Rámec profesionální integrity pro IT architekty ve státní správě

Verze: 5.3 Datum: Leden 2026 Účel: Zajištění proporcionality, transparentnosti a zákonnosti bezpečnostních a architektonických rozhodnutí — a ochrana odpovědnosti architekta tam, kde racionální proces selže

Shrnutí

Metodický rámec pro IT architekty v prostředí státní správy ČR. Poskytuje diagnostické, komunikační a procesní nástroje pro situace, kdy technické požadavky — ať už od bezpečnostních útvarů, dodavatelů, nebo vedení projektu — nejsou podloženy analýzou, odporují principům 3E nebo vytvářejí právní rizika v zadávacích řízeních. Rámec je postaven na dvou kolejích: kooperativní (výchozí) a procesní (pro případy prokazatelné manipulace). Opírá se o aktuální legislativu — zákon č. 264/2025 Sb., o kybernetické bezpečnosti (transpozice NIS2), zákon č. 134/2016 Sb. (ZZVZ), zákon č. 320/2001 Sb., o finanční kontrole, a zákon č. 171/2023 Sb., o ochraně oznamovatelů.

ÚVOD: O čem tento rámec je

Metodické dokumenty pro IT architekty ve státní správě bývají psány jedním ze dvou jazyků: buď jazykem compliance (co musíte splnit), nebo jazykem obrany (jak se ubránit, když vás někdo přejíždí). Tento rámec je psán jinak — jazykem diagnostiky a spolupráce, s procesní eskalací jako krajní možností.

Důvod je taktický, nikoli morální. Dokument, který protistranu předem klasifikuje jako nepřítele, produkuje konfrontaci i tam, kde stačila spolupráce — a jeho autor prohrává na vlastních pravidlech: vyžaduje od druhých důkazy, které sám nepředkládá.

Rámec stojí na třech pilířích:

Diagnostika předchází arzenálu. Procesní nástroje jsou legitimní pouze proti manipulaci. Proti expertovi, který má věcně pravdu, ale špatně ji artikuluje, jsou obstrukcí. Proto začínáme diagnostikou, ne protokoly.
Kooperativní kolej je výchozí. Nejlevnější cesta k dobrému výsledku je pomoci protistraně postavit analýzu, kterou po ní chceme. Procesní kolej nastupuje až po selhání spolupráce.
Aktualizovaný a poctivě citovaný právní rámec. Zákon č. 181/2014 Sb. byl k 1. 11. 2025 nahrazen zákonem č. 264/2025 Sb. — a nová úprava mění podmínky pro argumentaci architekta v několika konkrétních ohledech (viz níže).

Proč je nová právní úprava silnějším nástrojem (a kde je slabší)

Tvrzení, že zákon č. 264/2025 Sb. posiluje pozici architekta, vyžaduje zdůvodnění, ne jen konstatování:

Řízení rizik je explicitní zákonná povinnost regulovaného subjektu, konkretizovaná prováděcími vyhláškami. Bezpečnostní opatření bez analýzy rizik tedy není jen metodický nedostatek, ale nesoulad s právním předpisem — a požadavek architekta na doložení analýzy je požadavkem na plnění zákona, ne osobní preferencí.
Odpovědnost vrcholového vedení za kybernetickou bezpečnost je v zákoně zakotvena výslovně. Dokumentovaný rozhodovací proces tak chrání i rozhodujícího — argument, který v eskalacích funguje lépe než hrozba.
Dva režimy povinností dávají architektovi referenční rámec přiměřenosti: požadavky jdoucí výrazně nad rámec příslušného režimu vyžadují zvláštní zdůvodnění.

Poctivý dovětek: Zákon je účinný od listopadu 2025. K lednu 2026 neexistuje vymáhací praxe, judikatura ani precedens reálného uplatnění osobní odpovědnosti vedení. Kdo dnes argumentuje “osobní odpovědností”, argumentuje textem zákona, nikoli doloženou realitou — a měl by to říkat nahlas. Vymáhání osobní odpovědnosti ve veřejné správě ČR je navíc systémově slabé i tam, kde mechanismy dávno existují (zákon o finanční kontrole je toho dokladem). Tento rámec proto právní argumenty používá jako jazyk pro strukturování rozhodnutí, ne jako předpověď sankce.

Co tento rámec NENÍ

❌ Návod, jak “vyhrát” nad bezpečnostními útvary, dodavateli nebo vedením
❌ Nástroj pro blokování nebo zdržování legitimních opatření
❌ Náhrada za vlastní odbornou pokoru — architekt se také může mýlit

Co tento rámec JE

✅ Metoda, jak odlišit odborný nesouhlas od manipulace — a podle toho volit postup
✅ Soubor komunikačních a procesních protokolů pro hierarchické prostředí
✅ Postup pro dokumentované předání odpovědnosti tam, kde rozhoduje moc, nikoli argument

Hranice rámce (čtěte dřív, než cokoli použijete)

Předpoklad funkční hierarchie. Celý rámec předpokládá, že alespoň jedna úroveň hierarchie funguje — že existuje někdo (PM, výbor, vedení instituce), kdo po předložení dokumentovaných faktů rozhodne, byť třeba proti vám. Kde nefunguje žádná úroveň — kde vedení dokumentaci záměrně odmítá, rozhodnutí vznikají mimo formální proces a zápisy se nevedou nebo falšují — tam nejste v situaci pro metodiku, ale pro rozhodnutí jiného řádu: buď jde o protiprávní jednání (pak viz Stupeň 4 eskalačního žebříku, ochrana oznamovatelů), nebo o “pouhou” dysfunkci — a pak je jediným poctivým nástrojem kariérní exit. Žádný dokument neopraví instituci, která opravena být nechce, a tvrdit opak by bylo prodávání iluze.

Pozice externisty. Rámec je psán primárně z pozice interního architekta. Externí konzultant nebo zaměstnanec dodavatele má užší manévrovací prostor: nemá přímý přístup k registru rizik, jeho eskalace jdou přes smluvní vztah (a přes vlastního zaměstnavatele) a doporučení NÚKIB nemůže iniciovat jménem instituce. Použitelné zůstávají: diagnostika, kooperativní protokol, F-D-R-P v písemné podobě (e-mail, předávací protokol, zápis z jednání — trvejte na něm), konstruktivní eskalace formulovaná jako doporučení objednateli, a exit strategy v podobě písemného odborného stanoviska přiloženého k dodávce. Ochrana oznamovatelů dle zákona č. 171/2023 Sb. se vztahuje i na osoby vykonávající práci pro povinný subjekt na základě smlouvy — poslední příčka tedy externistovi dostupná je.

