V pondělí ráno ředitelně zvoní telefon. Několik rodičů dostalo z adresy třídní učitelky e-mail s odkazem na „sdílený dokument“, který chce přihlašovací údaje. Učitelka ale nic neposílala. Teď běží lhůta, o které většina škol a obecních úřadů ví jen to, že „je to nějakých 72 hodin“. Projďeme si, co v těch třech dnech udělat, v jakém pořadí a kdo za co odpovídá.
Proč se to týká právě vás
NÚKIB v měsíčním přehledu za září 2026 evidoval 26 kybernetických incidentů, třetí nejvyšší počet za poslední rok. Víc než polovinu tvořily průniky a nejčastějšími cíli byly subjekty vzdělávacího sektoru a veřejné správy. Útočníci kompromitovali jednotlivé uživatelské účty, webové portály a servery e-mailových a cloudových služeb, často přes úspěšný phishing.
Jinými slovy: napadená schránka učitelky, ekonomky nebo úřednice není exotický scénář. A protože v ní bývají omluvenky, zprávy z poradny, žádosti občanů nebo podklady k mzdám, nejde jen o IT problém. Jde o osobní údaje, za které odpovídá vaše organizace.
Hodina 0: nejdřív zastavit únik, potom hledat příčinu
V prvních desítkách minut nerozhoduje paragraf, ale rychlost. Postup je stejný pro školu i obecní úřad:
- Změňte heslo k napadenému účtu a nechte odhlásit všechna aktivní přihlášení, včetně mobilu a tabletu.
- Zapněte dvoufázové ověření, pokud ještě nebylo. U napadeného účtu hned, u ostatních v nejbližších dnech.
- Zkontrolujte pravidla schránky. Útočníci rádi nastaví automatické přeposílání pošty na cizí adresu nebo pravidlo, které maže odpovědi. Bez kontroly by únik pokračoval i po změně hesla.
- Zavolejte IT dodavateli a požádejte o výpis přihlášení: odkud, kdy a k čemu se útočník dostal. Tento výpis budete potřebovat pro rozhodnutí, zda incident hlásit.
- Nic nemažte. Podvodné e-maily, logy a záznamy ponechte. Jsou to důkazy pro vás, pro případné trestní oznámení i pro ÚOOÚ.
- Informujte pověřence pro ochranu osobních údajů. Pomůže posoudit riziko a připravit ohlášení. Pokud nevíte, kdo vaším pověřencem je nebo jak ho kontaktovat, je to signál, že role funguje jen na papíře. Rozebírali jsme to v článku „Pověřence máme, jen o něm nikdo neví.“
Krátká poznámka k rodičům: pokud podvodný e-mail už odešel, pošlete jim co nejdřív jednoduché varování (na odkaz neklikat, heslo nezadávat, pokud zadali, změnit ho). To ještě není formální oznámení podle GDPR, ale snižuje škody a ÚOOÚ při posuzování zohledňuje, co jste udělali bezprostředně po zjištění.
Hodina 1 až 24: jde o porušení zabezpečení osobních údajů?
Porušením zabezpečení je podle čl. 4 bodu 12 GDPR situace, kdy dojde k náhodnému nebo protiprávnímu zničení, ztrátě nebo změně osobních údajů anebo k jejich neoprávněnému zpřístupnění. V praxi se ptáte na tři otázky:
- Důvěrnost: mohl někdo cizí číst obsah schránky nebo příloh?
- Integrita: mohl někdo údaje změnit, například v elektronické žákovské knížce nebo ve spisové službě?
- Dostupnost: přišli jste o údaje, třeba proto, že je útočník smazal nebo zašifroval?
Pokud je odpověď alespoň na jednu otázku „ano“ nebo „nelze vyloučit“, porušení zabezpečení nastalo.
