Proč váš IT administrátor nemůže být zároveň manažerem kybernetické bezpečnosti?

Manažer kybernetické bezpečnosti je strategická role odpovědná za řízení a dohled nad celkovým stavem informační bezpečnosti organizace, včetně identifikace rizik, implementace politik a zajištění souladu s legislativou.
Naopak IT administrátor se primárně zaměřuje na provoz, údržbu a podporu IT infrastruktury. Podle normy ISO/IEC 27001 čl. 4.1, který definuje kontext a rozsah odpovědností v rámci řízení, je klíčové pochopit, že tyto dvě pozice vyžadují odlišné dovednosti, perspektivy a míru nezávislosti, což znemožňuje jejich efektivní sloučení do jedné osoby.

V dnešním digitálním světě, kde kybernetické hrozby neustále rostou na sofistikovanosti a frekvenci, již nestačí spoléhat se na to, že „někdo z IT“ se postará i o bezpečnost.

Legislativní požadavky, jako je Zákon č. 264/2025 Sb. o kybernetické bezpečnosti, nařízení GDPR a směrnice NIS 2, kladou na organizace bezprecedentní nároky na řízení informační bezpečnosti. Tyto předpisy vyžadují nejen technické zabezpečení, ale i komplexní systém řízení, který zahrnuje strategické plánování, řízení rizik, politiky, procesy a neustálé monitorování.

Svěřit tuto kritickou úlohu osobě, jejíž primární odpovědností je udržování provozu systémů, je nejen neefektivní, ale i rizikové.

Tento článek objasňuje, proč je oddělení těchto dvou rolí nezbytné pro robustní kybernetickou bezpečnost a soulad s předpisy.

Rozdíl v rolích a odpovědnostech: IT administrátor vs. Manažer kybernetické bezpečnosti

Podle normy ISO/IEC 27001, čl. 4.1, který zdůrazňuje potřebu jasného vymezení kontextu a rozsahu působnosti v rámci organizace, je nezbytné rozlišovat mezi úlohami IT administrátora a manažera kybernetické bezpečnosti. Přestože obě pozice působí v oblasti informačních technologií, jejich cíle, odpovědnosti a perspektivy jsou zásadně odlišné.

IT administrátor je především technický specialista. Jeho hlavní úlohou je zajistit bezproblémový provoz, údržbu a podporu IT infrastruktury. To zahrnuje instalaci a konfiguraci hardwaru a softwaru, správu sítí, serverů, databází, řešení technických problémů a zajištění dostupnosti systémů pro koncové uživatele. Zaměřuje se na operativní úkoly a často má rozsáhlá přístupová práva k systémům, aby mohl efektivně vykonávat svou práci. Jeho primárním cílem je funkčnost a dostupnost.

Manažer kybernetické bezpečnosti je naopak strategická role s manažerskou odpovědností. Jeho úlohou není jen technická implementace, ale především řízení celého systému informační bezpečnosti (ISMS), často v souladu s normami jako ISO 27001. Odpovídá za identifikaci, hodnocení a řízení kybernetických rizik, tvorbu a implementaci bezpečnostních politik a procedur, dohled nad jejich dodržováním, plánování a řízení reakcí na bezpečnostní incidenty a zajištění souladu s relevantní legislativou (např. Zákon o kybernetické bezpečnosti, GDPR, směrnice NIS 2). Jeho perspektiva je holistická a zaměřená na ochranu informací a aktiv organizace před hrozbami.

Klíčovým rozdílem je i potenciální konflikt zájmů.

IT administrátor, který má rozsáhlá přístupová práva a odpovědnost za provoz, by při plnění role manažera KB musel posuzovat a auditovat vlastní práci a potenciální zranitelnosti, které sám vytvořil nebo přehlédl. Tato situace narušuje princip nezávislosti a objektivity, který je pro efektivní řízení bezpečnosti klíčový.

Manažer KB musí být schopen kriticky hodnotit stav bezpečnosti bez ohledu na to, kdo systémy spravuje.

Legislativní rámec a požadavky na řízení rizik

Norma ISO/IEC 27001, čl. 6.1.1–6.1.3, zdůrazňuje nezbytnost systematického přístupu k řízení rizik, což je základní pilíř moderních požadavků v oblasti kybernetické bezpečnosti. Tyto principy, týkající se identifikace, hodnocení a ošetřování rizik, jsou přímo aplikovatelné na povinnosti vyplývající ze Zákona č. 264/2025 Sb. o kybernetické bezpečnosti a nařízení GDPR. Ukazují, proč je pro jejich plnění potřebná specializovaná role manažera kybernetické bezpečnosti.

Zákon č.264/2025 Sb., ukládá povinnosti provozovatelům regulovaných služeb (v režimu vyšších a nižších povinností): 

• Provozovatelé musí přijmout bezpečnostní opatření na ochranu sítí a informačních systémů, která zahrnují jak technické, tak organizační kroky. To zahrnuje řízení přístupu, ochranu dat, správu incidentů a zajištění kontinuity provozu.

• Povinností je také řízení kybernetických rizik – tj. identifikace a hodnocení rizik a pravidelné přehodnocování účinnosti opatření.

• V případě kybernetických bezpečnostních incidentů je nutné zajistit jejich detekci, reakci a hlášení Národnímu úřadu pro kybernetickou a informační bezpečnost (NÚKIB). Manažer kybernetické bezpečnosti koordinuje tyto procesy a zajišťuje, aby byly incidenty řešeny efektivně a v souladu se zákonem.

Nařízení GDPR (General Data Protection Regulation), účinné od 25. května 2018, klade důraz na ochranu osobních údajů. Bezpečnost zpracování vyžaduje, aby správce a zpracovatel přijali přiměřená technická a organizační opatření k zajištění úrovně bezpečnosti odpovídající riziku. To zahrnuje pseudonymizaci a šifrování osobních údajů, schopnost zajistit nepřetržitou důvěrnost, integritu, dostupnost a odolnost systémů a služeb zpracování, stejně jako schopnost včas obnovit dostupnost a přístup k osobním údajům v případě fyzického nebo technického incidentu.

Splnění těchto komplexních požadavků vyžaduje osobu s hlubokými znalostmi legislativy, metodik řízení rizik a schopností převést právní požadavky do praktických bezpečnostních opatření. IT administrátor, i když je technicky zdatný, obvykle nemá potřebnou specializaci ani manažerskou perspektivu pro komplexní řízení těchto rizik v souladu s právními předpisy.