ČÁST 1: DIAGNOSTIKA — vstupní brána celého rámce

Než použijete jakýkoli nástroj z tohoto dokumentu, proveďte diagnostiku. Špatná diagnóza znamená špatnou léčbu: procesní tlak na experta ničí vztahy a projekt; kooperace s manipulátorem plodí nekonečné ústupky.

Tabulka rozlišení: Expert vs. manipulátor

Znaky nemají stejnou váhu. Silné znaky jsou téměř čisté diagnostické signály — expert je nevykazuje ani ve stresu a ani při nedostatku kapacity. Slabé znaky mohou mít nevinné vysvětlení (přetížení, chybějící data, neznalost metodiky) a samy o sobě manipulaci neprokazují.

Znak	Expert	Manipulátor	Váha
Reakce na protiargument	“Dobrý bod, to jsem nezohlednil”	“Vy tomu nerozumíte, já mám 20 let praxe” (ad hominem)	Silný
Reference	Ochotně poskytne odkaz (NIST SP 800-53, ISO/IEC 27002, metodiky NÚKIB)	Odmítá je poskytnout: “To je příliš komplikované vysvětlovat”	Silný
Alternativy	Nabízí: “Jsou tři cesty, každá má trade-offs”	“Jediné správné řešení je moje” — a odmítá o jiných mluvit	Silný
Limity	Přiznává: “Teoreticky možné, ale pravděpodobnost je nízká”	“Tohle MUSÍ být, jinak budeme hacknutí”	Slabý
Precedenty	Doloží konkrétní incident nebo threat intel	“Nevím o konkrétním případě, ale teoreticky…”	Slabý
Kvantifikace	Uvede odhad s explicitními předpoklady a nejistotou	“Je to kritické riziko” (bez zdůvodnění)	Slabý

Proč toto rozdělení: chybějící kvantifikace nebo precedens může znamenat jen to, že protistrana nemá data nebo čas — poctivý, ale přetížený expert je nedodá také. Ad hominem útok, aktivní odmítnutí referencí a odmítnutí bavit se o alternativách jsou naproti tomu volní akty, které s kapacitou nesouvisejí.

Pravidlo prahu — a proč je nastavené konzervativně

Na procesní kolej (ČÁST 3 a dále) přecházejte při alespoň jednom silném znaku, nebo třech slabých znacích — a vždy až po odmítnuté či ignorované nabídce spolupráce (ČÁST 2).

Práh není odvozený z dat (žádná neexistují) — je to heuristika z praxe a jako takovou ji přiznáváme. Její konzervativní směr ale odvoditelný je, a to z asymetrie nákladů omylu:

Falešně pozitivní diagnóza (procesní tlak na poctivého experta) je drahá a špatně vratná: zničený pracovní vztah se neopravuje omluvným e-mailem a pověst “architekta, který eskaluje” instituce nezapomíná.
Falešně negativní diagnóza (jedno kooperativní kolo navíc s manipulátorem) je levná a plně vratná: stojí vás dva týdny a jeden workshop, a diagnostický materiál z něj získáte tak jako tak.

Proto jeden silný znak stačí (volní akt s minimální pravděpodobností nevinného vysvětlení), zatímco slabé znaky se musí kumulovat (jednotlivý slabý znak je běžný i u poctivých, přetížených expertů). Konkrétní číslo — tři, ne dvě — kalibrujte podle vlastního kontextu: čím dražší je u vás zničený vztah (malý tým, dlouhodobá spolupráce), tím vyšší práh; čím dražší je promeškaný čas (hořící termín VZ), tím nižší. Co kalibraci nepodléhá, je směr asymetrie a rozdíl vah znaků.

Test symetrie — procedurální verze

Deklarativní sebereflexe (“položím si otázky”) proti kognitivnímu biasu nefunguje: každý si je zodpoví rychle a příznivě. Test symetrie má proto pevný postup:

Kdy je povinný: Před každou eskalací od Stupně 2 výš (formální konzultace NÚKIB, projednání výborem, právní oddělení) a před každým použitím Scénářů A–I v druhé a další iteraci.
Kdo ho provádí: Ne vy. Kolega, který ve sporu nefiguruje — jiný architekt, zkušený PM z jiného projektu, důvěryhodný peer mimo instituci (při zachování mlčenlivosti).
Co dostane: Vaši zamýšlenou písemnou komunikaci a diagnostickou tabulku z této části — s instrukcí aplikovat ji na váš text, ne na protistranu.
Co hledá: Silné znaky ve vašem vlastním projevu — ad hominem (“oni tomu nerozumějí”), odmítání alternativ (“jediné správné řešení je moje architektura”), hrozby místo referencí (ÚOHS a NKÚ použité jako strašák, ne jako věcné riziko s odůvodněním).
Co s výsledkem: Najde-li kolega byť jeden silný znak, eskalace se odkládá a text se přepisuje. Bez výjimky — výjimka “tentokrát je to jiné” je přesně ten bias, proti kterému test existuje.
Dokumentace: Poznamenejte si, kdo a kdy test provedl. Není to byrokracie — je to vaše pojistka pro situaci, kdy protistrana označí vaši eskalaci za osobní vendetu.

ČÁST 2: KOOPERATIVNÍ PROTOKOL (výchozí kolej)

Nejčastější situace v praxi není zlovolná manipulace, ale expert bez procesní opory: bezpečnostní útvar má věcně oprávněnou obavu, ale neumí ji formulovat jazykem analýzy rizik, rozpočtu a zadávací dokumentace. V takové situaci je nejrychlejší cestou k cíli pomoci mu ji postavit.

Scénář 0: Bezpečnost má (možná) pravdu, ale neumí to doložit

Situace: Bezpečnost vznese požadavek bez analýzy, ale diagnostika neukazuje manipulaci — spíš přetížený útvar bez kapacity na dokumentaci.

Postup:

“Váš požadavek na [X] může být věcně oprávněný, ale v této podobě ho neumím zapracovat do architektury ani obhájit v rozpočtu. Navrhuji společný workshop (2 hodiny), kde požadavek převedeme do struktury, kterou vyžaduje zákon i finanční kontrola: aktivum → hrozba → zranitelnost → dopad → opatření → náklad. Já dodám znalost architektury a nákladových dat, vy znalost hrozeb. Výstup podepíšeme oba.”