Odkdy běží 72 hodin? Evropský sbor pro ochranu osobních údajů v Pokynech 9/2022 říká, že od okamžiku, kdy má správce dostatečnou jistotu, že k incidentu s dopadem na osobní údaje došlo. Na krátké prošetření tedy čas máte. Musí ale začít hned, ne až po víkendu. Pokud IT dodavatel potvrdí, že se útočník do schránky přihlásil, lhůta běží od té chvíle.
Kdo je správce? Vždy ta organizace, jejíž zaměstnanec schránku používá: škola jako právnická osoba, nikoli zřizovatel, a obec, nikoli IT firma. IT dodavatel, provozovatel cloudu nebo školního informačního systému je zpracovatel. Podle čl. 33 odst. 2 GDPR vám musí incident ohlásit bez zbytečného odkladu, ohlášení na ÚOOÚ ale za něj neudělá.
Hodina 24 až 72: ohlásit ÚOOÚ, nebo jen zapsat do evidence?
Tady se rozhoduje podle rizika pro lidi, jejichž údaje byly v ohrožení. ÚOOÚ to ve svém návodu shrnuje jednoduše: ohlašuje se každé porušení, které může mít za následek riziko pro práva a svobody fyzických osob. Neohlašují se případy, kde je riziko nepravděpodobné.
Dva příklady pro představu:
- Spíš neohlašovat, ale zapsat: útočník se přihlásil do schránky, kterou používá jen školní jídelna pro objednávky dodavatelům, a výpis ukazuje, že poštu nečetl ani nestahoval.
- Ohlásit: napadená schránka výchovné poradkyně obsahuje zprávy z pedagogicko-psychologické poradny nebo omluvenky s diagnózami. Obdobně schránka sociální pracovnice obce. Jde o údaje o zdravotním stavu a o děti, tedy o zranitelné osoby.
Pokud ohlašujete, máte na to formulář přímo na stránce ÚOOÚ. Vyplněný formulář pošlete datovou schránkou (ID qkbaa2n) nebo poštou. E-mailem jen s uznávaným elektronickým podpisem, jinak se podání podle ÚOOÚ nepovažuje za řádné ohlášení. Ohlášení musí obsahovat povahu incidentu, přibližný počet dotčených osob, kontakt na pověřence, pravděpodobné důsledky a přijatá opatření.
Nemáte za 72 hodin všechny informace? Nevadí. Čl. 33 odst. 4 GDPR umožňuje podat prvotní ohlášení a doplňovat ho postupně. Horší je čekat na kompletní obrázek a lhůtu promeškat. Pokud ohlašujete později, musíte uvést důvody zpoždění.
A ještě jedna věc, kterou školy často přehlížejí: každý incident musíte zdokumentovat, i když ho neohlašujete (čl. 33 odst. 5 GDPR). Stačí jednoduchý záznam: co se stalo, kdy, jaké údaje, jak jste rozhodli a proč. Při kontrole je právě tento záznam první věc, kterou chcete ukázat.
Kdy musíte napsat rodičům nebo občanům
Oznámení dotčeným lidem vyžaduje čl. 34 GDPR až při vysokém riziku. U údajů o zdravotním stavu lze podle ÚOOÚ vysoké riziko zpravidla předpokládat a jako další příklad uvádí úřad kybernetický útok, při kterém byly odcizeny přístupové údaje dotčených osob. Oznámení musí být srozumitelné a obsahovat:
- co se stalo a jaké údaje se to týká,
- jaké důsledky to pro ně může mít,
- co jste už udělali a co doporučujete udělat jim (například změnit heslo, dávat pozor na podvodné zprávy),
- kontakt na pověřence nebo jinou osobu, která odpoví na dotazy.
Kopii oznámení přiložte k ohlášení na ÚOOÚ. Pokud byly údaje šifrované a útočník je přečíst nemohl, oznámení posílat nemusíte.
