Samotná NIS2 říká jen to, že organizace musí používat „řešení vícefaktorového ověřování nebo průběžného ověřování … tam, kde je to vhodné“ (čl. 21 odst. 2 písm. j) směrnice 2022/2555). Tři pobaltské státy proměnily tuto jedinou větu ve tři dosti odlišné soubory pravidel. Pokud provozujete systémy ve více než jednom z nich, nebo se snažíte zjistit, na které z vašich účtů se regulátor zeptá, na rozdílech záleží. Tento článek příslušná ustanovení cituje a ukazuje, kde které z nich ponechává prostor.
Nejprve výjimka na úrovni EU: poskytovatelé digitální infrastruktury, například služeb DNS, cloudu a datových center, poskytovatelé řízených služeb a online tržiště, se řídí prováděcím nařízením Komise, nikoli národními pravidly. Bod 11.7 jeho přílohy vyžaduje MFA nebo průběžné ověřování pro přístup k sítím a informačním systémům „v souladu s klasifikací aktiva“ a bod 11.3.2 vyžaduje silné ověřování, „například vícefaktorové ověřování“, pro privilegované účty a účty pro správu systémů (nařízení 2024/2690, účinné od 7. listopadu 2024). Všichni ostatní se řídí národními pravidly popsanými níže.
Lotyšsko: nařízení jmenuje účty
Lotyšská pravidla jsou z těch tří nejkonkrétnější. Nařízení kabinetu ministrů č. 397 Minimālās kiberdrošības prasības (Minimální požadavky na kybernetickou bezpečnost) je účinné od 2. července 2025 (likumi.lv) a vychází ze zákona o národní kybernetické bezpečnosti (Nacionālās kiberdrošības likums, likumi.lv).
Podle bodu 52 je MFA povinné pro:
- 52.1 administrátorské účty i běžné uživatelské účty informačních systémů třídy A;
- 52.2 administrátorské účty informačních systémů třídy B;
- 52.3 běžné uživatelské účty systémů třídy B, pokud se k nim přistupuje vzdáleně z externí sítě a tento přístup už nevede přes šifrovanou VPN s MFA.
Třídy jsou vlastností každého informačního systému, nikoli vaší organizace. Body 32 až 34 je odvozují z bezpečnostních tříd systému pro důvěrnost, integritu a dostupnost: stačí jediné hodnocení A a systém je třídy A, jinak stačí jediné hodnocení B a systém je třídy B; cokoli, co je součástí kritické infrastruktury, je z definice třídy A. Poskytovatel klíčových služeb tak může mít jen systémy tříd B a C a nařízení s tím počítá: tříletý cyklus sebehodnocení, který stanoví, se vztahuje na každý subjekt bez systému třídy A.
Bod 55.8 přidává síťové pravidlo pro vlastníky kritické infrastruktury IKT a pro poskytovatele klíčových služeb: přístup k interním zdrojům z prostředí mimo vnitřní síť „je možný pouze prostřednictvím šifrovaného řešení VPN s vícefaktorovým ověřováním“. Bod 56 na poskytovatele důležitých služeb vztahuje jen body 55.1 až 55.4, takže 55.8 je nezavazuje.
S pravidlem o MFA souvisejí povinnosti, které auditor zkontroluje při téže návštěvě: administrátorské účty se nesmějí používat k běžné práci a běžné účty se nesmějí používat ke správě (body 51.5 a 51.4); přístup k informačním zdrojům, včetně neúspěšných pokusů, se musí zaznamenávat (bod 58.3) a záznamy uchovávat 18, 12 nebo 6 měsíců podle třídy systému (bod 57). Vlastníci kritické infrastruktury a každý, kdo má alespoň jeden systém třídy A, podávají zprávu o sebehodnocení na formuláři podle přílohy 16 nařízení do 1. října každého roku, ostatní každé tři roky (body 141 a 142); zpráva se podává Národnímu centru kybernetické bezpečnosti (Nacionālais kiberdrošības centrs), u kritické infrastruktury Úřadu na ochranu ústavy (Satversmes aizsardzības birojs).
Co nařízení nedělá: nejmenuje žádnou technologii. Říká jen „daudzfaktoru autentifikācija“ (vícefaktorové ověřování), bez zmínky o SMS, jednorázových kódech, FIDO nebo odolnosti vůči phishingu, a nestanoví vůbec žádná pravidla pro hesla. Pokuty podle zákona dosahují až 10 milionů eur u poskytovatelů klíčových služeb, nebo 2 % obratu, pokud obrat přesahuje 500 milionů eur, a 7 milionů eur u poskytovatelů důležitých služeb, nebo 1,4 % obratu nad týmž prahem 500 milionů eur.