Proč to funguje:

✅ Výsledná analýza je společné dílo — nikdo neztrácí tvář
✅ Zákon č. 264/2025 Sb. řízení rizik stejně vyžaduje; pomáháte instituci k souladu, ne sobě k vítězství
✅ Pokud bezpečnost workshop odmítne, získali jste diagnostický signál (viz ČÁST 1) a dokumentovaný pokus o spolupráci — teprve pak je legitimní procesní kolej

Kapacitní realita: Počítejte s tím, že workshop budete nejspíš moderovat vy — strukturované analytické metody umí v české státní správě sestavit málokdo. Berte to jako přijatelnou cenu, ne jako selhání protistrany; podrobněji viz zásada facilitované analýzy (ČÁST 3).

Klíčová zásada: Procesní eskalace bez předchozí dokumentované nabídky spolupráce je v očích vedení agresí. S ní je posledním rozumným krokem.

ČÁST 3: KOMUNIKAČNÍ PROTOKOL F-D-R-P (procesní kolej)

Pokud diagnostika ukázala manipulaci a kooperativní nabídka byla odmítnuta nebo ignorována, strukturujte každou reakci takto:

F – FAKT Odkaz na normu (ISO/IEC 27001, ISO/IEC 27005, NIST CSF), metodiku NÚKIB nebo zákon (zákon č. 264/2025 Sb., ZZVZ, zákon č. 320/2001 Sb.).

D – DEDUKCE Logické vyvození, v čem je požadavek v rozporu s faktem.

R – RIZIKO Konkrétní dopad (nesoulad se ZoKB, riziko přezkumu ÚOHS, nález NKÚ, technologický dluh, odpovědnost vedení).

P – POŽADAVEK Věcný požadavek na další krok s termínem — formulovaný jako standardní projektový postup, nikoli jako ultimátum.

Tři průřezové zásady procesní koleje

Zásada eskalační zdrženlivosti. První iterace F-D-R-P nikdy neobsahuje hrozbu externí eskalace (NÚKIB, právní oddělení, ÚOHS). Hrozba v prvním kole je ultimátum a uzavírá protistraně ústupovou cestu. Eskalační kroky patří až do druhé a další iterace, po dokumentovaném nedodání podkladů — a po testu symetrie (ČÁST 1).

Zásada facilitované analýzy. Každý požadavek na analýzu (rizik, alternativ, povrchu útoku, stromu útoků) doprovázejte nabídkou součinnosti: strukturu, šablonu a moderaci dodáte vy, věcný vstup protistrana. Důvod je dvojí. Kapacitní: strukturované analytické metody umí v české státní správě reálně sestavit málokdo, a požadavek bez nabídky pomoci se zneškodní odpovědí “na to nemáme kapacitu”. Diagnostický: odmítnutí analýzy lze omluvit kapacitou, ale odmítnutí analýzy, kterou nabízíte facilitovat, kapacitou omluvit nejde — facilitovaná nabídka tedy mění slabý diagnostický signál v silný. Spoluautorství vám navíc dává vhled do předpokladů protistrany, který byste z hotového dokumentu nezískali.

Zásada měřitelnosti. Každý měřitelný požadavek — váš i cizí, směrem k bezpečnosti i k dodavateli — musí mít definovanou metodu měření: kdo, čím, jak často a nad jakými daty ho vyhodnocuje. Metrika, SLA nebo lhůta bez ukotvené metody měření je mrtvé ustanovení: nevymahatelné vůči dodavateli, nekontrolovatelné vůči bezpečnosti a bezcenné pro audit. Pokud instituce nemá kapacitu měření provádět, je poctivější sjednat méně požadavků s reálným měřením než katalog požadavků na papíře. Tato zásada platí obousměrně — i vaše vlastní odhady a termíny v F-D-R-P jí podléhají. Zvláště termín v P-části nastavujte podle reálné kapacity obou stran, ne jako signál odhodlání: nejčastější způsob, jak si architekt podřízne větev, je vlastní nesplněný termín — darovaný protiargument, který protistrana použije místo věcné odpovědi.

ČÁST 4: SCÉNÁŘE A PROTOKOLY

Scénář A: Reakce na nepodložené “veto” bezpečnosti

Situace: Bezpečnost řekne: “Toto řešení nepovolíme, je to příliš velké riziko,” ale nedodá analýzu.

První iterace (věcná):

“Rozhodnutí o zamítnutí architektury [X] potřebuji zapracovat do projektové dokumentace, a k tomu potřebuji jeho podklad. Řízení bezpečnosti je podle zákona č. 264/2025 Sb. i metodik NÚKIB založeno na řízení rizik [F]; samotné konstatování ‘velkého rizika’ bez identifikace hrozby, zranitelnosti a dopadu nelze v projektu použít jako podklad rozhodnutí [D]. Bez něj nemůže projekt kvalifikovaně alokovat prostředky, což je problém z hlediska cílů finanční kontroly (§ 4 zákona č. 320/2001 Sb.) [R]. Prosím o písemné vyjádření s identifikací rizika do [datum]; rád poskytnu podklady o architektuře a pomohu s formalizací analýzy, pokud to urychlí věc [P].”

Druhá iterace (po marném uplynutí termínu):

“Podklad k zamítnutí architektury [X] nebyl ve lhůtě dodán. Zapisuji tuto skutečnost do registru rizik projektu jako otevřený bod blokující rozhodnutí a žádám PM o zařazení na nejbližší jednání projektového výboru. Pokud věc nebude vyřešena interně, navrhnu vedení projektu vyžádat metodické stanovisko NÚKIB k požadované úrovni dokumentace bezpečnostních rozhodnutí.”

Všimněte si rozdílu: eskalace na NÚKIB je návrh adresovaný vedení, nikoli osobní hrozba protistraně.

Scénář B: Eskalace k projektovému manažerovi / výboru

Situace: Bezpečnost blokuje projekt a PM začíná být nervózní.

Postup:

“Upozorňuji na riziko zablokování projektu: požadavky útvaru bezpečnosti nejsou podloženy analýzou rizik, kterou zákon č. 264/2025 Sb. předpokládá, a vyžadují investici bez doložené účelnosti — v napětí s principy 3E (§ 2 písm. m), n), o) a § 4 zákona č. 320/2001 Sb.) [F+D]. Požaduji zápis do registru rizik s příznakem ‘vysoký dopad na rozpočet a harmonogram’ [P]. Zároveň navrhuji, aby vedení projektu vyžádalo od útvaru bezpečnosti formální prohlášení o akceptaci rizika (Risk Acceptance Statement) v obou směrech: buď bezpečnost dokumentuje riziko, které opatřením snižuje, nebo dokumentovaně akceptuje riziko vícenákladů bez doloženého přínosu. Dokumentace rozhodnutí je přitom v zájmu samotného vedení — nová právní úprava mu ukládá odpovědnost za kybernetickou bezpečnost výslovně [R].”

