Jak vybrat poskytovatele spravované bezpečnosti, který vaší firmě nejlépe sedí: postup v 8 krocích

„Nejlepší“ poskytovatel kybernetické bezpečnosti obecně neexistuje – existuje ten, který nejlépe sedí vašemu prostředí, povinnostem, rozpočtu a lidem. Spolehlivě ho najdete postupem v osmi krocích: (1) sepište, co chránit, (2) zjistěte povinnosti (zákon č. 264/2025 Sb., GDPR, požadavky zákazníků), (3) určete potřebný rozsah služby, (4) stanovte kritéria a jejich váhy, (5) pošlete stejnou poptávku 3–5 poskytovatelům, (6) přepočítejte nabídky na stejný základ, (7) ověřte schopnosti v praxi (ukázkový report, cvičný incident, reference na postup, ne recenze) a (8) vyjednejte smlouvu s SLA a exit plánem. Celý proces u malé firmy obvykle zabere několik týdnů. Tento web nehodnotí ani neřadí konkrétní poskytovatele; dává vám nástroje, abyste si výběr udělali sami.

Krok 1: Soupis toho, co se má chránit

Bez soupisu nedostanete srovnatelné nabídky. Připravte:

Krok 2: Povinnosti

• Jste poskytovatelem regulované služby podle zákona č. 264/2025 Sb.? V jakém režimu? Viz zákon o kybernetické bezpečnosti 2026.
• Zpracováváte osobní údaje ve větším rozsahu nebo citlivé údaje? (GDPR čl. 32 – zabezpečení, čl. 33–34 – ohlašování.)
• Požaduje něco zákazník – například jako podmínku dodavatelské smlouvy? Viz dodavatelé regulovaných firem.
• Má pojišťovna podmínky pro kyberpojištění (vícefaktorové ověření, zálohy, EDR)? Viz kyberpojištění.

Krok 3: Rozsah služby

Z kroků 1 a 2 vyplyne, co potřebujete. Typické kombinace:

Popisy služeb: MDR a SOC, firewall a EDR, externí CISO.

Krok 4: Kritéria a váhy

Kritéria si určete před tím, než uvidíte ceny. Příklad vah (upravte podle sebe):

Každou nabídku ohodnoťte 1–5 bodů v každém kritériu a vynásobte vahou. Modelově: nabídka A dostane 4, 3, 4, 5, 3, 4 → 0,30×4 + 0,25×3 + 0,15×4 + 0,15×5 + 0,10×3 + 0,05×4 = 1,20 + 0,75 + 0,60 + 0,75 + 0,30 + 0,20 = 3,80. Nabídka B: 3, 5, 3, 3, 4, 3 → 0,90 + 1,25 + 0,45 + 0,45 + 0,40 + 0,15 = 3,60. Jde o váš interní nástroj rozhodování, ne o hodnocení poskytovatelů – body jsou smyšlené.

Krok 5: Poptávka

Pošlete všem stejný dokument se soupisem a požadovaným rozsahem a požádejte o cenu ve stejné struktuře. Šablonu otázek najdete v článku poptávka a srovnání nabídek.

Krok 6: Přepočet nabídek

Převeďte každou nabídku na celkovou cenu za 36 měsíců bez DPH včetně onboardingu, očekávaných příplatků a zdražení při obnově. Pomůcky:

• modelové výpočty měsíční ceny a kalkulačka,
• zdražení při obnově smlouvy,
• vlastní tým nebo služba, pokud zvažujete i interní variantu.

Krok 7: Ověření v praxi

Místo recenzí a referencí, které nelze ověřit, chtějte důkazy schopností:

• anonymizovaný měsíční report a ukázkovou zprávu o incidentu,
• popis postupu při ransomwaru v noci z pátku na sobotu: kdo volá komu a za jak dlouho,
• testovací výstrahu během pilotu – jak rychle a jak srozumitelně reagují,
• jména lidí, se kterými budete mluvit, a jejich zastupitelnost,
• doklady o řízení bezpečnosti u poskytovatele (například certifikace systému řízení bezpečnosti informací podle mezinárodní normy), pokud je pro vás důležitá.

Pokud to jde, domluvte pilot na 30–60 dní na části zařízení.

Krok 8: Smlouva

Ve smlouvě musí být: popis služby, SLA s dobami reakce, odpovědnost a limity, zpracovatelská smlouva podle čl. 28 GDPR, pravidla pro změnu ceny, výpovědní lhůta a exit (předání dat, logů, konfigurací). Rozbor je v článcích SLA a smlouva, retainer na reakci na incidenty a změna poskytovatele a exit. Před podpisem projděte kontrolní seznam prověrky poskytovatele.

Časový plán výběru (modelově)

Kdo má být u výběru

• jednatel nebo člen vedení – rozhoduje o rozpočtu a riziku a dává souhlas k zásahům,
• správce IT – zná prostředí a bude se službou denně pracovat,
• finance – přepočet nabídek, DPH, fakturace,
• osoba pověřená bezpečností nebo externí CISO – posoudí rozsah a povinnosti,
• pověřenec pro ochranu osobních údajů, pokud ho firma má – zpracovatelská smlouva,
• u větších smluv advokát – odpovědnost, výpověď, exit.

U malé firmy může několik rolí zastávat jeden člověk; důležité je, aby rozhodnutí neležela jen na správci IT.

Časté otázky

Kolik nabídek je rozumné si vyžádat?

Tři až pět. Méně nedává srovnání, víc znamená zbytečnou práci s hodnocením. Raději méně nabídek, ale se stejně zadaným rozsahem.

Je lepší jeden poskytovatel na všechno, nebo více specialistů?

Jeden poskytovatel zjednodušuje komunikaci a odpovědnost. Více specialistů může dát lepší kvalitu v jednotlivých oblastech, ale musí je někdo koordinovat. Pentest je vhodné dělat nezávisle na poskytovateli, který vaši bezpečnost spravuje.

Mám dát přednost tuzemskému poskytovateli?

Rozhoduje rozsah a schopnost reagovat. Tuzemský poskytovatel má výhodu jazyka, výjezdu na místo a znalosti českých předpisů; zahraniční může mít větší dohledové centrum. U zahraničního počítejte s přenesením daňové povinnosti – viz DPH a ceny v eurech.

Zdroje

• Národní úřad pro kybernetickou a informační bezpečnost – povinnosti, doporučení k dodavatelům
• Úřad pro ochranu osobních údajů – zabezpečení a ohlašování podle GDPR
• e-Sbírka – zákon č. 264/2025 Sb. a vyhlášky
• Zákony pro lidi – konsolidovaná znění