Litva: všichni včetně uživatelů, lhůta 24 měsíců
Litva pro NIS2 přepsala svůj zákon o kybernetické bezpečnosti (Kibernetinio saugumo įstatymas) s účinností od 18. října 2024. Článek 14 odst. 5 bod 11 uvádí mezi požadovanými prvky „řešení vícefaktorového nebo průběžného ověřování“ a usnesení vlády č. 945 ze 6. listopadu 2024 (účinné od 12. listopadu 2024) schvaluje podrobný Kibernetinio saugumo reikalavimų aprašas (Popis požadavků na kybernetickou bezpečnost) (e-seimas).
Pravidlo o MFA je v řádku 61 tabulky 7 tohoto popisu a má ze všech tří zemí nejširší záběr: „uživatel i správce musí potvrdit svou identitu heslem a dalším ověřovacím prostředkem (vícefaktorové ověřování)“. Je zaškrtnuto pro klíčové i důležité subjekty bez rozdílu a nezávisí na tom, kde se uživatel nachází ani jak je systém klasifikován. Souvisejí s ním: správa pouze přes samostatný účet, který se nepoužívá k denní práci (řádek 58), pozastavení účtů po třech měsících nečinnosti u uživatelů a po dvou u správců, uzamčení pracovní stanice do 15 minut a zákaz ukládání hesel v prohlížeči mimo vyhrazený správce hesel. U třetích stran se MFA vyžaduje „tam, kde je to možné“. Organizační část, včetně písemného postupu řízení přístupu, který uvádí, jak se MFA používá (bod 65.9), je nutno splnit do 12 měsíců od registrace v národním informačním systému kybernetické bezpečnosti; technické požadavky z tabulky 7, včetně MFA, do 24 měsíců od registrace (bod 72).
Zákon dále vyžaduje audit kybernetické bezpečnosti nejméně každé tři roky podle metodiky centra a školení vedení nejméně každé dva roky. Povinnosti vznikají až registrací subjektu (článek 11 odst. 2); dohled vykonává Národní centrum kybernetické bezpečnosti (Nacionalinis kibernetinio saugumo centras, NKSC). Porušení požadavků článku 14 se považuje za „nebezpečné porušení“, a spadá tak do nejvyšší sazby pokut: u klíčových subjektů až 10 milionů eur nebo 2 % celosvětového obratu, podle toho, co je vyšší, a u důležitých subjektů 7 milionů eur nebo 1,4 %, podle toho, co je vyšší. Rozpočtové instituce mají nižší stropy. Zákon byl v červnu 2026 znovu novelizován; jeho text jsme neměli možnost přečíst, ověřte si proto, zda se články o pokutách a o registraci nezměnily.
Estonsko: zákon mlčí, standard nikoli
Novelizovaný estonský zákon o kybernetické bezpečnosti (Küberturvalisuse seadus) nabyl účinnosti 1. ledna 2026 (Riigi Teataja). Klíčové subjekty nazývá üliolulised üksused a důležité olulised üksused a vícefaktorové ověřování nikde nezmiňuje. Místo toho § 7 svěřuje úpravu bezpečnostních opatření nařízení vlády a to dává poskytovatelům na výběr: zavést estonský standard informační bezpečnosti E-ITS (Eesti infoturbestandard), nebo prokázat, že jejich opatření odpovídají ISO/IEC 27001, s auditem souladu každé tři roky (nařízení 121).
MFA se pak objevuje dvakrát. Příloha nařízení s primárními opatřeními, která platí pro všechny poskytovatele podle zákona, jim ukládá „upřednostňovat vícekrokové ověřování“ (bod 2.5), což je měkká formulace, kterou poskytovatelé mohou nahradit rovnocenným opatřením. Katalog základních opatření E-ITS je přísnější: tam, kde to systém umožňuje, se místo ověřování pouze heslem používá MFA (ORP.4.M8); privilegované účty jsou chráněny MFA proti externím útočníkům a eskalaci oprávnění (ORP.4.M10); při vysokých požadavcích na ochranu se používá bezpečné MFA „například pomocí ID karty nebo tokenu“ (ORP.4.M21); a pro přístup k citlivým osobním údajům se používá MFA (CON.2.M18) (katalog E-ITS).