Scénář C: Diskriminační technický parametr v zadávací dokumentaci

Situace: V technické specifikaci se objeví parametr, který splňuje jen jeden produkt.

Postup:

“Při revizi technické specifikace jsem identifikoval požadavek na [parametr], který se jeví jako bezdůvodná překážka hospodářské soutěže ve smyslu § 36 odst. 1 ZZVZ [F]. Nedohledal jsem analýzu aktiv ani rizik, která by tento konkrétní parametr odůvodňovala jako nezbytný — a bez ní neobstojí ani test zásady přiměřenosti (§ 6 odst. 1 ZZVZ) [D]. Žádám o doplnění věcného zdůvodnění, nebo o přeformulování požadavku na funkční a výkonnostní specifikaci. Pokud zdůvodnění neexistuje, doporučuji před vyhlášením konzultaci s právním oddělením — riziko přezkumu u ÚOHS s možností zrušení zadávacího řízení nese zadavatel, a já ho jako architekt nemohu svým podpisem převzít [R+P].”

(Pozn.: pokud by parametr byl do dokumentace vložen vědomě a účelově ve prospěch konkrétního dodavatele, nejde už o metodický spor, ale o potenciálně protiprávní jednání — viz Stupeň 4 eskalačního žebříku.)

Scénář D: Obrana proti gold-platingu

Situace: Bezpečnost vyžaduje extrémní sizing nebo konkrétní technické řešení bez analýzy.

Postup — přenesení důkazního břemene tam, kam patří:

“Navržený sizing [X] jde nad rámec dokumentovaných požadavků a postrádá analýzu rizik, o kterou by se opíral [F: ISO/IEC 27005, metodiky NÚKIB]. Jako architekt nemohu do rozpočtu zanést navýšení bez věcného zdůvodnění [D: § 4 zákona č. 320/2001 Sb.]. Žádám do [datum] o:

Analýzu rizik — s explicitně uvedenými předpoklady (jaká hrozba, jaké aktivum, jaký dopad),

Porovnání alternativ — minimálně dvě varianty s odhadem nákladů a přínosů,

Funkční a výkonnostní specifikaci (co má systém zvládnout) namísto technického diktátu (jaké železo koupit).

Se sestavením obou analýz nabízím součinnost — strukturu a nákladová data dodám já, věcný vstup o hrozbách vy (viz zásada facilitované analýzy). Nepožaduji falešnou přesnost — odhady s intervaly a uvedenými předpoklady jsou plně dostačující (viz ČÁST 8). Požaduji ale, aby předpoklady byly napsané, protože jen napsané předpoklady lze revidovat. Pokud podklady nebudou dodány ani s nabídnutou součinností, zařadím bod do registru rizik a navrhnu projednání výborem [R].”

Scénář E: Compliance ≠ security

Situace: Bezpečnost trvá na certifikacích a procesních razítkách, ale odmítá bavit se o reálné odolnosti systému.

Postup — bezpečnost orientovaná na výsledky:

“Certifikace (ISO/IEC 27001) je nutná, nikoli postačující podmínka: dokládá existenci systému řízení, nikoli odolnost konkrétního řešení [F: certifikace auditují proces, ne penetrovatelnost]. Navrhuji proto doplnit smluvní rámec o metriky orientované na výsledek [P]:

MTTD (Mean Time to Detect) — maximální čas detekce průniku, ověřovaný cvičením,

MTTR (Mean Time to Respond) — maximální čas izolace napadeného segmentu,

SLA na patch management — odstupňované podle kritičnosti a reálné zneužitelnosti: kritické zranitelnosti s dostupným exploitem v řádu dnů od vydání opravy výrobcem; ostatní dle dohodnuté matice. (Paušální lhůty typu ’24 hodin od zveřejnění CVE’ nepožadujeme — opravu, kterou výrobce nevydal, dodavatel nasadit nemůže, a nevymahatelné SLA jen zdražuje nabídky.)

Každá z metrik podléhá zásadě měřitelnosti (ČÁST 3): smlouva musí definovat metodu vyhodnocení — typicky periodické cvičení typu purple team nebo tabletop s protokolem. Certifikáty bez těchto metrik vytvářejí formální shodu bez ověřené odolnosti; navrhuji tento rozdíl explicitně zanést do registru rizik, aby rozhodnutí o rozsahu požadavků bylo vědomé [R].”

Scénář F: Test zneužitelnosti (odpověď na teoretické hrozby)

Situace: Protistrana argumentuje exotickým vektorem útoku a vyžaduje extrémní investici.

Postup — rozlišujte dva případy:

F1: Hrozba se opírá o známé zranitelnosti (existují CVE):

“Scénář je teoreticky přípustný [F]. Pro rozhodnutí o alokaci prostředků žádám o posouzení reálné zneužitelnosti v našem prostředí — a nabízím k němu součinnost: podklady o architektuře a strukturu posouzení dodám já [D+P]:

Analýza povrchu útoku — které komponenty naší architektury tento vektor skutečně vystavují?

Prerekvizity útoku — co musí útočník předem splnit (přístup k L2, fyzický přístup, kompromitované přihlašovací údaje)?

EPSS skóre dotčených CVE — statistická pravděpodobnost zneužití v horizontu měsíců,

Srovnatelné incidenty — existuje precedens u srovnatelných institucí (threat intel, reporty NÚKIB)?”

F2: Hrozba je hypotetická (zero-day, žádné CVE):

EPSS zde nepožadujte — pro nepublikované zranitelnosti z definice neexistuje a protistrana by vám tento požadavek oprávněně vrátila. Argumentujte jinak:

“Proti neznámým zranitelnostem nelze kvantifikovat pravděpodobnost, lze ale posoudit užitečnost opatření napříč vektory [D]. Žádám o porovnání [P]: je navrhované opatření [X] účinné pouze proti tomuto hypotetickému vektoru, nebo snižuje dopad široké třídy útoků (segmentace, princip nejmenších oprávnění, detekce anomálií)? Veřejné prostředky je hospodárné směřovat do opatření odolných vůči nejistotě — tedy takových, která fungují, i když se konkrétní predikce hrozby nenaplní [R: § 4 zákona č. 320/2001 Sb.].”

