NIS2 a dodavatelský řetězec: jak prověřovat a monitorovat dodavatele

Stručná odpověď. Scorify je nástroj pro prověřování českých firem a průběžné sledování jejich finančních a rejstříkových rizik. V tarifu Business + NIS2 kombinuje registr dodavatelů, kategorizaci podle důležitosti, neomezené prověřování, denní monitoring až 100 firem, e-mailová upozornění, export portfolia do PDF a Auditní protokol (NIS2 / ISO) s kontrolním otiskem SHA-256 a online ověřením. Slouží jako podpůrný podklad pro řízení rizik dodavatelského řetězce; nenahrazuje technický audit kybernetické bezpečnosti ani právní posouzení povinností.

• 1 490 Kč měsíčně (nebo 15 000 Kč ročně): cena tarifu Business + NIS2 podle aktuální nabídky Scorify.
• Až 100 dodavatelů: denní monitoring sledovaných firem a upozornění na podporované změny.
• Neomezené prověřování: skóre, rozklad rizik, finanční ukazatele, srovnání s oborem a historie prověření.
• PDF a ověření online: protokol s datem a časem prověrky, otiskem SHA-256 a možností ověření přes QR kód.

Co je NIS2 a co přináší český zákon o kybernetické bezpečnosti?

NIS2 je směrnice Evropského parlamentu a Rady (EU) 2022/2555 zaměřená na zajištění vysoké společné úrovně kybernetické bezpečnosti v Evropské unii. V České republice na ni navazuje nový zákon č. 264/2025 Sb., o kybernetické bezpečnosti, účinný od 1. listopadu 2025, spolu s prováděcími předpisy.

Rozsah povinností není pro všechny organizace stejný. Záleží na tom, zda organizace spadá mezi poskytovatele regulované služby, do kterého režimu povinností patří a jaké služby a rizika jsou pro ni relevantní. Proto je nutné ověřit konkrétní situaci podle aktuálních informací NÚKIB a v případě potřeby s odborným poradcem.

V řízení kybernetických rizik nelze sledovat pouze vlastní infrastrukturu. Důležitou součástí je také závislost na externích dodavatelích, službách a technologiích. Organizace potřebuje vědět, kteří dodavatelé jsou pro její provoz zásadní, jaká rizika s nimi souvisejí a jak se budou rizika v čase přezkoumávat.

Důležité: Tento článek není právní stanovisko. Samotné používání Scorify nezaručuje splnění zákona č. 264/2025 Sb. Konkrétní povinnosti a jejich rozsah je nutné posoudit podle režimu organizace a aktuálních právních předpisů.

Proč prověřovat a monitorovat dodavatelský řetězec?

Dodavatel může ovlivnit schopnost organizace fungovat i tehdy, když nedodává přímo IT bezpečnostní službu. Finanční potíže dodavatele, insolvence, likvidace, změna sídla nebo jiné zásadní rejstříkové události mohou upozornit na obchodní riziko a potenciální problém s kontinuitou dodávek. U klíčových partnerů proto může být užitečné nespoléhat jen na kontrolu při podpisu smlouvy.

Jednorázová prověrka zachycuje stav v konkrétním okamžiku. Průběžný monitoring pomáhá rozpoznat vybrané změny poté, co se dodavatel dostane do seznamu sledovaných subjektů. To je podstata přístupu „Jednou prověřit nestačí.“ Neznamená to však, že veřejné rejstříky zachytí všechna rizika nebo že oznámení o změně samo prokazuje porušení smlouvy či bezpečnostní problém.

Praktické otázky, které by si měla organizace položit

• Kdo jsou naši kritičtí a významní dodavatelé a na kterých službách závisí jejich plnění?
• Máme aktuální přehled o právním stavu, zveřejněných účetních závěrkách a finanční situaci klíčových partnerů?
• Kdo obdrží upozornění, pokud se objeví významná změna ve veřejných datech?
• Umíme doložit, kdy byla prověrka provedena, z jakých informací vycházela a kdo následně rozhodl o přijetí dodavatele?
• Které bezpečnostní otázky musíme prověřit samostatně, například technická opatření, poddodavatele, smlouvy nebo SLA?

