MDR a SOC jako služba: co zahrnují, jak se liší a jak se platí

MDR (managed detection and response, řízená detekce a reakce) je služba, při které analytici poskytovatele nepřetržitě nebo v dohodnutých hodinách sledují výstrahy z vašich koncových stanic – a často i z pošty a cloudových účtů – a při podezření zasahují: izolují počítač, zablokují účet, doporučí další kroky. SOC jako služba (bezpečnostní dohledové centrum) je obvykle širší: sbírá a vyhodnocuje logy z mnoha zdrojů (firewall, servery, aplikace, cloud) v systému SIEM a platí se většinou podle objemu dat. Pro malou firmu do zhruba 50 lidí bývá rozumnějším prvním krokem MDR; SOC s logy dává smysl u složitější infrastruktury, regulovaných firem nebo když ho vyžaduje zákazník. Názvy nejsou sjednocené – rozhoduje popis služby ve smlouvě. Ceny níže jsou ilustrativní.

Přehled všech služeb najdete v pilířovém článku kolik stojí spravovaná kybernetická bezpečnost.

MDR, SOC a SIEM v jedné tabulce

Co ověřit u MDR

1. Doba dohledu. „24/7“ znamená, že analytik reaguje i ve 3 hodiny ráno v neděli? Nebo jen automat, který pošle e-mail?
2. Oprávnění k zásahu. Smí poskytovatel sám izolovat stanici nebo zablokovat účet? Kdo to schvaluje a jak se to dokumentuje?
3. Rozsah dat. Jen koncové stanice, nebo i pošta, cloudová úložiště, správa identit?
4. Doba reakce. Jak rychle po výstraze kritické závažnosti začne analytik pracovat a jak rychle vás kontaktuje? Viz SLA a smlouva.
5. Co je v ceně. Kolik hodin vyšetřování a pomoci s obnovou je v paušálu a jaká je sazba nad rámec?
6. Jazyk a kontakt. Mluví analytici česky nebo slovensky, nebo komunikují jen anglicky? Jaká je eskalační linka?

Ilustrativně: MDR nad koncovými stanicemi 24/7 počítáme na tomto webu v rozpětí 300–800 Kč za uživatele a měsíc bez DPH. Dolní hranice obvykle odpovídá dohledu s omezeným zásahem, horní nepřetržitému dohledu s oprávněním izolovat a s pomocí při obnově. Nejde o ceny konkrétních poskytovatelů.

Co ověřit u SOC jako služby

• Zdroje logů. Které systémy napojíte a kdo napojení zaplatí (často onboarding).
• Cena za objem. GB/den, EPS, nebo počet zdrojů? Jaké jsou příplatky nad limit?
• Pravidla detekce (use cases). Kolik jich je v ceně, kdo je ladí a jak často?
• Doba uchování. Regulovaní v režimu vyšších povinností musí podle § 22 vyhlášky č. 409/2025 Sb. používat centralizovaný nástroj pro sběr a uchovávání záznamů událostí a uchovávat je alespoň 18 měsíců. Režim nižších povinností (vyhláška č. 410/2025 Sb.) stanoví dobu uchování podle vlastních bezpečnostních potřeb.
• Vlastnictví logů. Komu patří data a jak je dostanete při ukončení.

Modelový výpočet: MDR vs. MDR + SOC

Smyšlená firma, 60 uživatelů, 6 serverů, 2 pobočky, logy cca 6 GB denně. Ilustrativní předpoklady bez DPH:

Rozdíl 24 000 Kč měsíčně (288 000 Kč ročně) platíte za dohled nad sítí, servery a aplikacemi mimo koncové stanice a za centrální záznam událostí. Zda se to vyplatí, závisí na tom, zda ho potřebujete kvůli regulaci, zákazníkům nebo riziku. Vlastní čísla si spočítejte v kalkulačce měsíční ceny – logy a SOC základ zadejte do pevných položek.

Jak snížit cenu SOC bez ztráty smyslu

• Filtrujte logy u zdroje – posílejte bezpečnostně relevantní události, ne ladicí výstupy.
• Začněte s menším počtem zdrojů (firewall, správa identit, pošta, kritické servery) a rozšiřujte podle přínosu.
• Dohodněte uchování odstupňovaně: krátce „horká“ data pro vyhledávání, déle levnější archiv.
• Hlídejte nárůst objemu v měsíčním reportu.

Kdy stačí MDR a kdy potřebujete SOC

MDR obvykle stačí, pokud:

• máte do několika desítek uživatelů a většinu práce v cloudových službách,
• nemáte vlastní servery nebo jen málo,
• nejste regulovaní podle zákona č. 264/2025 Sb. a zákazníci po vás centrální logy nechtějí.

SOC s logy zvažte, pokud:

• jste v režimu vyšších povinností (centrální záznam událostí a 18 měsíců uchování),
• máte více poboček, vlastní servery, výrobní technologie nebo citlivé aplikace,
• to vyžaduje smlouva s regulovaným zákazníkem – viz dodavatelé regulovaných firem.

Pro rozsah povinností viz zákon o kybernetické bezpečnosti 2026. Navazující článek: spravovaný firewall a EDR.

Měsíční report MDR: co v něm hledat

Kromě počtu výstrah hledejte skutečné doby reakce, přehled zařízení bez aktivního agenta (díry v pokrytí), opakující se typy výstrah a doporučení s termínem. Pokud report měsíc co měsíc vypadá stejně, zeptejte se, co z něj plyne pro vaši firmu.

Časté otázky

Je MDR totéž co antivirus?

Ne. Antivirus nebo EDR je nástroj na zařízení. MDR je služba, ve které lidé poskytovatele vyhodnocují výstrahy z tohoto nástroje a reagují na ně. Bez dohledu může výstraha ležet nepřečtená do pondělí.

Musím mít SIEM kvůli NIS2?

Vyhláška č. 409/2025 Sb. pro režim vyšších povinností vyžaduje centralizovaný nástroj pro sběr a uchovávání záznamů událostí; konkrétní produkt nepředepisuje. Pro režim nižších povinností vyhláška č. 410/2025 Sb. vyžaduje detekci a zaznamenávání událostí, ale bez povinnosti centrálního nástroje. Svůj případ ověřte v úplném znění vyhlášek.

Co když poskytovatel izoluje počítač, který je zrovna potřeba?

To je důvod, proč se předem dohodne, které stroje smí izolovat automaticky, které jen po telefonickém souhlasu a kdo souhlas dává. Seznam kritických strojů patří do přílohy smlouvy.

Zdroje

• Národní úřad pro kybernetickou a informační bezpečnost – bezpečnostní opatření, metodiky
• e-Sbírka – vyhláška č. 409/2025 Sb. (§ 22 zaznamenávání událostí), vyhláška č. 410/2025 Sb. (§ 9)
• Zákony pro lidi – konsolidovaná znění vyhlášek