Tím se debata přesouvá z neplodného sporu “stane se / nestane se” k otázce, kterou lze rozhodnout: co koupíme za tytéž peníze jinde.

Scénář G: Redukce na základní předpoklad (neutralizace Gish Gallopu)

Situace: Protistrana vás zahlcuje smrští technických detailů.

Postup:

“Váš scénář je komplexní, ale stojí na jediném primárním předpokladu [D]: že útočník již získal přístup k vnitřní síti s právy lokálního administrátora. Místo diskuse o detailech laterálního pohybu navrhuji analýzu stromu útoků (Attack Tree Analysis) [P], která odpoví na dvě otázky:

Jaká je odolnost primárních kontrol (MFA, segmentace), jejichž selhání váš scénář předpokládá?

Je navržené opatření nejúčinnější obranou v porovnání s posílením těchto primárních kontrol?

Struktura analýzy: kořenový uzel (cíl útočníka) → cesty útoku → u každého kroku obtížnost, předpoklady a existující vs. navrhovaná opatření. Bez tohoto porovnání nelze doložit, že navržené opatření je účelné (§ 2 písm. o) zákona č. 320/2001 Sb.) [R]. Analýzu jsem připraven facilitovat — potřebuji od vás vstup o hrozbách, strukturu dodám já.”

Scénář H: Tlak dodavatele (vendor gold-plating a lock-in)

Situace: Dodavatel — často přes vedení, ke kterému má obchodní přístup — prosazuje předimenzované, proprietární nebo strategicky výhodné řešení: “referenční architekturu”, “doporučený sizing výrobce”, “bundle, který se teď cenově vyplatí”. Na rozdíl od bezpečnostního FUD nejde o strach, ale o svádění: řešení vypadá výhodně, tlak přichází shora a architekt je ten, kdo “zdržuje”.

Diagnostika je stejná jako v ČÁSTI 1 — obchodník, který odmítá alternativy, nedodá reference nezávislé na výrobci a na technické protiargumenty reaguje eskalací k vedení, vykazuje silné znaky. Rozdíl je v tom, že dodavatel manipulátorem být smí — prodávat je jeho práce. O to důležitější je proces na straně instituce.

Postup:

“Návrh dodavatele na [X] vyhodnotím, potřebuji k tomu ale podklady, které návrh zatím neobsahuje [F: povinnost porovnání variant plyne z principů 3E, § 4 zákona č. 320/2001 Sb.]:

Funkční zdůvodnění sizingu — jaké dokumentované požadavky (výkon, kapacita, růst) navržené dimenzování pokrývá? Doporučení výrobce není požadavek instituce.

TCO na 5+ let včetně exit nákladů — licence, podpora, migrace dat ven, náklady na ukončení. Nabídková cena bez exit nákladů je polovina informace; druhá polovina je cena závislosti.

Nezávislé srovnání — minimálně jedna alternativa (jiný výrobce nebo otevřená technologie) se stejnou funkční specifikací. Pokud alternativa ‘neexistuje’, chci vědět proč — jednododavatelská situace je sama o sobě riziko, které patří do registru.

Vazbu na zadávací dokumentaci — pokud návrh předjímá parametry budoucí VZ, upozorňuji na § 36 odst. 1 ZZVZ: specifikace šitá na jeden produkt je bezdůvodnou překážkou soutěže a riziko nese zadavatel [R].

Do doby dodání podkladů vedu návrh v projektové dokumentaci jako ‘nabídku dodavatele k posouzení’, nikoli jako architektonické rozhodnutí [P].”

Proč to funguje:

✅ Neodmítáte dodavatele — vyžadujete od něj totéž co od bezpečnosti: doložení. Dobrý dodavatel podklady má; špatný se prozradí jejich absencí
✅ Exit náklady jsou argument, kterému rozumí i netechnické vedení — a který obchodník nikdy nepřinese sám
✅ Formulace “nabídka k posouzení, nikoli rozhodnutí” brání nejčastějšímu triku: postupné normalizaci návrhu opakováním, dokud se nestane “tím, s čím všichni počítají”

(Pozn. k zásadě facilitované analýzy: u komerčního dodavatele facilitaci nenabízejte — na rozdíl od interního útvaru má na zpracování podkladů placenou kapacitu a jejich dodání je součástí obchodní nabídky, ne laskavost.)

Scénář I: Tlak vedení projektu (“přeskočme to, hoří termín”)

Situace: Zdrojem tlaku není bezpečnost ani dodavatel, ale PM nebo vedení projektu: “Analýzu doděláme potom, teď musíme stihnout milník.” Architekt je tlačen odsouhlasit řešení bez podkladů — a stát se tím, kdo ponese odpovědnost, až se “potom” nekoná.

Postup — oddělení rozhodnutí od odpovědnosti:

“Rozumím tlaku na termín a nebudu blokovat rozhodnutí pokračovat. Potřebuji ale, aby bylo rozhodnutím — tedy aby ho někdo učinil a aby bylo zapsáno [F: auditní stopa rozhodovacího procesu]. Navrhuji do zápisu z jednání dne [datum] uvést:

Projekt pokračuje do fáze [X] bez dokončené [analýzy rizik / architektonické revize / …] na základě rozhodnutí [funkce] z důvodu priority termínu [Y].

Chybějící podklad bude dopracován do [datum] a jeho závěry mohou vyvolat změnové řízení.

Architektonické stanovisko: doporučoval jsem dokončení podkladu před rozhodnutím; riziko dodatečných změn odhaduji na [interval nákladů/času].

S tímto zápisem pokračuji s plným nasazením [P].”

Proč to funguje:

✅ Nejste “ten, kdo zdržuje” — jste ten, kdo umožnil rozhodnout rychle a čistě
✅ Vedení dostává, co chce (termín), a platí za to jedinou přijatelnou měnou: podpisem
✅ Pokud vedení odmítne i zápis, jste za hranicí tohoto scénáře — a získali jste zásadní diagnostickou informaci o instituci: platí Hranice rámce z úvodu

ČÁST 5: KONSTRUKTIVNÍ ESKALACE — nabídka dvou postupů

Když identifikujete procesní nebo právní problém, nenabízejte vedení hrozbu, ale volbu.

Formulace:

“Analyzoval jsem technický požadavek útvaru bezpečnosti a identifikoval jsem rozpor s cíli finanční kontroly (§ 4 zákona č. 320/2001 Sb.): chybí analýza rizik, srovnání alternativ a věcné zdůvodnění vícenákladů. V zájmu ochrany instituce navrhuji dva postupy:

A) Standardní (doporučený): Útvar bezpečnosti doplní analýzu rizik — nabízím k tomu součinnost formou společného workshopu (viz kooperativní protokol). Vada se zhojí před zahájením zakázky.

