. 11. 2025: https://www.zakonyprolidi.cz/cs/2025-264
• S. G. Powell, B. Lawson, K. R. Baker, Impact of Errors in Operational Spreadsheets, arXiv:0801.0715, 4. 1. 2008: https://arxiv.org/abs/0801.0715
• Lumenax, Příprava na ISO 27001, zobrazeno 25. 10. 2026: https://www.lumenax.cz/iso-27001