NIS2 už platí. Váš dodavatel vám může ušetřit víc než jen práci

Představte si rutinní úterní dopoledne ve středně velkém strojírenském podniku na Plzeňsku. Do areálu vjíždí dodávka externí servisní firmy, která má na starosti pravidelnou údržbu kompresorové stanice a centrální vzduchotechniky. Technik v montérkách vytahuje z brašny firemní notebook, zastrčí ethernetový kabel přímo do servisního portu řídicího automatu na rozvaděči a spouští diagnostiku. Běžná rutina, která se v českých fabrikách opakuje tisíckrát denně.

Jenže tenhle servisní notebook byl včera večer připojený k nezabezpečené domácí Wi-Fi síti, kde syn dotyčného technika stahoval cracknutou počítačovou hru. O čtyřicet minut později se výrobní linka zastavuje. Vyděračský ransomware nezaútočil přes firemní e-maily ani přes firewall centrály v Praze. Do provozní sítě vklouzl přes zaprášený servisní konektor v kompresorovně.

Až dosud by vedení podniku ukázalo prstem na externí firmu, požadovalo náhradu škody z jejich pojistky a pojišťovna by se léta soudila. Dnes je všechno jinak. Směrnice NIS2 a navazující nový český zákon o kybernetické bezpečnosti překopaly pravidla hry. Pokud dojde k incidentu přes vašeho servisního partnera, odpovědnost padá přímo na vaši hlavu. Jednatelé a členové představenstva ručí osobně, hrozí jim zákaz výkonu funkce a pokuty dosahují až 250 milionů korun nebo dvou procent z celosvětového obratu.

Pravidelná údržba strojů, energetických celků a budov přestala být čistě mechanickou záležitostí. Stala se bezpečnostním minovým polem, kde vám správně zvolený dodavatel dokáže zachránit nejen nepřetržitý chod výroby, ale i miliony korun na pokutách a interních nákladech.

Dodavatelský řetězec jako hlavní cíl: Proč NÚKIB sleduje vašeho servisáka

Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) odhaduje, že nová regulace přímo dopadne na více než šest tisíc českých organizací. Nepůjde jen o banky, mobilní operátory a nemocnice jako v minulosti. Pod přísnější režim spadají vodárny, potravinářské závody, chemické provozy, strojírenské podniky i provozovatelé obnovitelných zdrojů energie. A co je podstatné: i když vaše firma nespadá do regulace přímo, spadnete do ní nepřímo jako dodavatel regulovaného subjektu.

Největší změna, kterou NIS2 přináší, se jmenuje bezpečnost dodavatelského řetězce. Útočníci dávno vědí, že prolomit zabezpečení moderního korporátního IT bývá drahé a pracné. Proč by se namáhali s prolamováním víceúrovňového ověřování a šifrované komunikace, když se mohou zaměřit na nejslabší článek: externího dodavatele údržby, který má přímý fyzický i vzdálený přístup do technologie?

V průmyslovém prostředí (OT – Operational Technology) se desítky let hrálo na to, že provozní technologie jsou oddělené od okolního světa. Tento mýtus definitivně padl. Frekvenční měniče, programovatelné automaty (PLC), kotelny, chladicí okruhy i fotovoltaické střídače jsou dnes téměř bez výjimky připojené k internetu kvůli vzdálenému dohledu a telemetrii. Komunikační protokoly jako Modbus TCP nebo Profinet vznikaly v době, kdy nikoho ani nenapadlo řešit šifrování nebo autentizaci. Kdokoliv se dostane na stejný síťový segment, může do technologie poslat libovolný příkaz.

Podle nových požadavků musí regulované podniky prověřovat své dodavatele podle přesně stanovené metodiky. Už nestačí podepsat čestné prohlášení o mlčenlivosti. Musíte auditovat, jakým způsobem vaši servisní partneři nakládají s přístupovými údaji, jak aktualizují své servisní nástroje a jaké mají interní procesy pro hlášení incidentů. Pokud si najmete dodavatele, který tato kritéria nesplňuje, porušujete zákon vy sami, nikoliv on.

Průmysl bez lidí: Proč nedostatek techniků nahrává outsourcingu

Český průmysl stojí před gigantickou personální zdí. Milan Jasný, šéf společnosti Alma Career provozující portály Jobs.cz a Práce.cz, dlouhodobě upozorňuje na to, že skutečná revoluce v tom, jak firmy shánějí lidi, se teprve rozbíhá. Technické obory zejí prázdnotou. Vysoce kvalifikovaní technici elektro, mechatronici a specialisté na průmyslovou automatizaci zkrátka na trhu práce nejsou a v dohledné době nebudou.

