Dva pilíře jedné reality

Představte si situaci: vaše firma čelí kybernetickému útoku. Útočník zašifroval data, požaduje výkupné. V tu chvíli řešíte dvě rovnocenně kritické otázky. První je technická – jak obnovit systémy, zabránit dalšímu šíření malwaru, zachránit data. Druhá je právní – jaké máte oznamovací povinnosti, jak komunikovat se zákazníky, co s odpovědností vůči obchodním partnerům, jak zajistit důkazy pro případné řízení.

Tato dualita není náhodná. Je přirozeným důsledkem toho, že digitální svět existuje v rámci právního řádu. Každý bit dat, každá transakce, každý přístup do systému má svůj technický a právní rozměr. Ignorovat jeden z nich znamená vystavit se riziku na tom druhém.

Technologie vytváří realitu, právo definuje odpovědnost

Fundamentální logika je jednoduchá: technologie určuje, co je možné, právo určuje, co je dovolené a kdo za co odpovídá. Firewall chrání před průnikem zvenčí, ale právní rámec určuje, co se stane, když selže. Šifrování chrání data, ale smlouva definuje, kdo nese odpovědnost při jejich úniku.

Vezměme konkrétní příklad – cloudové úložiště. Z technického pohledu jde o distribuovaný systém s redundancí a šifrováním. Z právního pohledu jde o komplexní síť smluvních vztahů, odpovědností za data třetích stran, jurisdikčních otázek a regulatorních požadavků. Nelze říct, který pohled je důležitější – oba jsou nezbytné pro bezpečné fungování.

Prevence

Každé bezpečnostní opatření má dvě strany. Technickou implementaci a právní vymahatelnost. Můžete mít perfektní bezpečnostní politiku pro zaměstnance – technicky promyšlenou, pokrývající všechny rizikové scénáře. Ale pokud není právně korektně zavedena, stává se jen nezávazným doporučením.

Příklad: Chcete monitorovat firemní e-maily kvůli prevenci úniku dat. Technicky to v zásadě není problém. Právně je to minové pole – ochrana soukromí zaměstnanců, pracovní právo, GDPR. Bez právníka riskujete, že technicky správné řešení bude právně nepoužitelné.

Nebo vzdálený přístup zaměstnanců. Technicky nastavíte VPN, dvoufaktorovou autentizaci, šifrování. Ale kdo odpovídá, když zaměstnanec ztratí firemní notebook v kavárně? Co když používá firemní data na soukromém zařízení? Tyto otázky vyžadují právní řešení ve formě smluv, směrnic a jasně definovaných odpovědností.

Dodavatelský ekosystém

Moderní firma není izolovaný ostrov. Je součástí složité sítě dodavatelů – cloudových služeb, SaaS aplikací, externích vývojářů, konzultantů. Každý z nich představuje potenciální bezpečnostní riziko a právní vztah současně.

Technický audit dodavatele vám řekne, zda má certifikaci ISO 27001, jaké používá šifrovací algoritmy, jak často zálohuje. Právní audit vám řekne, jaké máte možnosti při jeho selhání, kdo nese odpovědnost za ztrátu dat, jaké máte garance dostupnosti služby.

SLA (Service Level Agreement) je perfektním příkladem této symbiózy. Technicky definuje parametry dostupnosti – 99,9% uptime znamená maximálně 43 minut výpadku měsíčně. Právně definuje kompenzace při nedodržení, postupy eskalace, rozdělení odpovědností. Bez obou pohledů je SLA jen prázdný papír.

Incident response

Kybernetický incident je jako požár. Prvních několik minut rozhoduje o rozsahu škod. Ale zatímco u požáru stačí volat hasiče, u kyberincidentu musíte koordinovat technickou a právní reakci současně.

Technická stránka: Izolace napadených systémů, forenzní analýza, obnova ze záloh, oprava zranitelností.

Právní stránka: Aktivace advokátní ochrany pro zachování důvěrnosti vyšetřování, posouzení oznamovacích povinností, příprava komunikace se stakeholdery, dokumentace pro pojišťovnu.

Tyto aktivity nelze oddělovat. Technická forenzní analýza musí být provedena způsobem, který obstojí u soudu. Komunikace s úřady musí být technicky přesná a právně korektní. Rozhodnutí o zaplacení výkupného má technické (dostaneme data zpět?) i právní (je to legální? pokryje to pojistka?) aspekty.

Dokumentace aneb most mezi světy

Dokumentace je místo, kde se technický a právní svět setkávají nejviditelněji. Technická dokumentace popisuje, jak systémy fungují. Právní dokumentace prokazuje, že fungují v souladu s předpisy a že management vykonává péči řádného hospodáře.

Risk assessment je technický dokument mapující zranitelnosti a hrozby. Ale je také právním dokumentem prokazujícím, že vedení firmy aktivně řídí rizika. Zápis z penetračního testu je technickou zprávou o nalezených slabinách. Ale je také důkazem due diligence pro případ sporu.

Právník zajistí, že technická dokumentace má právní váhu. Že je datovaná, podepsaná, archivovaná. Že rozhodnutí o akceptaci rizik jsou řádně zdokumentována na úrovni managementu. Že existuje auditní stopa prokazující kontinuální péči o bezpečnost.

Investice do synergie se vyplácí

Oddělený přístup k technice a právu vytváří mezery, kterých útočníci i regulátoři rádi využívají. Integrovaný přístup tyto mezery uzavírá.

Když kyberbezpečnostní expert a právník sedí u jednoho stolu, výsledkem není jen součet jejich znalostí, ale synergické řešení, které:

• Technicky funguje a právně obstojí
• Předchází problémům místo jejich řešení
• Šetří čas díky paralelní práci na technických a právních aspektech
• Minimalizuje riziko osobní odpovědnosti managementu
• Vytváří robustní ochranu proti vnějším i vnitřním hrozbám

Nový zákon jako katalyzátor nevyhnutelného

Od listopadu 2025 vstupuje v platnost nový zákon o kybernetické bezpečnosti, který tuto symbiózu techniky a práva činí ještě viditelnější. Tisíce českých firem budou muset do konce roku provést samoidentifikaci, implementovat bezpečnostní opatření a převzít osobní odpovědnost na úrovni vedení.

Zákon ale není důvodem pro spolupráci techniků a právníků – je jen jejím katalyzátorem. Fundamentální potřeba propojit technickou ochranu s právní jistotou existovala vždy. Nová regulace ji pouze činí explicitní a sankcionovanou.

Firmy, které pochopí, že kybernetická bezpečnost není oddělené technické téma, ale integrální součást podnikání vyžadující technickou i právní expertizu, nejen splní regulatorní požadavky. Získají konkurenční výhodu v digitální ekonomice, kde důvěra a bezpečnost jsou klíčovými diferenciátory.

Dva experti, jedna vize

Spolupráce kyberbezpečnostní firmy a advokátní kanceláře není luxusem ani formalitou. Je přirozeným důsledkem reality, ve které technologie a právo tvoří neoddělitelný celek. Firma, která to pochopí a jedná podle toho, chrání nejen svá data a systémy, ale především svou budoucnost.

V době, kdy kybernetické hrozby rostou exponenciálně a regulace se zpřísňuje, není otázka, zda propojit technickou a právní ochranu. Otázka je, jak rychle to dokážete udělat, než vás předběhne konkurence – nebo než vás dostihnou problémy.

 – Štěpán Horák, manažer a auditor kyberbezpečnosti firem, zakladatel a CEO AttentID s.r.o.