Pokuty vás jako obec nebo školu příliš strašit nemusí: podle zákona č. 110/2019 Sb. ÚOOÚ orgánům veřejné moci a veřejným subjektům pokutu za porušení GDPR neukládá. ÚOOÚ ale může nařídit nápravná opatření a skutečná škoda bývá jinde: ztracená důvěra rodičů, stížnosti a čas, který vedení stráví vysvětlováním.
A co NÚKIB?
Pro většinu škol a obcí je odpověď krátká: povinnost hlásit kybernetický incident NÚKIB nemáte. Regulovanými subjekty podle zákona č. 264/2025 Sb., o kybernetické bezpečnosti, jsou z obcí jen obce s rozšířenou působností, městské části Prahy a krajské úřady. Podrobněji v článku Kyberbezpečnost v malé obci: Co se vás skutečně týká.
Pokud vaše obec regulovaná je, máte k témuž incidentu dvě samostatné povinnosti: hlášení NÚKIB přes jeho portál a ohlášení ÚOOÚ. Liší se lhůtami i adresáty a jedno nenahrazuje druhé. ÚOOÚ na to výslovně upozorňuje přímo u svého formuláře.
Obce, které nejsou regulované, ale samy spravují informační systém veřejné správy, musí mít nejpozději do 1. listopadu 2026 zavedená bezpečnostní opatření podle § 5b zákona o informačních systémech veřejné správy. Jestli se vás to týká, si ověříte v našem testu podle § 5b.
Nejčastější chyby v prvních třech dnech
- „Počkáme, co řekne IT.“ Dodavatel řeší techniku, rozhodnutí o ohlášení je na vás. Lhůta mezitím běží.
- Smazání podvodných e-mailů „ať to nikdo neotevře“. Zmizí i důkazy o rozsahu útoku.
- Hledání viníka místo nápravy. Odpovědnost podle GDPR nese správce, ne jednotlivá učitelka. Personální řešení je až druhý krok.
- Odeslání ohlášení obyčejným e-mailem bez podpisu. Formálně neplatné podání.
- Žádný záznam o neohlášeném incidentu. Při kontrole pak nemáte čím doložit, že jste riziko posoudili.
Co si připravit ještě dnes, než se to stane
Nejvíc času v krizi ztratíte hledáním kontaktů a dohadováním, kdo rozhoduje. Proto stačí mít předem hotových pět věcí:
- Jedna stránka s kontakty: pověřenec, IT dodavatel (včetně mimopracovní doby), vedení, kdo má přístup do datové schránky.
- Určený člověk, který rozhoduje o ohlášení, a jeho zástup.
- Šablona oznámení pro rodiče nebo občany, kterou jen doplníte.
- Evidence incidentů, i kdyby měla zatím nula řádků.
- Dvoufázové ověření u e-mailů a cloudu a seznam, kdo má do čeho přístup. Po volbách navíc zkontrolujte, že bývalí zastupitelé už do schránek nevidí. Postup najdete v článku „Heslo k obecnímu e-mailu má pořád bývalý místostarosta.“
Sjednejte si také, že vám IT dodavatel incident nahlásí bez zbytečného odkladu a dodá výpis přihlášení. Patří to do smlouvy, ne do dobré vůle.
Shrnutí na závěr
- Hodina 0: změnit heslo, odhlásit relace, zkontrolovat přeposílání, nic nemazat, zavolat IT a pověřenci.
- Do 24 hodin: zjistit, k jakým údajům se útočník dostal a zda jde o porušení zabezpečení.
- Do 72 hodin: při riziku ohlásit ÚOOÚ formulářem (datovou schránkou), jinak zapsat do evidence s odůvodněním.
- Při vysokém riziku: srozumitelně informovat dotčené rodiče nebo občany.
- Regulovaná obec: navíc samostatné hlášení NÚKIB.
V naší platformě VPoint máte kontakty, evidenci incidentů, šablony ohlášení a oznámení na jednom místě a pověřenec s vámi incident projde od prvního telefonátu. Pokud si chcete ukázat, jak to vypadá v praxi, domluvte si krátké demo.
