Typické chyby při nákupu spravované kybernetické bezpečnosti a jak se jim vyhnout

Nejvíc peněz a nervů stojí při nákupu spravované bezpečnosti chyby, které se dají odhalit před podpisem: nákup podle názvu služby místo podle rozsahu, „24/7“ bez popisu, kdo v noci reaguje, chybějící oprávnění k zásahu, zapomenuté servery a cloud, nevyjasněná cena zásahu při incidentu, logy nad limit, licence a konfigurace v rukou poskytovatele, chybějící zpracovatelská smlouva, nehlídaná výpovědní lhůta a spoléhání na to, že „hlášení vyřeší dodavatel“. Níže je deset těchto vzorců s modelovými situacemi – jsou smyšlené a ilustrují typické problémy, nejde o skutečné případy konkrétních firem. U každé chyby najdete, jak jí předejít a kde je podrobný návod.

Článek patří do sekce chyby a zdroje.

1. Nákup podle názvu, ne rozsahu

„MDR“, „SOC“, „XDR“ nebo „managed security“ znamenají u každého poskytovatele něco jiného. Modelová situace: firma koupí levnější „MDR“, které ve skutečnosti jen přeposílá výstrahy e-mailem; v noci na sobotu nikdo nereaguje.

Jak předejít: srovnávejte popis služby, ne název. Ptejte se na konkrétní scénář (výstraha ve 2:00 v sobotu). Viz MDR a SOC.

2. „24/7“ bez lidí

Nepřetržitý může být automat, ne analytik. Jak předejít: ve smlouvě uveďte, že reakci na kritickou výstrahu provádí člověk do stanovené doby a vás telefonicky kontaktuje do stanovené doby. Viz SLA a smlouva.

3. Chybějící oprávnění k zásahu

Modelová situace: poskytovatel ve 3 hodiny ráno vidí šíření škodlivého kódu, ale smí jen upozornit. Kontaktní osoba nebere telefon. Než se ráno někdo ozve, je zašifrovaná většina sdílených disků.

Jak předejít: sepište, které stroje smí poskytovatel izolovat sám, které jen po souhlasu, a kdo souhlas dává (2–3 osoby s náhradníky a nočním číslem).

4. Zapomenuté servery, cloud a telefony

Služba „za uživatele“ často nezahrnuje servery; ochrana stanic nezahrnuje cloudovou poštu. Jak předejít: úplný soupis prostředí v poptávce a kontrola, co z něj je v nabídce. Viz poptávka a srovnání nabídek.

5. Incident „v ceně“, ale jen do limitu

Modelová situace: paušál zahrnuje 4 hodiny zásahu ročně. Vážný incident potřebuje 60 hodin; nad rámec po ilustrativních 4 000 Kč za hodinu je to 56 × 4 000 = 224 000 Kč navíc, se kterými rozpočet nepočítal.

Jak předejít: zjistěte limit hodin a sazbu nad rámec, zvažte retainer.

6. Logy nad limit

U SOC/SIEM se platí podle objemu. Nová aplikace nebo chybné nastavení zdvojnásobí objem a fakturu. Jak předejít: filtrujte logy u zdroje, sledujte objem v reportu a mějte ve smlouvě ceník i upozornění při překročení. Viz cenové modely.

7. Závislost na poskytovateli

Licence registrované na poskytovatele, firewall v jeho pronájmu, administrátorská hesla jen u něj, logy v jeho systému bez exportu. Při odchodu začínáte od nuly. Jak předejít: exit plán ve smlouvě, admin účty ve vaší správě. Viz změna poskytovatele a exit.

8. Chybějící zpracovatelská smlouva

Poskytovatel vidí obsah pošty, souborů a logy s osobními údaji – je zpracovatelem podle GDPR. Bez smlouvy podle čl. 28 porušujete GDPR vy jako správce. Jak předejít: podepsat zpracovatelskou smlouvu s povinností hlásit vám porušení zabezpečení bez zbytečného odkladu. Viz GDPR a hlášení incidentů.

9. Zmeškaná výpověď

Modelová situace: smlouva se automaticky prodlužuje o 36 měsíců, výpovědní lhůta je 6 měsíců. Firma chce změnit poskytovatele 4 měsíce před koncem – už nemůže, a je vázána další tři roky.

Jak předejít: výpovědní lhůtu zapsat do kalendáře s předstihem, vyjednat prodloužení nejvýš o 12 měsíců. Viz zdražení při obnově smlouvy.

10. „Hlášení vyřeší dodavatel“

Povinnost hlásit incident NÚKIB nebo Národnímu CERT má poskytovatel regulované služby, tedy vaše firma; povinnost ohlásit porušení zabezpečení ÚOOÚ má správce. Poskytovatel služby jen pomáhá. Jak předejít: v plánu reakce určete, kdo hlásí, a ve smlouvě, kdy poskytovatel dodá podklady. Viz zákon o kybernetické bezpečnosti 2026.

Shrnutí v tabulce

Všechny body najdete i v kontrolním seznamu prověrky poskytovatele.

Další časté omyly

• „Malé firmy nikdo neútočí.“ Většina útoků je automatizovaná a necílí podle velikosti; malá firma bez zálohy je snadný cíl.
• „Máme antivir, to stačí.“ Bez vícefaktorového ověření, aktualizací a záloh je antivir jen jedna vrstva.
• „Zálohy máme.“ Ověřte obnovu – a zda útočník nemůže smazat i zálohy (oddělení zálohovacího prostředí je i v § 11 vyhlášky č. 410/2025 Sb.).

Jak seznam chyb použít při obnově smlouvy

Před každou obnovou projděte deset bodů znovu – za rok se mění prostředí i služba. Nová cloudová aplikace nemusí být v rozsahu, kontaktní osoba z eskalační tabulky už ve firmě nepracuje a objem logů mohl vzrůst. Ke každému bodu si poznamenejte, zda je stále splněn, a nesplněné body vyjednejte v dodatku smlouvy.

Časté otázky

Která chyba je nejdražší?

Obvykle kombinace chybějícího oprávnění k zásahu a nefunkčních záloh – vede k delšímu výpadku. Proto je řešte před podpisem.

Jak poznat kvalitního poskytovatele bez recenzí?

Podle důkazů: ukázkový report, popis postupu na konkrétní scénář, reakce během pilotu, srozumitelná smlouva a ochota předat data při odchodu.

Je chyba měnit poskytovatele častěji?

Častá změna stojí onboarding a znalost prostředí. Lepší je dobře vybrat a mít ve smlouvě jasné SLA a exit.

Co dělat, když jednu z chyb zjistíme až po podpisu?

Sepište ji, navrhněte poskytovateli dodatek a stanovte termín. Většinu bodů (oprávnění k zásahu, kontakty, report) lze doplnit bez změny ceny. U zásadních věcí, jako je chybějící zpracovatelská smlouva, nečekejte na obnovu.

Zdroje

• Národní úřad pro kybernetickou a informační bezpečnost – doporučení a varování
• Úřad pro ochranu osobních údajů – zpracovatelé a ohlašování
• e-Sbírka – vyhláška č. 410/2025 Sb.