Má škola povinnost mít zpracovaný plán kybernetické bezpečnosti a analýzu rizik? Musí sledovat připravovanou legislativu, jako je směrnice NIS2, a řídit se zákonem o kybernetické bezpečnosti?

Běžná regionální škola zpravidla nespadá do působnosti zákona č. 264/2025 Sb., o kybernetické bezpečnosti, pouze proto, že poskytuje vzdělávání. Nemá proto obecnou povinnost zpracovat plán kybernetické bezpečnosti a analýzu rizik podle tohoto zákona. Je však nutné ověřit, zda právnická osoba neposkytuje také jinou regulovanou službu.

NIS2 již není připravovanou legislativou, ale byla provedena do českého práva zákonem účinným od 1. listopadu 2025. Škola musí dodržovat účinné právní předpisy a přiměřeně zabezpečit osobní údaje a své informační systémy. Vlastní posouzení kybernetických rizik, pravidla zálohování, přístupových oprávnění a reakce na incident proto doporučujeme, byť zpravidla nejde o povinný samostatný dokument. 

Samozřejmě s ohledem na aktuální množství různých hackerských útoků však lze to, aby škola obdobné plány zpracované měla, doporučit. Pro více podrobností lze doporučit např. metodický materiál MŠMT - BEZPEČNÁ DIGITÁLNÍ INFRASTRUKTURA ŠKOLY (viz https://www.edu.cz/wp-content/uploads/2024/03/II_c_Bezpecna-digitalni-infrastruktura-skoly_2.k_gr-2.pdf)