Retainer na reakci na incidenty: jak funguje, co stojí a kdy se vyplatí

Retainer na reakci na incidenty (incident response retainer) je smlouva, kterou si předem sjednáte pomoc specialistů pro případ vážného incidentu – typicky ransomwaru, kompromitace pošty nebo úniku dat. Platíte roční poplatek nebo předplacené hodiny a získáte garantovanou dobu reakce, sjednané sazby a hotové smluvní podmínky, takže v krizi neztrácíte čas hledáním firmy a vyjednáváním. Ilustrativně počítáme 60 000–250 000 Kč ročně bez DPH podle počtu hodin a doby reakce; nejde o ceny konkrétních poskytovatelů. Retainer se vyplatí hlavně firmám, jejichž MDR nebo MSSP služba nezahrnuje hlubší vyšetřování a obnovu – ověřte si, co je v paušálu vaší služby, než ho kupujete zvlášť.

Článek patří do sekce výpočty a výběr.

Co retainer obvykle zahrnuje

Cenové modely retaineru

1. Předplacené hodiny – např. 40 hodin ročně; hodiny se čerpají na incident, a pokud nejsou využity, lze je někde převést na přípravné aktivity (cvičení, revize).
2. Paušál za pohotovost – platíte za garanci reakce, práce se účtuje zvlášť sjednanou sazbou.
3. Kombinace – nižší paušál + menší balík hodin.

Klíčová otázka: co se stane s nevyčerpanými hodinami. Propadají? Převádějí se do dalšího roku? Lze je použít na školení, cvičení nebo pentest? U většiny firem incident v daném roce nenastane, takže tato podmínka rozhoduje o skutečné ceně.

Modelový výpočet: s retainerem a bez něj

Smyšlená firma se 40 uživateli. Ilustrativní předpoklady bez DPH:

Varianta A – retainer: 40 hodin ročně za 120 000 Kč (3 000 Kč za hodinu), nevyčerpané hodiny lze použít na cvičení a revizi plánu. Sazba nad rámec 3 000 Kč, v noci a o víkendu +50 %.

Varianta B – bez retaineru: pomoc se hledá až při incidentu. Ilustrativní nouzová sazba 4 500 Kč za hodinu, k tomu zpoždění nástupu.

Scénář: vážný incident, který vyžaduje 80 hodin práce, z toho 30 hodin o víkendu; pro jednoduchost předpokládáme, že víkendové hodiny připadnou až na čerpání nad rámec předplatného.

• A: 40 hodin z retaineru (120 000 Kč) + 40 hodin nad rámec: 10 h × 3 000 + 30 h × 4 500 = 30 000 + 135 000 = 165 000 Kč. Celkem 285 000 Kč.
• B: 80 hodin × 4 500 = 360 000 Kč (pokud nouzová sazba platí i o víkendu bez dalšího příplatku) – plus náklady zpoždění, které se do čísla nepromítnou: o kolik déle stojí provoz.

Rozdíl v tomto smyšleném scénáři je 75 000 Kč. Pokud incident nenastane, A stojí 120 000 Kč (s užitkem v podobě cvičení a revize plánu) a B nic. Retainer je tedy pojistka času a dostupnosti spíš než úspora. Do měsíční ceny služby ho můžete zadat jako pevnou položku (120 000 ÷ 12 = 10 000 Kč) v kalkulačce měsíční ceny. Čísla jsou ilustrativní.

Jak retainer sladit s MDR a kyberpojištěním

• MDR: zjistěte, kolik vyšetřování a obnovy je v paušálu. Pokud MDR končí izolací stanice a doporučením, retainer pokryje navazující práci. Pokud MDR zahrnuje „neomezenou“ reakci, ověřte, co znamená „neomezená“ – například zda zahrnuje obnovu serverů.
• Kyberpojištění: pojistky často obsahují vlastní síť specialistů a vyžadují, aby pojištěný incident oznámil pojišťovně a postupoval s jejími partnery. Ověřte, zda můžete použít svého poskytovatele z retaineru, a jak se jeho náklady proplácejí. Viz kyberpojištění.

Co si vyjednat

1. Dobu reakce – telefonický kontakt a nástup (vzdáleně / na místě).
2. Převod nevyčerpaných hodin na přípravné aktivity.
3. Sazby nad rámec včetně noci, víkendu a svátků.
4. Jazyk – komunikace s vámi, s úřady a případně s útočníky (pokud k tomu dojde, vždy s právní radou).
5. Pomoc s hlášením – podklady pro 24hodinové hlášení podle zákona o kybernetické bezpečnosti a 72hodinové ohlášení ÚOOÚ. Viz GDPR a hlášení incidentů.
6. Přístup k vašemu prostředí předem – onboarding (kontakty, schéma sítě, přístupy v trezoru), aby v krizi nemuseli začínat od nuly.

Smluvní rámec obecně popisuje článek SLA a smlouva, srovnání s interním týmem článek vlastní tým nebo služba.

Plán reakce na incident: minimum pro malou firmu

Retainer bez plánu je poloviční. Připravte jednu až dvě strany:

• kdo rozhoduje (a kdo ho zastupuje),
• telefonní čísla: poskytovatel, retainer, IT, vedení, pojišťovna, advokát,
• kde jsou zálohy a jak dlouho trvá obnova,
• kdy a komu hlásit (NÚKIB / Národní CERT, ÚOOÚ, zákazníci, policie),
• jak komunikovat se zaměstnanci a zákazníky.

Plán si jednou ročně vyzkoušejte „od stolu“ – ideálně v hodinách z retaineru.

Cvičení od stolu z nevyčerpaných hodin

Pokud retainer umožňuje převést hodiny na přípravu, využijte je na dvouhodinové cvičení: specialista popíše smyšlený incident (například zašifrovaný souborový server v pátek večer) a tým projde, kdo co dělá, kde jsou zálohy, komu se volá a co se kdy hlásí. Výstupem jsou opravy plánu reakce a seznam chybějících kontaktů nebo přístupů.

Časté otázky

Potřebuji retainer, když mám MDR 24/7?

Ne vždy. Pokud MDR zahrnuje vyšetřování, forenzní analýzu a pomoc s obnovou v dostatečném rozsahu, retainer je zbytečný. Přečtěte si popis služby a zeptejte se na konkrétní scénář ransomwaru.

Mám při ransomwaru volat policii?

Kybernetický útok je obvykle trestný čin; oznámení Policii ČR je na vašem rozhodnutí, ale doporučuje se. Regulované firmy mají navíc povinnost hlásit incident NÚKIB nebo Národnímu CERT. O případném jednání s útočníky se vždy poraďte s advokátem.

Kolik hodin si předplatit?

U malé firmy obvykle desítky hodin ročně; vážný incident ale snadno spotřebuje víc. Rozhodující je dobrá sazba nad rámec a převod nevyčerpaných hodin.

Zdroje

• Národní úřad pro kybernetickou a informační bezpečnost – hlášení incidentů, Portál NÚKIB
• Úřad pro ochranu osobních údajů – ohlášení porušení zabezpečení
• Policie České republiky – oznámení trestného činu
• Zákony pro lidi – zákon č. 264/2025 Sb., § 15–16