Tento trend potvrzují i lídři těžkého průmyslu. Šéf plzeňského strojírenského gigantu Škoda Transportation z impéria PPF nedávno otevřeně popsal směr, kterým se celé odvětví ubírá: míříme k plně autonomním vlakům bez strojvedoucích a tvrdé konkurenci s gigantickými továrnami v Asii. Závody, které nedokážou maximalizovat automatizaci a eliminovat manuální rutinu, nebudou schopné v příští dekádě přežít.

Jenže plná automatizace přináší paradox: čím méně lidí pobíhá po hale, tím závislejší je provoz na bezchybném fungování senzorů, pohonů a řídicích algoritmů. A právě zde naráží personální krize na novou legislativu NIS2. Kde má středně velká výrobní firma vzít experty, kteří rozumí jak silnoproudému zapojení trafostanice, tak šifrovacím certifikátům, síťové segmentaci podle normy IEC 62443 a požadavkům NÚKIB?

Udržovat vlastní interní tým specialistů na kybernetickou bezpečnost provozních technologií je pro 95 procent českých firem ekonomický nesmysl. Náklady na jednoho seniorního OT bezpečnostního architekta se dnes pohybují vysoko nad 150 tisíci korunami měsíčně, a to v čisté mzdě bez odvodů a benefitů. K tomu připočtěte nutnost nepřetržitého dohledu v režimu 24/7/365.

Zde nastupuje role technologického dodavatele, který neprodává pouze hodiny práce servisního zámečníka, ale přináší kompletní, legislativně prověřené řešení na klíč. Správný technologický partner rozprostře náklady na špičkové bezpečnostní inženýry, certifikované monitorovací nástroje a procesní dokumentaci mezi stovky klientů. Místo budování nákladného vnitřního aparátu si tak kupujete jistotu a soulad s předpisy za zlomek ceny.

Chcete ušetřit na energiích?

Zjistěte, kolik můžete ušetřit sdílením elektřiny z FVE nebo optimalizací bateriového úložiště.

Spočítat úsporu →

Od šroubováku k Zero Trust: Jak vypadá moderní bezpečná údržba

Jak v praxi vypadá rozdíl mezi zastaralou a moderní údržbou? Tradiční servisní firma se spoléhá na neřízené vzdálené přístupy. Servisní technik má v kapse USB flashdisk s neznámým obsahem, pro vzdálenou pomoc používá bezplatnou verzi TeamVieweru nebo AnyDesku a hesla k PLC automatům visí na zažloutlém papírku uvnitř rozvaděče s univerzálním heslem typu „admin123“. Z pohledu NIS2 jde o bezpečnostní sebevraždu s okamžitým záznamem do protokolu o auditu.

Moderní technologický servis funguje na zcela odlišných principech, které vycházejí z architektury Zero Trust (nikomu nevěř, všechno ověřuj):

Vzdálený přístup přes bezpečné brány (PAM): Externí servisák se nikdy nepřipojuje přímo do vnitřní technologické sítě. Prochází přes zabezpečený bastion host s vícefaktorovým ověřením. Každé kliknutí myší, každý zadaný příkaz a každá úprava parametrů je nahrávána na video a auditována v reálném čase.
Přísná síťová mikrosegmentace: Řídicí automaty, energetická zařízení ani pohony nesmí mít přístup do běžné kancelářské sítě a už vůbec ne do veřejného internetu. Komunikace probíhá výhradně přes dedikované šifrované tunely.
Nepřetržitý telemetrický dohled: Namísto fyzického obcházení strojů s měřicím přístrojem jednou za měsíc probíhá online sběr provozních parametrů.

Právě v této oblasti se dnes propojují požadavky NIS2 s moderním technologickým servisem. Komplexní řešení SmartEnergyShare ukazuje, že zabezpečený provoz nemusí být administrativní přítěží, ale funkčním nástrojem provozní úspory. Nasazením zabezpečeného [IoT monitoringu](https://smartenergyshare.com/iot-monitoring?utm_source=smartenergyshare-cz&utm_medium=referral&utm_campaign=satellite-marketing) získávají firmy obousměrnou výhodu. Na jedné straně splňují nekompromisní požadavky zákona na logování událostí a integritu dat, na straně druhé získávají prediktivní údržbu, která odhalí přehřívání ložiska, degradaci dielektrika nebo asymetrii fází týdny předtím, než dojde k havárii a zastavení linky.

Místo reaktivního hašení požárů se servis mění na kontinuální datovou službu. Když servisní technik přijede na místo, ví přesně, který díl má vyměnit, a má k dispozici digitální dvojče stroje s kompletní historií servisních zásahů.

