NIS2 školení zaměstnanců: co přesně vyžaduje zákon 264/2025 Sb. a jak to doložit

Od 1. listopadu 2025 platí v Česku nový zákon o kybernetické bezpečnosti, zákon č. 264/2025 Sb., který do českého práva převádí evropskou směrnici NIS2. Jednou z povinností, na kterou firmy narážejí nejdřív, je školení zaměstnanců. V tomhle článku najdete prakticky: koho se povinnost týká, co má školení obsahovat, jak často ho opakovat a, což se často opomíjí, jak ho doložit, aby obstálo při kontrole.

(Článek je informační, ne právní poradenství. Konkrétní zařazení vaší firmy ověřte podle zákona, případně s odborníkem.)

Koho se povinnost školení týká

Zákon dopadá na tzv. regulované subjekty, zjednodušeně firmy, které splňují obě podmínky:

1. Působí v regulovaném odvětví. Seznam je široký: energetika, doprava, zdravotnictví, vodárenství, digitální infrastruktura a IT služby, veřejná správa, ale nově i výrobní průmysl, potravinářství, chemie nebo odpadové hospodářství.
2. Jsou střední nebo velké. Orientačně: 50 a více zaměstnanců, nebo roční obrat nad 10 milionů eur (zhruba 250 milionů korun). Stačí splnit jednu z velikostních podmínek.

Dvě důležité výjimky z té zkratky:

• Dodavatelské řetězce. I menší firma, která je významným dodavatelem regulovaného subjektu, se s požadavky na bezpečnost (včetně školení) setká, ne přímo ze zákona, ale ve smlouvě od svého zákazníka. Regulované firmy totiž musí řešit bezpečnost svých dodavatelů.
• Samoidentifikace. Stát vás sám nekontaktuje. Zodpovědnost za určení, zda pod zákon spadáte, a za registraci u NÚKIB (elektronicky přes portál gov.nukib.cz) leží na vás. Od doručení rozhodnutí o registraci pak běží lhůta 12 měsíců na splnění povinností.

Co říká zákon o školení

Zákon a prováděcí vyhláška č. 410/2025 Sb. řadí vzdělávání zaměstnanců mezi základní organizační opatření. V praxi to znamená:

• Školí se všichni zaměstnanci, kteří pracují s výpočetní technikou, ne jen IT oddělení. Phishing chodí účetní, ne správci sítě.
• Vedení firmy má vlastní odpovědnost. Statutární orgán odpovídá za zajištění kybernetické bezpečnosti a nemůže se vymluvit na to, že ji delegoval na IT. Součástí je i to, že vedení samo rozumí základům problematiky.
• Školení musí být pravidelné, ne jednorázové. Zákon nestanoví přesný interval natvrdo, ustálená praxe (a očekávání auditorů) je minimálně jednou ročně plus vstupní školení každého nového zaměstnance.
• Obsah má odpovídat reálným rizikům: rozpoznání phishingu a podvodných zpráv, bezpečná práce s hesly, zacházení s daty a přílohami, hlášení incidentů, bezpečnost na home office.

Klíčová věc, na kterou se zapomíná: doložitelnost

Tady padá nejvíc firem. Školení, které proběhlo, ale nedá se prokázat, je z pohledu kontroly, interního auditu nebo pojišťovny jako by neproběhlo.

Co musí záznam o školení obsahovat:

• kdo školení absolvoval (jmenovitě, ne „všichni"),
• kdy ho dokončil,
• co bylo obsahem (jaké kurzy, jaká témata),
• s jakým výsledkem, tedy ověření znalostí testem, ne jen prezenční listina.

Papírová prezenčka z jednorázové přednášky tohle nesplní: neprokazuje, že zaměstnanec látce rozuměl, a za rok ji nikdo nenajde. Excel tabulka zase neunese otázku „jak víte, že to ten člověk skutečně prošel?". Proto se standardem stává e-learning s automatickou evidencí: každý zaměstnanec projde kurz vlastním tempem, na konci složí test s minimální hranicí úspěšnosti a systém automaticky uloží záznam i vystaví certifikát.

Nejčastější chyby v praxi

1. Jednorázové školení bez opakování. Proběhlo v roce 2024, od té doby nic, a polovina firmy se mezitím vyměnila.
2. Zapomenutí nováčci. Noví zaměstnanci nastoupí a na školení se čeká „až se sejde skupina". Mezitím pracují s firemním e-mailem bez přípravy.
3. Žádné ověření znalostí. Video se pustilo na poradě, nikdo neví, kdo ho sledoval a co si odnesl.
4. Evidence v šuplíku. Certifikáty existují, ale nikdo je nedá dohromady, když je auditor chce vidět do druhého dne.

Jak to vyřešit za jedno odpoledne

Moderní přístup je jednoduchý: online kurzy po krátkých modulech (u nás 8 minut na kurz), závěrečný test s hranicí 80 %, automatický certifikát pro každého zaměstnance a přehled pro vás: kdo má hotovo, kdo ne, komu se blíží termín obnovy. Report pro audit stáhnete jedním klikem.

Chcete vidět, jak to vypadá v praxi? První kurz máte zdarma, vyzkoušíte si, jestli vašim lidem sedne, ještě než cokoli zaplatíte. Bez karty a bez obchodníka na telefonu.