Incident response z hlediska GDPR, NIS 2 a AI Act ve stejném čase

Ransomware zasáhl vaši organizaci v pátek večer. Do 24 hodin musíte kontaktovat NÚKIB, do 72 hodin UOOU a zároveň řídit komunikaci s vedením, médii a dodavateli. Víte, co přesně dělat – a v jakém pořadí?

Po absolvování kurzu:

•    budete mít jasný přehled o povinnostech hlášení incidentů dle GDPR, NIS 2 a EU AI Act – lhůtách, obsahu hlášení a adresátovi

•    naučíte se koordinovat paralelní povinnosti vůči více regulátorům (UOOU, NÚKIB, případně ČNB, SÚKL nebo jiný sektorový regulátor)

•    procvičíte si rozhodování pod časovým tlakem v simulovaném scénáři kybernetického incidentu

připravíte interní Incident Response playbook pokrývající povinnosti ze všech tří předpisů

Tři notifikační režimy vedle sebe: GDPR (čl. 33–34), NIS 2 (§ 15 zákona č. 254/2025 Sb.), EU AI Act. Srovnávací tabulka: kdo, komu, kdy, co a v jakém formátu hlásí. Kdy nastává povinnost oznámit i subjektům údajů – a jak to skloubit s krizovou komunikací.

Průsečíky s dalšími sektorovými regulacemi: DORA (finanční sektor), MDR (zdravotnické prostředky), eIDAS 2. Koordinace hlášení při přeshraničním incidentu (one-stop-shop GDPR vs. NIS 2 bez OSS).

Tabletop simulace – část 1: Kybernetický incident ve vaší organizaci. Účastníci v rolích (DPO, právník, CISO, CEO) řídí první 24 hodin. Rozhodnutí o hlášení, obsah prvotního oznámení NÚKIB, interní eskalace.

Tabletop simulace – část 2: 72 hodin po incidentu. Hlášení UOOU, komunikace s dotčenými osobami, součinnost s NÚKIB při vyšetřování. Mediální tlak a komunikace. Debriefing: co bylo správně, co by šlo lépe.

Incident Response playbook: jak ho sestavit pro svou organizaci. Šablona eskalační matice. Právní aspekty dokumentace incidentu (co si poznamenat, co raději ne). Dotazy a individuální konzultace.