B) Eskalovaný: Pokud varianta A není z časových či jiných důvodů možná, navrhuji postoupit rozhodnutí projektovému výboru se zápisem obsahujícím:

požadavek je implementován z důvodů jiných než technických (např. strategických),

vedení je si vědomo vícenákladů [X] mil. Kč,

vedení akceptuje riziko přezkumu u ÚOHS,

rozhodnutí je přijato na úrovni [jméno a funkce].

Tento postup navrhuji výhradně pro zajištění transparentnosti a auditní stopy rozhodovacího procesu — což je i v zájmu rozhodujícího: nedokumentované rozhodnutí je pro vedení větší osobní riziko než dokumentované.”

Proč to funguje:

✅ Neobviňujete z “politických důvodů” (říkáte “důvody jiné než technické”)
✅ Nabízíte vedení legitimní cestu — včetně té, kde rozhodne proti vám
✅ Dokumentace chrání i rozhodujícího — argument, který funguje bez ohledu na to, jak silná bude budoucí vymáhací praxe
✅ Chráníte svou odpovědnost bez konfrontace

ČÁST 6: ESKALAČNÍ ŽEBŘÍK

Externí autority používejte jako objektivní arbitry, nikoli jako hrozbu. A vždy institucionální cestou. Každý stupeň předpokládá vyčerpání předchozího a od Stupně 2 výš povinný test symetrie (ČÁST 1).

Stupeň 1 — Neformální metodický dotaz (přes projekt):

“Tento výklad požadavků kybernetické bezpečnosti se jeví jako neobvyklý. Navrhuji ověřit ho neformálním metodickým dotazem na NÚKIB — potvrdíme si, že jdeme správnou cestou a neriskujeme neshodu při budoucí kontrole.”

Stupeň 2 — Formální konzultace (přes vedení projektu):

“Vzhledem k přetrvávajícím rozporům v interpretaci přiměřenosti navrhuji, aby vedení projektu oficiálně požádalo NÚKIB o metodickou konzultaci k tomuto konkrétnímu požadavku. NÚKIB metodickou podporu regulovaným subjektům poskytuje a jeho stanovisko bude mít pro výbor váhu, kterou interní spor mít nemůže.”

Stupeň 3 — Dokumentovaný návrh (poslední krok metodické eskalace):

Pokud vedení konzultaci odmítá, nepodávejte dotaz sami jako fyzická osoba. Odpověď na soukromý dotaz nemá pro instituci žádnou formální váhu a popisování interních poměrů projektu mimo instituci vás vystavuje riziku porušení mlčenlivosti a loajality. Místo toho:

“Písemně navrhuji vedení projektu vyžádání metodického stanoviska NÚKIB a žádám o zaznamenání tohoto návrhu i případného zamítnutí do zápisu. Tím je auditní stopa kompletní: doporučení bylo dáno, rozhodnutí je na vedení.”

Dokumentovaný a zamítnutý návrh je pro vaši ochranu cennější než soukromá eskalace — a nespálí vás.

Stupeň 4 — Ochrana oznamovatelů (pouze pro protiprávní jednání):

Zákon č. 171/2023 Sb., o ochraně oznamovatelů, dává poslední příčku pro situace, kde selhaly všechny interní cesty a kde jde o protiprávní jednání ve věcné působnosti zákona — typicky manipulace zadávacího řízení (parametry šité na dodavatele vložené vědomě, viz pozn. u Scénáře C), střet zájmů, korupční jednání. Veřejní zadavatelé mají povinný interní oznamovací systém; při jeho selhání existuje externí kanál (Ministerstvo spravedlnosti). Ochrana se vztahuje na zaměstnance i na osoby pracující pro povinný subjekt na smluvním základě — tedy i na externisty.

Hranice, kterou nesmíte překročit: Oznamovací systém chrání oznámení protiprávního jednání, nikoli odborný nesouhlas. Spor o sizing clusteru, o volbu technologie nebo o výklad přiměřenosti do něj nepatří — a architekt, který ho použije na odborný spor, spáchá kariérní kategorickou chybu a znehodnotí nástroj pro situace, kde je skutečně potřeba. Před použitím Stupně 4 si položte jedinou otázku: Umím pojmenovat konkrétní právní předpis, který byl porušen — nebo umím pojmenovat jen rozhodnutí, se kterým nesouhlasím? Pokud to druhé, Stupeň 4 pro vás neexistuje.

ČÁST 7: EXIT STRATEGY — přijetí prohry s grácií

Kdy přestat oponovat

✅ Když vedení rozhodlo s plnou znalostí rizik
✅ Když je rozhodnutí dokumentováno (zápis + podpis)
✅ Když jde o legitimní manažerské rozhodnutí (např. strategická priorita)

Jak to udělat

“Beru na vědomí rozhodnutí projektového výboru ze dne [datum], sp. zn. [číslo], kterým bylo schváleno implementovat požadavek útvaru bezpečnosti na [X] s vícenáklady [Y] mil. Kč. Nesouhlasím s tímto rozhodnutím z technických důvodů uvedených v mém vyjádření ze dne [datum], ale respektuji právo vedení rozhodnout na základě priorit, které jako architekt nemohu plně posoudit. Budu pokračovat v implementaci dle schváleného rozhodnutí s plnou profesionalitou.”

Kdy tato strategie NEPLATÍ

Exit strategy předpokládá poctivou prohru v poctivém procesu. Neplatí, když:

vedení odmítá rozhodnutí dokumentovat (zápis “se nehodí”, podpis “není potřeba”),
rozhodnutí fakticky vzniklo mimo formální proces a orgán ho jen ratifikuje bez podkladů,
jste tlačeni implementovat bez auditní stopy — tedy stát se jediným podepsaným pod cizím rozhodnutím.

V těchto situacích nejde o prohru argumentu, ale o selhání procesu. První odpovědí je Scénář I — vynucení zápisu výměnou za nekonfliktní pokračování. Pokud vedení odmítá i zápis, jste za hranicí Scénáře I a platí Hranice rámce z úvodu: buď jde o protiprávní jednání (Stupeň 4), nebo o dysfunkci, na kterou metodika nestačí. Respekt k hierarchii si zaslouží hierarchie, která nese svá rozhodnutí podepsaná.

