Shrnutí pro zaneprázdněné
☑ 74 % kyberincidentů způsobí zaměstnanci neznalostí a nedbalostí
☑ Legislativa vyžaduje pravidelné školení pro všechny zaměstnance, a to včetně TOP managementu
☑ Lepší vzdělávací výsledky přichází při dlouhodobějším působení
☑ Dokumentujte každé školení: prezenční listiny a phishingové testy jsou užitečné při kontrole
74 % útoků začíná pochybením člověka
Firemní školení kybernetické bezpečnosti bývá podceňované do doby, než se stane první problém. Firmy investují do antivirů, firewallů a technického zajištění. Přesto jim data unikají a dostávají se do problémů v kyberprostoru. Důvod je jednoduchý: 74 % bezpečnostních incidentů způsobuje lidský faktor, ať už jde o omyl, lenost nebo cokoliv jiného. Technické opatření a lidské dovednosti musí jít ruku v ruce.
Čísla, která mluví za vše
Od konce roku 2022 přibylo phishingových útoků (podvodný e-mail, který usiluje o odcizení citlivých přístupů zaměstnanců atp.) o více než 1 200 %. V praxi se ukazuje, že před zahájením pravidelného phishing tréninku klikne na podvodný odkaz v průměru 33 ze 100 zaměstnanců. Po systematickém vzdělávání a tréninku to může být 5 zaměstnanců ze 100. Také výzkum univerzity v Curychu ukázal, že po kvalitním školení vzrostla schopnost zaměstnanců rozpoznat phishing z 11 % na 64 %.
To znamená dvě věci. Moderní phishingové útoky není radno zlehčovat, jsou velmi časté a vysoce účinné. Zvýšit odolnost zaměstnanců lze systematickým trénováním a školením.
Školení kybernetické bezpečnosti a požadavky NIS2
NIS2 je závazná evropská směrnice, která přináší mj. požadavky na vzdělávání zaměstnanců. Školením musí projít všichni zaměstnanci včetně vedení, bez výjimky. Obsah školení se ale liší podle pracovní role.
- Každý zaměstnanec by si po školení měl sebevědomě odpovědět na tři otázky: Co je podezřelé? Co nesmím dělat? Kam můžu hlásit problémy? To je základ pro běžné pracovníky.
- IT administrátoři a technické týmy potřebují jít hlouběji: procházet simulace ransomwarových útoků, trénovat reakci na úniky dat a zvládat kontrolní body při změnách systémů.
- TOP management se zase musí dobře orientovat v řízení kybernetické bezpečnosti, procesech aj.
Jeden kurz pro všechny nefunguje. Pokud si nejste jistí, jak obsah přizpůsobit různým rolím, rádi vám poradíme na konzultaci.
Druhý klíčový požadavek je pravidelnost a aktuálnost. Kybernetické hrozby se proměňují rychleji než roční cyklus povinných školení. Proto je nutné, aby zaměstnanci byli průběžně informováni o nových typech útoků. Naše školení kybernetické bezpečnosti provází zaměstnance všemi doporučenými tématy přílohy č. 6. Vyhlášky č. 409/2025 Sb.
Jak vypadá školení digitální bezpečnosti, které skutečně funguje
Co funguje v naší vzdělávací praxi je kombinace tří prvků: přizpůsobení obsahu pracovní náplni zaměstnance, názorné příklady a pravidelné simulace phishingu. Seznámíme se s vaší firmou, navrhneme vhodný postup a obsah.
💡 TIP: Měřte efektivitu školení ještě před jeho zahájením. Rozešlete zaměstnancům dotazník před školením a po něm. Bez tohoto srovnání nevíte, zda školení něco změnilo k lepšímu. Kvalitní vzdělávání je měřitelné. Dbejte na to u svých dodavatelů.
Při kontrole regulátorem (NÚKIB) také nestačí říct „školili jsme“. Potřebujete dokumentaci: prezenční listiny, výsledky testů, záznamy o tom, kdo absolvoval které školení a kdy. To se často zanedbává. My máme připravené šablony, které vám můžeme poskytnout pro evidenci i měření efektivity vzdělávání.
Musíme školit i vedení firmy, nebo stačí řadoví zaměstnanci?
NIS2 explicitně uvádí, že školením musí projít všichni zaměstnanci, a to včetně vedení. Vedoucí pracovníci jsou navíc častým terčem útoků typu CEO fraud.
Jak poznám, jestli naše firma pod NIS2 spadá?
NIS2 se vztahuje především na firmy a organizace ve vybraných odvětvích (energetika, doprava, zdravotnictví, digitální infrastruktura a další), dále dle počtu zaměstnanců, obratu aj. Oficiální informace můžete čerpat přímo na Portálu NÚKIB.
Jak často musíme školení kyberbezpečnosti opakovat?
NIS2 neurčuje pevnou frekvenci, ale vyžaduje, aby školení bylo pravidelné a aktuální. Tedy aby reagovalo na nové typy hrozeb. V praxi se doporučuje minimálně jednou ročně s průběžnými aktualitami a simulacemi phishingu v kratších intervalech. Rádi vám s tím pomůžeme na bezplatné konzultaci.
Co udělat dnes
☑ Zmapujte, které role ve firmě potřebují jaký obsah školení: IT admin ≠ účetní ≠ vedení
☑ Seznamte se s doporučenými tématy pro vzdělávání zaměstnanců dle přílohy č. 6. Vyhlášky č. 409/2025 Sb.
☑ Naplánujte vstupní phishing simulaci, abyste měli základní metriku před zahájením vzdělávání
☑ Nastavte systém dokumentace: prezenční listiny a výsledky testů pro každé školení
Potřebujete pomoct nastavit funkční systém školení kybernetické bezpečnosti a vhodný obsah pro vaši firmu? Společně projdeme konkrétní kroky: od mapování firmy, přes nastavování vzdělávacích cílů, návrh obsahu až po systém dokumentace, která obstojí při kontrole.
