NIS2, CVE a NDAA: Jak se v tom vyznat (a co to znamená pro Dahua)

V EU platí směrnice NIS2. V Česku se promítá do nového zákona o kybernetické bezpečnosti (č. 264/2025 Sb.), účinného od 1. listopadu 2025. V praxi se často plete s pojmy CVE (zveřejněné zranitelnosti) a NDAA (americká legislativa omezující některé výrobce v USA). Níže najdete přehled a doporučení, jak k tématu přistoupit, pokud používáte kamery Dahua.

✓

Klíčové ujištění:

NIS2 / nový český ZKB neobsahuje žádný „seznam zakázaných značek“.
NDAA a různé „blacklisty“ jsou americké požadavky pro federální zakázky v USA – mimo USA nejsou samy o sobě závazné.
V ČR/EU je rozhodující splnění procesních požadavků NIS2/ZKB (řízení rizik, aktualizace, dohled, smluvní záruky), nikoliv nálepka značky.

NIS2CVENDAADahua

1) NIS2 a nový český zákon o kybernetické bezpečnosti

Co to je: Evropský rámec, který stanovuje povinnosti v oblasti kybernetické bezpečnosti a řízení rizik. Česká verze (ZKB) rozšiřuje okruh povinných subjektů na tisíce firem a institucí a klade důraz na dodavatelský řetězec, incident reporting a odpovědnost vedení.

Registrace u NÚKIB a následná implementace opatření.
Řízení rizik, procesy pro aktualizace a hlášení incidentů.
Bezpečnost dodavatelů (kamer, NVR, VMS, správy sítí).
Auditní stopa a odpovědnost vrcholového vedení.

2) CVE — katalog zranitelností

CVE (Common Vulnerabilities and Exposures) je veřejná databáze známých zranitelností. U velkých výrobců, jako je Dahua, se záznamy objevují – to samo o sobě není negativní. Rozhoduje reakce výrobce a vaše provozní praxe.

Rychlost záplatování a jasná komunikace výrobce.
Plán aktualizací (SLA), testování a řízené nasazování firmware.
Mitigace: segmentace sítí, silná autentizace, firewall, logování.
Evidence, kdy a na jakých zařízeních byly opravy provedeny.

3) NDAA — americký zákaz čínských technologií

NDAA (Section 889) zakazuje některé výrobce/komponenty ve federálních zakázkách USA (mj. Dahua, Hikvision). Výrobci proto nabízejí řady „NDAA compliant“ (bez zakázaných čipů, typicky HiSilicon). V EU/ČR to však není náhrada za splnění NIS2 – je to jiný právní rámec.

Jak to sladit v praxi (pro instalace Dahua v ČR)

Ověřit, zda organizace spadá pod ZKB/NIS2 (odvětví + velikost). Pokud ano, připravit registraci u NÚKIB a plán implementace.

Zmapovat aktiva (kamery, NVR, VMS, síť), nastavit politiky aktualizací a sledování CVE.

Segmentovat sítě, zavést MFA, omezit přístupy, logovat správu a přístupy k záznamům.

Smluvně ošetřit se subdodavateli reakční doby na zranitelnosti a poskytování firmware.

Nastavit incident management – hlášení v termínech dle zákona, evidence a komunikace s NÚKIB.

Školit personál a udržovat auditní stopu rozhodnutí vedení.

Nejčastější omyly

„NDAA compliant = NIS2 splněno.“

Nikoliv. NDAA je americká legislativa. V EU/ČR rozhodují požadavky NIS2/ZKB a procesní řízení rizik (dodavatelé, aktualizace, incidenty, audit).

„NIS2 má blacklist výrobců.“

Nemá. NIS2/ZKB neurčuje zakázané značky. Posuzuje se rizikovost a schopnost řídit bezpečnost dodavatelů a systému jako celku.

„CVE u značky = špatná značka.“

Ne. CVE značí transparentnost. Důležitá je rychlost záplat, doporučené mitigace a vaše provozní disciplína (plán aktualizací, logování, segmentace).

„NIS2 se týká jen kritické infrastruktury.“

Omyl. Nový zákon výrazně rozšiřuje okruh regulovaných subjektů i mimo kritickou infrastrukturu – podle odvětví a velikosti organizace.

„Když kamery nepřipojím k internetu, kyberbezpečnost neřeším.“

Útoky a incidenty vznikají i v lokálních sítích (slabá hesla, starý firmware, USB, laterální pohyb). NIS2/ZKB řeší řízení rizik bez ohledu na veřejný internet.

„Automatické aktualizace firmware vše vyřeší.“

Ne. Potřebujete řízený proces: testování, okna údržby, zálohy konfigurací, rollback, evidenci provedených updatů a mitigace tam, kde fix ještě není.

„NDAA štítek na pár kamerách stačí pro celou instalaci.“

Nestačí. Posuzuje se celý systém (kamery, NVR, VMS, síť), procesy a smluvní záruky. Jednotlivé štítky nenahrazují systémové řízení rizik dle NIS2/ZKB.

Shrnutí

Co si odnést v kostce:

NIS2/ZKB je pro ČR/EU klíčový rámec: povinnosti, sebeidentifikace, řízení rizik, incidenty a odpovědnost vedení.
NIS2/ZKB žádný „seznam zakázaných značek“ nemá. Hodnotí se procesy a řízení rizik dodavatelů a systému jako celku.
CVE je technický kompas zranitelností – důležitá je rychlá záplata, mitigace a průběžná evidence aktualizací.
NDAA je americký požadavek; v ČR má význam jen tam, kde to dává smysl obchodně/právně, ale není náhradou NIS2.
Dahua v praxi: vyberte podporované modely, sledujte bulletiny, držte plán aktualizací a segmentujte sítě (MFA, logování, minimální přístupy).

Jinými slovy: místo hledání „správného štítku“ je podstatné mít správně nastavený proces a doložitelnou péči o bezpečnost celého kamerového řešení.

Zdroje a doporučené čtení

Pozn.: NDAA (Section 889) je americká legislativa; v EU je stěžejní NIS2/ZKB a řízení rizik dodavatelů.

Líbil se článek? Sdílejte ho s přáteli

Facebook

Twitter