Evropská agentura pro kybernetickou bezpečnost (ENISA) publikovala v květnu 2026 zprávu NIS360: Přehled kybernetické vyspělosti sektorů s vysokou kritičností podle směrnice NIS2, která poskytuje komplexní pohled na úroveň kybernetické vyspělosti a kritičnosti klíčových sektorů v Evropské unii.

Zpráva potvrzuje, že finanční sektor patří mezi nejvyspělejší i nejkritičtější, což znamená vysokou úroveň zabezpečení, ale současně také vysokou expozici vůči kybernetickým hrozbám a systémovým selháním.

Propojení byznysu, legislativních požadavků a technické reality je jednou z největších výzev pro architekty a manažery bezpečnosti v bankovním sektoru.

Situaci komplikuje fakt, že evropská směrnice NIS2 (v ČR implementovaná novým zákonem o kybernetické bezpečnosti) a nařízení DORA používají odlišnou (a právnicky definovanou) terminologii než zavedené standardy řady ISO 27000, enterprise architektura nebo interní procesní model banky.

V kvantitativním hodnocení kybernetických rizik často začínáme velmi prostou otázkou: jak často může daná událost nastat?

Jinými slovy potřebujeme stanovit roční frekvenci výskytu události (annualized rate of occurrence, zkr. ARO) nebo také frekvenci ztrátové události (loss event frequency, zkr. LEF), kterou pak násobíme očekávanou ztrátou při jedné události (single loss expectancy, zkr. SLE), abychom získali roční očekávanou ztrátu (annualized loss expectancy, zkr. ALE). A tady začíná problém.

Od reakcie na udalosti k prediktívnemu bezpečnostnému monitoringu

Analytik SOC sedí pred obrazovkou a SIEM mu práve zobrazil červený alert. Nastala korelácia udalostí, ktorá naznačuje incident. Napríklad sa niekto neoprávnene dostal tam, kam nemal. Monitorovací systém urobil presne to, na čo bol postavený – upozornil na útok vo chvíli, keď už prebiehal, alebo tesne po tom, čo skončil. Otázka, ktorá by mala analytika zaujímať oveľa viac, znie inak: mohol to systém vedieť skôr?

Risk matice patří mezi nejrozšířenější nástroje řízení rizik, přesto jejich schopnost poskytovat spolehlivý podklad pro rozhodování zůstává odborně zpochybněná.

Analýza, za kterou stojí Jan Kopřiva, tento problém kvantifikuje pomocí metrik pořadové korelace a ukazuje, že nejde pouze o intuitivní nedokonalost, ale o měřitelný a systematický jev.

Norma ISO/IEC 27001 v článku 6.1.2 požaduje, aby proces hodnocení rizik produkoval konzistentní, validní a srovnatelné výsledky. ISO/IEC 27005 pak v informativní části upozorňuje, že provádění matematických operací nad čísly, která jsou ve skutečnosti pouze kódy kvalitativního hodnocení, může být metodicky neplatné.

Výklad není tak jednoduchý, jak by se na první pohled mohlo zdát. Risk matice sama o sobě nemusí být automaticky neshodou.

Jelikož ty zatracené matice rizik stále nedávají některým z vás spát, tak se k nim opět na chvíli vrátíme.

Mnozí z vás se totiž celkem logicky ptají: „Dobře, když je problém v tom, že se v klasické matici rizik nesmí sčítat nebo násobit ordinální hodnoty, tak je prostě nahradíme kardinálními reprezentanty a problém je vyřešen, ne?“

Používají ji všichni a tak ani my nemůžeme zůstat mimo, pomyslí si nejeden CEO, protože přeci kdo chvíli stál, za chvíli stojí opodál.

Jasně, jenže pak zjistíme, že největší problém není, zda vůbec AI začít používat, ale kde a jak nastavit pravidla. Protože AI se dá nasadit skoro kdekoliv. Otázka ovšem je, co to udělá s firmou, když ji nacpeme i tam, kde se vůbec, ale vůbec nehodí. A přesně tady to začíná.

Risk analytik ve vaší firmě nerozhoduje o rizicích. O těch rozhodujete samozřejmě vy. Ale zpravidla rozhodujete podle podkladů, které pro vás připravil právě onen risk analytik.

Pokud dostanete špatně zpracovanou analýzu rizik, budete rozhodovat o rozpočtech, prioritách, bezpečnostních opatřeních, pojištění, technologiích nebo organizačních změnách na základě nepřesných, neúplných nebo zavádějících informací. A můžete za to nést i osobní odpovědnost.

V CRQ často modelujeme dopad pomocí lognormálního rozdělení. Lognormal je ale neomezený, má nekonečný pravý ocas, což někdy nechceme, protože chceme zabránit tomu, aby model generoval ekonomicky nemožné škody.

V zásadě máme dvě jednoduché možnosti, jak k tomuto problému prakticky přistoupit v rámci lognormálního modelu, a to truncaci (oříznutí) a capování (zastropování). V tomto článku si rozebereme oba tyto přístupy.