Jak Scorify pomáhá s prověřováním dodavatelů v kontextu NIS2

Scorify je česká platforma pro hodnocení firem na základě veřejně dostupných údajů. Pro řízení rizik dodavatelského řetězce poskytuje finanční a rejstříkovou vrstvu prověrky: od identifikace subjektu a skóre rizika přes sledování vybraných změn až po dokument, který může zákazník uložit do evidence dodavatelů.

Řešení je určeno také organizacím, které potřebují prověřovat více dodavatelů opakovaně a chtějí údaje vést přehledně na jednom místě. V tarifu Business + NIS2 je možné dodavatele jednotlivě nebo hromadně importovat podle IČO, zařadit je do kategorií a sledovat změny u vybraného portfolia.

Co obsahuje tarif Business + NIS2?

Tarif kombinuje běžné funkce pro prověřování firmy s nástroji zaměřenými na řízení dodavatelského portfolia. Podle aktuální nabídky Scorify zahrnuje:

• Neomezené prověřování firem včetně skóre, rozkladu, finančních ukazatelů, srovnání s oborem a historie.
• Standardní PDF report z prověrky ke stažení.
• Monitoring až 100 firem s kontrolou každý den.
• Registr dodavatelů s kategorizací kritický / významný / ostatní a hromadným importem seznamu IČO.
• Auditní protokol (NIS2 / ISO) s otiskem SHA-256 a online ověřením.
• Upozornění více osobám, například manažerovi kybernetické bezpečnosti, finančnímu řediteli, nákupu nebo jednateli.
• Export portfolia do PDF včetně ročního souhrnu pro vedení nebo auditora.
• Prioritní podporu.

Monitoring se vztahuje na podporované události ve veřejných datech, zejména vstup do insolvence, ztrátu spolehlivosti plátce DPH, vstup do likvidace, změnu sídla nebo výraznou změnu skóre. Aktualizace údajů závisí také na tom, jak a kdy se informace objeví v příslušném veřejném zdroji. Jak hlídání firem funguje obecně, popisuje stránka hlídání obchodních partnerů.

Auditní protokol (NIS2 / ISO): co dokládá a jak funguje SHA-256

Součástí řešení je jednostránkový PDF dokument o prověrce dodavatele. Může být uložen do interní evidence nebo použit jako podklad při interním posouzení. Obsahuje identifikaci dodavatele a kategorii, souhrnné skóre Scorify, výsledky rejstříkových a finančních kontrol, vymezení rozsahu a omezení, datum a čas prověrky a část určenou pro záznam rozhodnutí odběratele. Vzor protokolu je k nahlédnutí na stránce Scorify pro NIS2.

Protokol uvádí také souvislost s právním rámcem NIS2 a s vybranými oblastmi norem ISO 9001 a ISO/IEC 27001 v rozsahu finanční a rejstříkové prověrky. Jde o podpůrný podklad, nikoliv automatické potvrzení souladu s normou, certifikaci nebo právně závazné rozhodnutí o bezpečnosti dodavatele.

SHA-256 je kryptografická hashovací funkce, která vytváří kontrolní otisk digitálního obsahu. Pokud se kontrolovaný obsah změní, vypočtený otisk se změní také. V protokolu Scorify je otisk určen k ověření integrity dokumentu; online ověření je dostupné prostřednictvím QR kódu na protokolu. Samotný otisk ovšem nepotvrzuje, že všechny zdrojové údaje byly pravdivé nebo úplné: dokládá shodu ověřovaného souboru s evidovaným otiskem.

Jak s protokolem pracovat: Zkontrolujte identifikaci dodavatele, datum prověrky, zdroje a dostupnost údajů; uložte dokument do interní evidence; doplňte vlastní posouzení, rozhodnutí, podmínky a odpovědnou osobu. Pokud se rozhodnutí opírá o technická rizika, smluvní závazky nebo poddodavatele, doložte tyto oblasti samostatně.

Jaké veřejné zdroje a ukazatele Scorify využívá?

Scorify vyhodnocuje veřejné informace z následujících zdrojů:

• ARES a základní údaje o firmě: identifikace subjektu a vybrané evidenční údaje.
• Insolvenční rejstřík: záznamy o insolvenčních řízeních.
• Registr plátců DPH: spolehlivost plátce DPH a související dostupné informace.
• Sbírka listin na Justice.cz: zveřejněné účetní závěrky, zejména údaje z rozvahy a výsledovky, pokud jsou k dispozici.

