Změna poskytovatele bezpečnostní služby: exit plán, předání logů a konfigurací a souběh služeb

Bezpečný odchod od poskytovatele spravované bezpečnosti se připravuje už při podpisu první smlouvy: ve smlouvě má být výpovědní lhůta, součinnost při ukončení, předání konfigurací, dokumentace a logů ve strojově čitelné podobě, odinstalace agentů a výmaz dat po předání. Samotný přechod pak plánujte se souběhem služeb – nová služba se nasadí a otestuje dřív, než stará skončí, jinak vznikne období bez dohledu. Počítejte s náklady: nový onboarding, souběh na 1–2 měsíce, interní čas a případně nový hardware nebo licence, pokud byly na poskytovatele. Modelově u firmy se 40 uživateli může přechod stát desítky tisíc korun – vyplatí se, pokud nový poskytovatel lépe sedí rozsahem nebo cenou na delší dobu. Všechny částky jsou ilustrativní.

Článek patří do sekce chyby a zdroje.

Co musí být ve smlouvě (exit klauzule)

Logy a povinnost uchování

Pokud jste v režimu vyšších povinností, musíte záznamy událostí uchovávat alespoň 18 měsíců (vyhláška č. 409/2025 Sb., § 22). Při změně poskytovatele proto potřebujete, aby se historické logy předaly nebo zůstaly přístupné po zbývající dobu. Domluvte formát exportu a cenu – export velkého objemu může být placený.

Mimo regulaci zvažte, jak dlouho logy potřebujete kvůli vyšetřování starších incidentů a smluvním požadavkům zákazníků.

Postup přechodu v 8 krocích

1. Zkontrolujte smlouvu – výpovědní lhůta, automatické prodloužení, exit klauzule.
2. Vyberte nového poskytovatele – viz jak vybrat poskytovatele.
3. Podejte výpověď včas a písemně; potvrďte datum ukončení.
4. Vyžádejte si předávací balíček – konfigurace, dokumentace, logy, seznam přístupů.
5. Nasaďte novou službu souběžně (agenti, napojení logů, firewall).
6. Otestujte – testovací výstraha, kontakt, report.
7. Přepněte dohled na nového poskytovatele k dohodnutému datu.
8. Uzavřete starou službu – odinstalace agentů, zrušení účtů a VPN, změna sdílených hesel, potvrzení výmazu dat.

Modelové náklady přechodu (ilustrativně)

Smyšlená firma se 40 uživateli, stará služba 34 000 Kč měsíčně, nová 30 000 Kč měsíčně bez DPH:

Úspora 34 000 − 30 000 = 4 000 Kč měsíčně, tedy 48 000 Kč ročně. Přechod se vrátí za 100 000 ÷ 48 000 ≈ 2,1 roku. Pokud nová smlouva počítá se zdražením nebo stará služba zdražuje při obnově, výsledek se změní – spočítejte v kalkulačce zdražení. Pokud důvodem přechodu není cena, ale rozsah (třeba chybějící 24/7), hodnoťte přínos jinak než úsporou. Čísla jsou smyšlená.

Nejčastější problémy při odchodu

• Firewall v pronájmu – musíte koupit nový a znovu nastavit pravidla.
• Licence EDR na poskytovatele – nová licence a přeinstalace agentů na všech zařízeních.
• Administrátorská hesla jen u poskytovatele – bez nich nemůžete převzít správu. Prevence: admin účty ve vaší správě, v trezoru hesel.
• Zapomenuté přístupy – VPN účty, servisní účty, API klíče starého poskytovatele zůstanou aktivní. Prevence: seznam přístupů a jejich zrušení po přepnutí.
• Díra v dohledu – stará služba skončí v pátek, nová začne v pondělí. Prevence: souběh.

Viz také typické chyby při nákupu a SLA a smlouva.

Pokud jste regulovaní

Změna poskytovatele, který zajišťuje bezpečnostní opatření, je změnou u významného dodavatele (režim vyšších povinností) a dotýká se vašich bezpečnostních opatření. Ověřte, že nová smlouva obsahuje požadavky podle § 13 odst. 5 zákona č. 264/2025 Sb., aktualizujte evidenci dodavatelů, dokumentaci a přehled bezpečnostních opatření. Viz dodavatelé regulovaných firem.

Předávací protokol: co do něj zapsat

Předání mezi starým a novým poskytovatelem by mělo skončit podepsaným protokolem. Do něj patří:

• seznam předaných konfigurací (firewall, politiky EDR, pravidla detekce, výjimky) s datem exportu,
• seznam předaných logů – období, formát, objem, kde jsou uloženy,
• dokumentace – schéma sítě, seznam aktiv, seznam kritických strojů, kontakty,
• přehled incidentů za dobu smlouvy a otevřené problémy,
• seznam zrušených přístupů – účty, VPN, API klíče, servisní účty,
• potvrzení o výmazu osobních údajů nebo o jejich vrácení,
• podpisy obou stran a datum ukončení dohledu.

Časová osa přechodu (modelově)

Časy jsou orientační pro firmu s desítkami uživatelů; větší síť s logy potřebuje víc.

Časté otázky

Může mi poskytovatel odmítnout vydat konfigurace?

Pokud to smlouva neupravuje, může vznikat spor o to, komu konfigurace „patří“. Proto ji upravte předem. Pokud se spor objeví, poraďte se s advokátem; mezitím si zajistěte vlastní zálohu konfigurace, pokud k ní máte přístup.

Jak dlouho by měl souběh trvat?

U malé firmy obvykle 2–4 týdny – dost na nasazení, ladění výstrah a test. U větší sítě s logy déle.

Musí starý poskytovatel smazat naše data?

Podle zpracovatelské smlouvy (čl. 28 odst. 3 písm. g) GDPR) musí osobní údaje po skončení zpracování vymazat nebo vrátit podle vašeho rozhodnutí, pokud právo nevyžaduje jejich uložení. Vyžádejte si písemné potvrzení.

Musím po odchodu měnit hesla?

Ano. Změňte všechna sdílená a administrátorská hesla, ke kterým měl starý poskytovatel přístup, zrušte jeho účty a VPN a zneplatněte API klíče. Teprve pak podepište předávací protokol jako uzavřený.

Zdroje

• Úřad pro ochranu osobních údajů – povinnosti zpracovatele
• Národní úřad pro kybernetickou a informační bezpečnost – řízení dodavatelů
• e-Sbírka – vyhláška č. 409/2025 Sb.
• Zákony pro lidi – zákon č. 264/2025 Sb.