Proč je to důležité

✅ Dokumentujete svůj nesouhlas (pro případný audit)
✅ Respektujete hierarchii — nejste “rebel”
✅ Ponecháváte si integritu — nejste “ten, který to schválil”
✅ Instituce, kde architekt umí prohrát, je instituce, kde mu příště budou naslouchat

ČÁST 8: KVANTITATIVNÍ ARGUMENTACE — poctivá verze

Tato část slouží k posouzení proporcionality investic. Klíčová zásada: kvantifikace je nástroj strukturovaného uvažování, ne zdroj falešné přesnosti. Kdo požaduje přesná čísla tam, kde neexistují data, dostane čísla vycucaná z prstu — a pak s nimi “racionálně” počítá.

1. ALE jako rámec, ne jako věštba

Vzorec: ALE = SLE × ARO
SLE (Single Loss Expectancy): škoda z jednoho výskytu incidentu
ARO (Annualized Rate of Occurrence): očekávaná roční četnost

Poctivé použití: Pro vzácné události (velký průnik do státní instituce) nikdo ARO nezná — ani bezpečnost, ani vy. Proto:

Pracujte s intervaly, ne body. “ARO mezi 0,05 a 0,3” je poctivé; “ARO = 0,17” je divadlo.
Vyžadujte explicitní předpoklady, ne přesnost. Cílem není správné číslo, ale napsaný a revidovatelný řetězec úvah. Špatný předpoklad na papíře lze opravit; “expertní pocit” nikoli.
Dělejte citlivostní analýzu. Pokud závěr (investovat / neinvestovat) platí pro celý interval předpokladů, je robustní. Pokud se láme uvnitř intervalu, je to poctivá informace pro vedení: “rozhodnutí závisí na předpokladu X, který neumíme ověřit.”
Přiznejte nemonetizovatelné dopady. U státní instituce zahrnuje dopad incidentu i důvěru občanů a data, jejichž únik nelze ocenit tržně. Tyto položky do vzorce nepatří — patří do slovního doprovodu pro rozhodnutí vedení. Předstírat, že jsou v SLE, znamená model diskreditovat.

2. ALARP — použitý správně

Princip ALARP (As Low As Reasonably Practicable) pochází z bezpečnostního inženýrství a je třeba ho citovat poctivě: důkazní břemeno leží na tom, kdo další snižování rizika odmítá — musí doložit, že náklady by byly v hrubém nepoměru k přínosu. ALARP tedy není štít proti investicím do bezpečnosti; je to sdílený rámec, který:

chrání před gold-platingem (investice v hrubém nepoměru k redukci rizika neobstojí),
ale zároveň zavazuje i architekta: levná a účinná opatření nelze odmítat s odkazem na “už jsme bezpeční dost”.

Používejte ho jako společný jazyk s bezpečností, ne jako klacek. Je to jeden z mála konceptů, na kterém se poctivý architekt a poctivý bezpečák shodnou.

3. Vazba na finanční kontrolu

Principy 3E jsou definovány v § 2 písm. m), n), o) zákona č. 320/2001 Sb. (hospodárnost, efektivnost, účelnost) a jejich zajištění patří mezi hlavní cíle finanční kontroly dle § 4 téhož zákona. Pozor na přesnost: § 2 je definiční ustanovení — nelze “porušit § 2”. Korektní formulace zní: “náklad postrádá doložitelnou účelnost ve smyslu § 2 písm. o), jejíž zajištění je cílem finanční kontroly dle § 4 zákona č. 320/2001 Sb.” Právník protistrany si nepřesné citace všimne — a s ní shodí i váš věcný argument.

ČÁST 9: PRAVIDLA PROFESIONÁLNÍHO PŘEŽITÍ

1. Nejsi sám. Najdi další architekty ve státní správě se stejným problémem. Společný metodický podnět má větší váhu než individuální stížnost — a profesní asociace je legitimní kanál i tam, kde interní cesty selžou. Peer síť má i druhou funkci: dodává recenzenty pro test symetrie (ČÁST 1).

2. Dokumentace je tvá pojistka. Každé jednání, každý požadavek, každá eskalace písemně. “Co není v zápisu, to se nestalo.”

3. NÚKIB je arbitr, ne zbraň. Metodickou podporu poskytuje — ale eskalace k němu jde vždy institucionální cestou (ČÁST 6). Soukromá eskalace tě poškodí víc než protistranu.

4. Používej jazyk auditora — přesně. Nepřesná citace paragrafu je horší než žádná: dává protistraně možnost shodit formu i obsah najednou. Před použitím paragrafu si ověř aktuální znění (zejména po rekodifikaci kybernetického zákona v roce 2025).

5. Nenabízej řešení příliš brzy. Nech protistranu nejdřív definovat problém (hrozbu). Pokud ji nedokáže definovat, není co řešit. (Nabídka facilitace analýzy — zásada z ČÁSTI 3 — tomuto pravidlu neodporuje: facilituješ strukturu, ne obsah. Hrozbu musí pojmenovat oni.)

6. Na ticho odpovídej eskalací, nikdy vlastní akceptací rizika. Pokud protistrana nedodá vyžádanou analýzu, nikdy písemně nedeklaruj, že “pracuješ s předpokladem marginálního rizika” — tím jsi jednostranně a písemně akceptoval riziko, které ti nikdo nepřidělil, a při incidentu je tvůj e-mail prvním exponátem proti tobě. Správný postup: po marném uplynutí lhůty pošli urgenci v kopii PM, zapiš nedodání podkladu do registru rizik jako otevřený bod a požádej výbor o rozhodnutí.

Pozitivní protipól — jak správně zaznamenat pokračování bez podkladu: Někdy projekt objektivně nemůže čekat a pokračuje se bez analýzy. Rozdíl mezi špatným a správným záznamem je rozdíl mezi převzetím a přidělením rizika:

❌ “Pracuji s předpokladem, že riziko je marginální.” (Tys riziko ohodnotil a přijal — bez mandátu i bez dat.)
✅ “Rozhodnutím [orgán/funkce] ze dne [datum] projekt pokračuje bez dokončené analýzy [X]; analýza bude dodána do [datum] a její závěry mohou vyvolat změnové řízení.” (Riziko nese rozhodnutí, ne tvůj předpoklad — a záznam existuje.)

Mlčení protistrany se dokumentuje, nepřebírá. A pokračování bez podkladu se zaznamenává jako cizí rozhodnutí, ne jako tvůj úsudek.