Energetická infrastruktura v epicentru: Baterie, střídače a flexibilita

Pokud existuje oblast, kde je průnik mezi údržbou, energetikou a kybernetickou bezpečností obzvlášť kritický, pak je to moderní decentralizovaná energetika. Průmyslové areály masivně investují do střešních fotovoltaických elektráren, kogeneračních jednotek a velkokapacitních bateriových úložišť (BESS). Podniky už nechtějí být pouhými pasivními odběrateli drahé elektřiny, ale aktivními hráči na trhu.

Tato zařízení však představují obrovský kyber-fyzikální systém. Průmyslová baterie o kapacitě několika megawatthodin není jen velká powerbanka. Je to sofistikovaný komplex chemických článků, kapalinového chlazení, protipožárních systémů a výkonové elektroniky, který komunikuje po protokolech IEC 60870-5-104 s dispečinkem distributora a operátorem trhu.

Co se stane, když útočník napadne špatně udržovaný bateriový systém? Nejde jen o únik dat. Zmanipulováním parametrů nabíjení a chlazení může dojít k tepelnému úniku (thermal runaway), explozi a zničení výrobní haly. Na globální i lokální úrovni se detailními aspekty spolehlivosti a rizik baterií zabývá například odborný magazín bess-global-blog.vercel.app, který pravidelně upozorňuje na nutnost certifikovaného systémového dohledu u průmyslových instalací.

Kromě fyzické destrukce existuje ještě jedno obrovské riziko: manipulace se síťovou stabilitou. Tisíce kompromitovaných střídačů mohou v jeden okamžik odpojit své dodávky do sítě a vyvolat lokální blackout. I proto Energetický regulační úřad společně s provozovatelem přenosové soustavy ČEPS nekompromisně zpřísňují technické podmínky připojení výroben a úložišť.

Zde se ukazuje, proč je volba dodavatele údržby naprosto klíčová. Certifikovaný partner, který se orientuje v problematice jako je obchodování flexibility, totiž nestaví údržbu na starých postupech. Propojuje fyzické revize s kybernetickou ochranou. Vysoce specializovaná řešení pro firmy dokážou zajistit, že bateriová úložiště a lokální obnovitelné zdroje nejen plní přísné standardy NIS2 a Kodexu ČEPS, ale zároveň bezpečně vydělávají na poskytování služeb výkonové rovnováhy. Legislativní souvislosti a příklady z praxe pro komunity i komerční sféru dlouhodobě mapuje také portál electric-share.cz.

Pokud váš servisní dodavatel nechápe rozdíl mezi otevřeným portem pro vzdálenou správu střídače a šifrovaným dispečerským kanálem, vystavuje vás riziku okamžitého odpojení od distribuční soustavy bez nároku na kompenzaci.

Tvrdá čísla: Kolik vám certifikovaný dodavatel reálně ušetří

Podívejme se na ekonomiku bez růžových brýlí. Mnoho finančních ředitelů stále nahlíží na požadavky NIS2 jako na další unijní byrokratickou daň, která pouze odčerpává provozní kapitál. To je zásadní omyl. Když rozpadnete náklady na drobné, zjistíte, že profesionální dodavatel údržby přináší okamžitou návratnost.

Porovnejme si dvě cesty, kterými se firma s ročním obratem kolem 500 milionů korun může vydat:

Varianta A: Vlastní řešení (In-house cesta)

Personální náklady: Dva interní specialisté (OT bezpečnostní správce + automatizační inženýr) vyjdou firmu ročně minimálně na 3,2 milionu korun v superhrubé mzdě a průběžném školení. Technologické licence: Vlastní SIEM/SOC nástroje pro monitoring provozní sítě, licence pro správu privilegovaných přístupů (PAM) a specializovaný zranitelnostní skener pro průmyslové PLC: zhruba 1,2 milionu korun ročně. Penetrační testy a audit: Pravidelný roční externí audit a penetrační test OT infrastruktury podle metodiky NÚKIB: 400 až 700 tisíc korun. Celkové přímé roční náklady: 4,8 až 5,1 milionu korun. A to za předpokladu, že tyto nedostatkové lidi vůbec dokážete na trhu práce najít a udržet.

Varianta B: Strategické partnerství s technologickým dodavatelem

Integrovaný servis v rámci SLA smlouvy: Dodavatel přebírá fyzickou údržbu, zákonné revize i kybernetický dohled nad infrastrukturou v jednotném balíku. Zahrnuje bezpečný IoT monitoring, automatické zálohování konfigurací PLC a okamžitou reakci na incidenty. Roční náklad: 1,2 až 1,8 milionu korun v závislosti na komplexnosti technologie. * Čistá přímá úspora na provozu: 3,0 až 3,6 milionu korun každý rok.

