Hva krever lov 264/2025?
Lov 264/2025 om cybersikkerhet gjennomfører NIS2 i Tsjekkia og erstattet lov 181/2014 1. november 2025. En tilbyder av en tjeneste som oppfyller vilkårene, melder den innen 60 dager til den nasjonale myndigheten for cyber- og informasjonssikkerhet (NÚKIB), som fatter vedtak om registrering som regulert tjeneste. Innen 30 dager etter vedtaket rapporterer tilbyderen kontaktopplysninger og tilleggsopplysninger, og endringer innen 14 dager. Meldinger og rapporter går via Portál NÚKIB.
Høyere eller lavere ordning
- Høyere ordning: tilbydere av betydelig økonomisk, samfunnsmessig eller sikkerhetsmessig betydning følger forskrift 409/2025, med et fullt styringssystem, sikkerhetsroller, risikovurdering, revisjoner og tekniske tiltak.
- Lavere ordning: de øvrige tilbyderne følger forskrift 410/2025, et kortere sett minimumstiltak med en tiltaksoversikt som oppdateres hvert år.
- Frist: sikkerhetstiltakene og rapporteringen av hendelser må være på plass innen ett år etter registreringsvedtaket.
I Dazr registrerer dere ordningen i én kontroll. Kontrollene i den andre ordningen markeres som ikke relevante i erklæringen om anvendelighet, med registreringsvedtaket som begrunnelse.
Dette får dere i Dazr
Hver kontroll oppgir paragrafen, for eksempel forskrift 409/2025 § 8, og gjør kravene om til trinn med en standard hyppighet for gjennomgang.
Rapportering av hendelser til NÚKIB eller Národní CERT
Etter § 16 i lov 264/2025 skal en første rapport sendes uten ugrunnet opphold og innen 24 timer etter at hendelsen ble oppdaget. En hendelse med betydelig virkning krever i tillegg en melding innen 72 timer etter oppdagelsen, en midlertidig rapport etter oppfordring og en sluttrapport innen 30 dager etter meldingen. Tilbydere i den høyere ordningen rapporterer til NÚKIB, tilbydere i den lavere ordningen rapporterer hendelser med betydelig virkning til Národní CERT, begge via Portál NÚKIB. Med NÚKIB-rammeverket slått på teller hendelsesregisteret i Dazr ned hver av disse fristene.
Forskriftene ved siden av NIS2
Hvert tiltak i Dazr oppgir ISO 27001-kontrollene og NIS2-artikkelen det svarer til. Slå på NÚKIB-rammeverket ved siden av NIS2 eller ISO 27001, og knytt den samme dokumentasjonen til hvert av dem.
| Område | Høyere ordning (409/2025) | Lavere ordning (410/2025) | NIS2 |
|---|---|---|---|
| Styring og roller | § 3 til § 6 | § 3 og § 4 | Art. 20; art. 21 nr. 2 bokstav a |
| Eiendeler, risikoer og leverandører | § 7 til § 9 | § 3 | Art. 21 nr. 2 bokstav a og d |
| Mennesker og bevissthet | § 10 | § 5 | Art. 20 nr. 2; art. 21 nr. 2 bokstav g og i |
| Endringer, anskaffelse og tilgang | § 11 til § 13 | § 7 | Art. 21 nr. 2 bokstav e og i |
| Hendelser og kontinuitet | § 14 og § 15 | § 6, § 10 og § 14 | Art. 21 nr. 2 bokstav b og c; art. 23 |
| Revisjon og gjennomgang | § 16 | § 3 (årlig vurdering av effektiviteten) | Art. 21 nr. 2 bokstav f |
| Tekniske tiltak | § 17 til § 27 | § 7 til § 9 og § 11 til § 13 | Art. 21 nr. 2 bokstav b, e, h og j |
Slik hjelper Dazr med NÚKIBs tiltak
Slik bruker dere Dazr Compliance:
- Registrere registreringsvedtaket, ordningen og ettårsfristen og holde de rapporterte opplysningene oppdatert
- Gjennomføre tiltakene i ordningen deres etter planen, med eiere, dokumentasjon, påminnelser og en ukentlig purring ved forsinkelser
- Ta vare på toppledelsens godkjenninger og opplæring
- Rapportere hendelser i tide: hendelsesregisteret teller ned fristene på 24 timer, 72 timer og 30 dager
- Gi revisoren deres en tidsbegrenset, skrivebeskyttet innlogging eller levere et revisjonsspor som PDF
Kilder: lov 264/2025 om cybersikkerhet, forskrift 409/2025, forskrift 410/2025, NÚKIB, rapportering av hendelser, Portál NÚKIB.