Na základě dostupných dat Scorify vyhodnocuje například likviditu, zadluženost, vlastní kapitál a včasnost zveřejňování účetních závěrek. Výsledkem je skóre 0–100 a stupeň AA až E s rozkladem toho, které zjištěné faktory měly na hodnocení vliv. Podrobnosti k metodice jsou popsány na stránce Jak to funguje.

Pokud chybí finanční výkazy nebo některý zdroj není dostupný, je důležité vnímat výsledek v kontextu rozsahu dostupných dat. Chybějící informace nejsou automaticky důkazem finančního problému, ale znamenají, že finanční obrázek může být omezený. Podobně výsledek „bez nálezu“ znamená pouze to, že se v daném zdroji a v čase kontroly nepodařilo nalézt daný negativní záznam; neznamená nulové riziko.

Co Scorify pokrývá a co je nutné řešit samostatně?

Pro správné použití nástroje je důležité oddělit finanční a rejstříkové riziko od kybernetického rizika. Finančně stabilní firma může mít slabé zabezpečení IT; firma s negativním finančním signálem nemusí automaticky představovat kybernetickou hrozbu. Jde o různé úhly pohledu, které se v řízení dodavatelů doplňují.

Právě proto je vhodné využívat Scorify jako jednu konkrétní část procesu, kterou doplňují odpovědné osoby, konzultanti, interní metodika a další technické či organizační kontroly.

Pro koho je prověřování a monitoring dodavatelů vhodný?

1. Organizace, které spadají pod zákon o kybernetické bezpečnosti

Pro nákup, compliance, kybernetickou bezpečnost a finanční řízení může být užitečné mít přehled o finančních a rejstříkových signálech u desítek důležitých dodavatelů. Rozsah interního procesu musí vždy odpovídat konkrétním povinnostem a rizikovému profilu organizace.

2. Dodavatelé regulovaných organizací

I firmy, které samy nemají stejné regulatorní povinnosti jako jejich odběratelé, mohou dostávat dodavatelské dotazníky, požadavky na doložení údajů či žádosti o informace. Scorify jim může pomoci s vlastní evidencí českých dodavatelů a s opakovanou kontrolou vybraných finančních a rejstříkových informací.

3. NIS2 konzultanti, externí CISO a auditoři

Poradci mohou využít Scorify jako rychlou finanční a rejstříkovou vrstvu k analýze rizik, implementačnímu projektu nebo širšímu auditu. Výstup je podpůrný; poradce nadále posuzuje další součásti řízení rizik a konkrétní povinnosti zákazníka.

4. Nákup, finance a řízení provozu

Vedle NIS2 může být prověřování užitečné i při výběru obchodního partnera, řízení koncentrace dodavatelů nebo sledování rizik spojených s kontinuitou dodávek. Nástroj tak nemusí být relevantní pouze pro jednu regulatorní agendu.

Kolik stojí Scorify Business + NIS2?

Stránka Scorify pro NIS2 uvádí tarif Business + NIS2 za 1 490 Kč měsíčně nebo 15 000 Kč ročně. Cena zahrnuje neomezené prověřování firem a denní monitoring až 100 sledovaných dodavatelů; součástí jsou registr dodavatelů, import seznamu IČO, upozornění více osobám, Auditní protokol (NIS2 / ISO), export portfolia a prioritní podpora. Tento tarif nemá zkušební období, proto si před objednáním ověřte aktuální cenu, podmínky a dostupnost funkcí v ceníku.

Závěr: finanční a rejstříková rizika dodavatelů pod kontrolou

Řízení rizik dodavatelského řetězce podle NIS2 má technickou, smluvní i finanční stránku. Scorify pokrývá tu finanční a rejstříkovou: prověrku z veřejných rejstříků, denní sledování změn a doložitelný záznam o každé prověrce. Prohlédněte si možnosti Scorify pro NIS2, seznamte se se vzorem Auditního protokolu a zjistěte, jak lze spojit prověrku, monitoring a evidenci dodavatelů do jednoho pracovního postupu.

Upozornění: Článek má informativní charakter a nepředstavuje právní poradenství, bezpečnostní audit, certifikaci ani záruku souladu s právními předpisy. Veřejné rejstříky mohou být neúplné nebo aktualizované se zpožděním. Skóre Scorify je orientační hodnocení založené na dostupných veřejných údajích; obchodní rozhodnutí zůstává na zákazníkovi. Aktuální popis funkcí a ceny ověřte na produktové stránce Scorify.