A to mluvíme pouze o přímých nákladech. Započítat musíte i hodnotu odvrácených škod. Podle dat pojišťovacího trhu a mezinárodních analýz institutu Ponemon stojí průměrná hodina neplánované odstávky ve strojírenské výrobě mezi 250 tisíci a 1,5 milionem korun. V nepřetržitých chemických provozech nebo automobilovém subdodavatelském řetězci jdou ztráty ještě násobně výš.

Prediktivní údržba podložená zabezpečeným IoT monitoringem snižuje neplánované výpadky strojů o 30 až 50 procent a prodlužuje celkovou životnost klíčových agregátů o pětinu. Prověřený dodavatel vám tak nešetří jen práci vašich vlastních údržbářů – přímo chrání cash flow a provozní marži podniku.

Co vyžadovat v servisních smlouvách už zítra: Praktický manuál pro manažery

Pokud jste dosud neaktualizovali smlouvy s vašimi servisními partnery, jste v obrovském právním i provozním skluzu. Nová legislativa nepřipouští žádné přechodné hájení ve stylu „my jsme nevěděli“. Inspektoři NÚKIB při auditech nepůjdou jen po technických zařízeních, ale začnou kontrolou smluvní dokumentace.

Zde je pět konkrétních bodů, které musíte zapracovat do servisních smluv a dodatků okamžitě:

Právní garance shody s NIS2: Dodavatel se musí smluvně zavázat k plnění technických a organizačních bezpečnostních opatření odpovídajících nové kybernetické legislativě. Součástí musí být i jeho povinnost podrobit se vašemu auditu nebo auditu vámi pověřené třetí strany.
Přísné SLA na hlášení incidentů: Podle zákona musíte nahlásit významný kybernetický incident NÚKIB do 24 hodin od jeho zjištění. Váš dodavatel proto musí mít ve smlouvě zakotveno, že vám jakékoliv podezření na kompromitaci servisních nástrojů nebo vašich technologií nahlásí bezodkladně, nejpozději do 4 hodin. Pokud to nesplní, musí nést plnou finanční regresní odpovědnost za případné sankce ze strany regulátora.
Zákaz sdílených účtů a povinnost MFA: Veškerý vzdálený přístup musí probíhat pod unikátní identitou konkrétního technika s vícefaktorovým ověřením. Smluvně zakažte používání generických servisních účtů, u kterých nelze zpětně dohledat, kdo konkrétně v systému provedl změny.
Řízení subdodavatelů (dodavatelský řetězec druhého řádu): Pokud váš dodavatel údržby využívá další subdodavatele (například specializovaný servis chlazení pro velká bateriová úložiště), musí za ně ručit v plném rozsahu. Nemůže přenést odpovědnost na neprověřenou třetí stranu bez vašeho předchozího písemného souhlasu.
Pravidelné zálohování a plán obnovy (Disaster Recovery): Součástí údržby musí být periodické a šifrované zálohování řídicích programů a firmware všech zařízení. Zálohy musí být uloženy mimo dosah provozní sítě (tzv. offline / immutable storage). Smlouva musí definovat garantovaný čas obnovy provozu po totálním kolapsu sítě (RTO – Recovery Time Objective).

Vstup do éry NIS2 nemusí být noční můrou podnikového ředitele. Firmy, které pochopí nová pravidla včas, dokážou tuto legislativní nutnost přetavit ve svou největší konkurenční výhodu. Vyřazením nespolehlivých, technologicky zaostalých servisních garážových firem a přechodem k prověřeným partnerům vyřešíte tři problémy najednou: zbavíte se hrozby likvidačních sankcí, vyřešíte akutní nedostatek vlastních techniků a srazíte náklady na prostoje výrobních linek na historické minimum. Váš dodavatel technologií a údržby už není pouhým nákladovým řádkem v účetnictví. Je strážcem vaší provozní existence.

Zdroje

Obchodujete s batteriovými úložišti nebo hledáte partnera pro flexibilitu a day trading elektřiny? SmartEnergyShare nabízí kompletní řešení pro BESS projekty od 50 do 250 kW — obchodování flexibility, SVR služby a IoT monitoring. Zjistěte víc →

Další články na toto téma najdete na: ElectricShare.cz Proč váš dodavatel vydělává na vašich přetocích z FVE — a... Vice o byd launches