Bezpečnost CRM a NIS2: zákon č. 264/2025 Sb., přístupy, dvoufázové ověření a odchod zaměstnance

CRM obsahuje kontakty, obchodní příležitosti a historii komunikace – pro konkurenci i podvodníky cenná data. Základ zabezpečení zvládne každá malá firma: dvoufázové ověření pro všechny uživatele, role a oprávnění (kdo vidí co a kdo smí exportovat), okamžité odebrání přístupu při odchodu zaměstnance, zámek a správa mobilních telefonů a pravidelný export jako záloha. Pokud vaše firma navíc spadá pod zákon č. 264/2025 Sb., o kybernetické bezpečnosti (účinný od 1. 11. 2025, transpozice směrnice NIS2), musíte řídit i bezpečnost dodavatelů – a dodavatel CRM mezi ně patří. Většiny malých firem se zákon přímo netýká, ale mohou dostat požadavky od zákazníků, kteří regulovaní jsou. Body k odškrtání jsou v kontrolním seznamu.

Článek patří do sekce právo a rizika.

Pět základních opatření

Opatření	Proč	Jak ověřit v CRM
Dvoufázové ověření (2FA)	ukradené heslo nestačí	lze ho vynutit pro všechny?
Role a oprávnění	obchodník nemusí vidět vše	role podle týmů, regionů, omezení exportu
Odebrání přístupu	bývalý zaměstnanec nesmí mít data	deaktivace účtu, převod záznamů
Záznam změn (audit log)	dohledat, kdo co změnil nebo exportoval	je v tarifu? jak dlouho se uchovává?
Pravidelný export / záloha	ochrana před chybou, zneužitím, výpadkem	automatický export nebo API

Pozor: záznam změn a pokročilá oprávnění bývají až ve vyšším tarifu. Pokud jsou pro vás povinné, počítejte je do ceny – viz funkce a tarify.

Odchod zaměstnance: postup

V den odchodu deaktivujte účet v CRM (ne až po měsíci).
Převeďte jeho kontakty, obchody a úkoly na kolegu.
Zrušte přístupy k propojeným službám (e-mail, telefonie, marketingový nástroj).
Odhlaste ho z mobilních zařízení a zkontrolujte, zda neměl data stažená lokálně.
Zkontrolujte záznam exportů za poslední týdny.

Deaktivovaný účet obvykle uvolní licenci – u měsíční platby ušetříte od dalšího měsíce. Modelově: obchodník odejde v březnu, účet zůstane aktivní do konce roku „pro jistotu“. Při 900 Kč měsíčně je to 9 × 900 = 8 100 Kč za nic – a riziko navíc.

Mobilní telefony v terénu

vyžadujte zámek obrazovky a šifrování (u moderních telefonů výchozí),
používejte oficiální aplikaci CRM a zakažte ukládání exportů do telefonu,
pokud CRM umí vzdálené odhlášení, nastavte ho,
u ztráty telefonu: změna hesla, odhlášení relací, posouzení, zda jde o porušení zabezpečení osobních údajů (viz GDPR).

Kdy se vás týká zákon č. 264/2025 Sb.

Zákon o kybernetické bezpečnosti (NIS2) se týká poskytovatelů regulovaných služeb v odvětvích vymezených vyhláškou NÚKIB č. 408/2025 Sb. o regulovaných službách – zpravidla od velikosti středního podniku, u některých služeb bez ohledu na velikost. Pokud podmínky splníte, musíte regulovanou službu oznámit NÚKIB přes Portál NÚKIB do 60 dnů ode dne splnění podmínek. Bezpečnostní opatření a hlášení incidentů pak zavádíte do jednoho roku od doručení rozhodnutí o registraci.

Situace	Co z toho plyne pro CRM
Vaše firma je regulovaná	výběr a řízení dodavatelů (včetně CRM), požadavky na smlouvu, bezpečnost a hlášení incidentů
Váš zákazník je regulovaný	může po vás jako dodavateli chtít bezpečnostní ujištění a smluvní závazky; ty se mohou týkat i nástrojů, ve kterých držíte jeho data
Ani jedno	zákon se vás přímo netýká, ale opatření výše jsou dobrá praxe

Zda jste regulovaná osoba, posoudíte podle vyhlášky a průvodců NÚKIB, případně s odborníkem. Tento článek to nenahrazuje.

Co chtít od dodavatele CRM

dvoufázové ověření a možnost jednotného přihlášení (SSO) u vyšších tarifů,
šifrování dat při přenosu i uložení,
informace o místě uložení dat a subdodavatelích,
lhůtu pro hlášení incidentů zákazníkovi (zpracovatelská smlouva, u regulovaných firem i smlouva podle zákona o kybernetické bezpečnosti),
doklad o řízení bezpečnosti (například certifikace podle mezinárodních norem pro řízení bezpečnosti informací nebo auditní zprávy),
zálohy a obnovu – jak dlouho se drží a jak rychle lze data obnovit.

Modelový příklad: nastavení oprávnění

Smyšlená firma s 9 uživateli:

Role	Počet	Vidí	Smí exportovat
Obchodník	5	své zákazníky a region	ne
Vnitřní prodej	2	všechny zákazníky	ne
Vedoucí obchodu	1	vše	ano
Jednatel / správce	1	vše + nastavení	ano

Export smějí jen 2 lidé z 9. Pokud by obchodník chtěl seznam zákazníků pro kampaň, požádá vedoucího – a export se zaznamená. Toto nastavení obvykle stojí jen čas, ale u některých dodavatelů vyžaduje vyšší tarif; spočítejte rozdíl v TCO.

Phishing a podvržené faktury

Útočníci často necílí na CRM přímo, ale na přihlašovací údaje obchodníků (falešná přihlašovací stránka, e-mail „vaše licence vyprší“) nebo využijí kontakty z CRM k podvrženým fakturám se změněným číslem účtu. Ochrana:

dvoufázové ověření u CRM i e-mailu,
přihlašovat se jen přes uloženou adresu nebo aplikaci, ne přes odkaz v e-mailu,
změnu bankovního účtu zákazníka nebo dodavatele ověřovat telefonicky na známém čísle,
krátké školení jednou ročně – modelově 1 hodina × 9 lidí × 400 Kč = 3 600 Kč, což je zanedbatelná částka proti jediné zaplacené podvržené faktuře.

Časté otázky

Je cloudové CRM bezpečnější než tabulka na disku?

Zpravidla ano, pokud máte zapnuté dvoufázové ověření a správně nastavená oprávnění. Tabulka se snadno zkopíruje, pošle e-mailem nebo zůstane na notebooku bývalého zaměstnance.

Co dělat, když obchodník odchází ke konkurenci?

Deaktivujte přístup nejpozději v den odchodu, zkontrolujte záznam exportů a smlouvu (mlčenlivost, obchodní tajemství). Pokud zjistíte, že si data odnesl, poraďte se s advokátem; může jít i o porušení zabezpečení osobních údajů.

Musím hlásit napadení účtu v CRM?

Pokud došlo k porušení zabezpečení osobních údajů s rizikem pro osoby, ohlašujete ÚOOÚ do 72 hodin. Regulované subjekty mají navíc hlásit incidenty podle zákona o kybernetické bezpečnosti.

Zdroje

Národní úřad pro kybernetickou a informační bezpečnost – zákon o kybernetické bezpečnosti, Portál NÚKIB, průvodci
Zákony pro lidi – zákon č. 264/2025 Sb., vyhláška č. 408/2025 Sb.
Úřad pro ochranu osobních údajů – ohlášení porušení zabezpečení
e-Sbírka – úplná znění předpisů