7. Rozlišuj mezi prohrou argumentu a prohrou procesu. Když vedení rozhodne proti tobě dokumentovaně a s plnou znalostí rizik, prohrál argument — proces fungoval. To není důvod k boji, ale k exit strategy (ČÁST 7). Když ale selhal proces sám (rozhodnutí bez zápisu, ratifikace bez podkladů), platí Hranice rámce z úvodu.

8. Test symetrie není rituál. Prováděj ho procedurálně (ČÁST 1): před eskalací, cizíma očima, s dokumentací. A jednou ročně navíc: vezmi tři své loňské spory a nech je kolegu projít diagnostickou tabulkou z pozice protistrany. Rámec, který funguje jen jedním směrem, není rámec — je to zbraň. A zbraně mají tendenci měnit majitele.

MATICE SCÉNÁŘŮ

Referenční tabulka: najděte řádek odpovídající vaší situaci — každý odkazuje na část dokumentu, která ji řeší.

Situace	Tvůj postup	Cíl
Oprávněná obava bez dokumentace (expert bez kapacity)	Scénář 0: workshop	Společná analýza rizik
Obecné strašení (“díra do systému”)	Scénář A / F-D-R-P (ČÁST 3): žádost o analýzu	Od emocí k datům
Metodický faul (“pravidla to neumožňují”)	F-D-R-P (ČÁST 3): žádost o konkrétní ustanovení jako [F]	Odhalení subjektivního názoru
Absolutismus (“100% bezpečné”)	Reziduální riziko + ALARP (ČÁST 8)	Akceptace zbytkového rizika
Vendor lock-in ve specifikaci	Scénář C: § 36 ZZVZ + právní oddělení	Technologická neutralita
Gold-plating bezpečnosti	Scénář D: důkazní břemeno + alternativy	Oni dokládají, ty reviduješ
Tlak dodavatele (“referenční architektura”)	Scénář H: TCO s exit náklady + alternativa	Nabídka k posouzení, ne rozhodnutí
Tlak vedení na termín	Scénář I: rozhodnutí do zápisu	Rychlost výměnou za podpis
Gish Gallop (zahlcení detaily)	Scénář G: redukce na předpoklad	Testovatelný bod
Teoretická hrozba — známé CVE	Scénář F1: EPSS + prerekvizity	Od “možná” k “pravděpodobně”
Teoretická hrozba — zero-day	Scénář F2: užitečnost napříč vektory	Investice odolné vůči nejistotě
Checkbox security (jen certifikace)	Scénář E: outcome metriky + metoda měření	Reálná odolnost vedle razítek
Politický tlak (“priorita vedení”)	ČÁST 5: dva postupy	Dokumentované rozhodnutí
Patová situace	ČÁST 6, Stupně 1–3: NÚKIB institucionálně	Externí arbitr
Protiprávní jednání (manipulace VZ)	Stupeň 4: ochrana oznamovatelů	Zákonný kanál
Selhání celé hierarchie	Hranice rámce: Stupeň 4, nebo kariérní exit	Neztratit integritu s institucí

ZÁVĚR: Tvoje identita

Nejsi “ten, co bojuje proti bezpečnosti.” Jsi ten, kdo zajišťuje, aby technická rozhodnutí — ať přicházejí od bezpečnosti, dodavatele, nebo vedení — byla proporcionální, efektivní a v souladu se zákonem, a kdo protistraně nabídne pomoc dřív, než jí nabídne spor.

Nejsi “problémový architekt.” Jsi ochránce instituce před právními a finančními riziky — včetně rizika, že se z legitimní obrany stane obstrukce. Proto diagnostika předchází arzenálu a test symetrie provádí někdo jiný než ty.

Nejsi “technický puritán.” Jsi profesionál, který respektuje hierarchii, vyžaduje transparentnost rozhodovacího procesu, umí dokumentovaně prohrát — a ví, kde končí metodika a začíná rozhodnutí o vlastní kariéře.

PŘÍLOHA: Právní rámec (stav k lednu 2026)

Zákon č. 264/2025 Sb., o kybernetické bezpečnosti (ZoKB) — účinný od 1. 11. 2025; transpozice směrnice NIS2 (EU 2022/2555); ruší a nahrazuje zákon č. 181/2014 Sb. Klíčové pro tento rámec: explicitní povinnost řízení rizik, dva režimy povinností (vyšší/nižší), odpovědnost vrcholového vedení za kybernetickou bezpečnost. Pozor: k datu tohoto dokumentu bez vymáhací praxe a judikatury — argumentujte textem zákona a přiznávejte to.
Vyhláška č. 408/2025 Sb., o regulovaných službách — určuje, které subjekty a služby spadají pod ZoKB.
Prováděcí vyhlášky k ZoKB o bezpečnostních opatřeních (samostatně pro režim vyšších a nižších povinností) — nahrazují dřívější vyhlášku č. 82/2018 Sb.; konkrétní požadavky na řízení rizik a bezpečnostní opatření ověřuj v aktuálním znění.
ZZVZ — zákon č. 134/2016 Sb., o zadávání veřejných zakázek; zejména § 6 odst. 1 (zásada přiměřenosti) a § 36 odst. 1 (zákaz bezdůvodných překážek hospodářské soutěže).
Zákon č. 320/2001 Sb., o finanční kontrole ve veřejné správě; § 2 písm. m), n), o) (definice 3E: hospodárnost, efektivnost, účelnost), § 4 (hlavní cíle finanční kontroly).
Zákon č. 171/2023 Sb., o ochraně oznamovatelů — transpozice směrnice (EU) 2019/1937; interní oznamovací systém povinný pro veřejné zadavatele, externí kanál přes Ministerstvo spravedlnosti; chrání zaměstnance i osoby na smluvním základě. Pouze pro protiprávní jednání ve věcné působnosti zákona, nikoli pro odborné spory (viz Stupeň 4).
ISO/IEC 27005 — mezinárodní standard pro řízení rizik informační bezpečnosti.
NÚKIB — Národní úřad pro kybernetickou a informační bezpečnost; metodická podpora, Portál NÚKIB.
ALARP (As Low As Reasonably Practicable) — princip z bezpečnostního inženýrství; důkazní břemeno “hrubého nepoměru” leží na tom, kdo další opatření odmítá.
EPSS (Exploit Prediction Scoring System) — predikce zneužití publikovaných CVE; na hypotetické zero-day zranitelnosti nepoužitelný.

Konec dokumentu

“Tento rámec není o tom, jak vyhrát. Je o tom, jak zajistit, aby rozhodnutí — jakékoli — bylo učiněno poctivě, dokumentovaně a tím správným člověkem.”