Lhůty jsou štědré. Subjekty, které podmínky splňovaly už 1. ledna 2026, se musely do tří měsíců, tedy do konce března 2026, registrovat u Úřadu pro informační systémy (Riigi Infosüsteemi Amet, RIA) a mají tři roky, do začátku roku 2029, na dosažení plného souladu. Nové subjekty mají tři měsíce na registraci a tři roky od okamžiku, kdy podmínky splní. Pokuty kopírují NIS2: až 10 milionů eur nebo 2 % celosvětového obratu u klíčových subjektů a 7 milionů eur nebo 1,4 % u důležitých, v obou případech podle toho, co je vyšší. Nad důležitými subjekty vykonává RIA pouze následný dohled.
Srovnání
| Lotyšsko | Litva | Estonsko | |
|---|---|---|---|
| Předpis | Nařízení kabinetu ministrů č. 397, účinné od 2. 7. 2025 | Zákon z 18. 10. 2024 + usnesení č. 945, účinné od 12. 11. 2024 | Zákon novelizovaný k 1. 1. 2026 + nařízení č. 121 + E-ITS |
| MFA povinné pro | Všechny účty v systémech třídy A; správce v systémech třídy B; vzdálené uživatele systémů třídy B bez VPN s MFA | Každého uživatele i správce, u klíčových i důležitých subjektů stejně | Příloha: „upřednostňovat“ vícekrokové ověřování, pro všechny; E-ITS: MFA tam, kde to systém umožňuje, a pro privilegované účty |
| Pravidlo pro vzdálený přístup | VPN s MFA u kritické infrastruktury a poskytovatelů klíčových služeb (55.8) | Žádné zvláštní | Žádné zvláštní |
| Jmenovaná technologie | Ne | Ne | E-ITS uvádí ID kartu nebo token jako příklady pro vysokou ochranu |
| Kdy | Nyní | 24 měsíců od registrace u technických opatření | 3 roky od splnění podmínek (2029 u stávajících subjektů) |
| Důkazy | Sebehodnocení do 1. 10., ročně nebo každé 3 roky | Audit nejméně každé 3 roky | Audit podle E-ITS nebo ISO 27001 každé 3 roky |
| Dozorový orgán | Národní centrum kybernetické bezpečnosti; Úřad na ochranu ústavy u kritické infrastruktury | Národní centrum kybernetické bezpečnosti (NKSC) | Úřad pro informační systémy (RIA) |
Co to znamená pro účty, které skutečně máte
- VPN a vzdálený přístup. V Lotyšsku je šifrovaná VPN přes RADIUS s druhým faktorem přesně to, co bod 55.8 požaduje od vlastníků kritické infrastruktury a poskytovatelů klíčových služeb, a uživatele systémů třídy B vyjímá z bodu 52.3; bez ní potřebuje každý vzdálený uživatel systému třídy B MFA přímo v aplikaci. V Litvě VPN na pravidle nic nemění, protože MFA potřebuje každý uživatel tak či tak. V Estonsku počítejte u VPN, která podporuje RADIUS, s otázkou na formulaci E-ITS „tam, kde to systém umožňuje“.
- Správci. U administrátorských účtů se pravidla všech tří zemí překrývají nejvíce: Lotyšsko u nich vyžaduje MFA v systémech tříd A a B, Litva všude, E-ITS u všech privilegovaných účtů. Lotyšsko i Litva navíc shodně vyžadují samostatný administrátorský účet, který se nepoužívá k denní práci. Konzole firewallů a serverů, které stále přijímají pouhé heslo, budou nejpravděpodobnějším zjištěním auditu.
- Důkazy. Lotyšsko chce, aby se neúspěšná přihlášení logovala a uchovávala; Litva chce písemný postup, který popisuje, jak se MFA používá; Estonsko chce audit podle standardu. Metoda ověřování, která o každém schválení vytváří podepsaný záznam s časovým razítkem, vám dává podklady pro všechny tři země, aniž byste je museli dodatečně rekonstruovat.
- Technologie. Žádný pobaltský zákon nepředepisuje metodu a žádný nepoužívá slova „odolné vůči phishingu“. Prováděcí pokyny ENISA doporučují MFA odolné vůči phishingu „kdekoli je to možné“ a na první místo řadí FIDO2; národní texty končí u slova „vícefaktorové“. To je minimum, ne cíl, a článek o ověřování podle NIS2 vysvětluje, co odděluje faktor, který vyhovuje znění zákona, od faktoru, který obstojí před útočníkem.
Notakey přidává k VPN přes RADIUS, k přihlášení do firewallů a serverů, do Windows a do webových aplikací schválení na telefonu, které zobrazuje službu, účet a zdrojovou adresu, a o každém schválení zanechává podepsaný záznam na zařízení, které můžete provozovat ve vlastním datovém centru. Návod na 2FA pro VPN ukazuje, jak zapadá do požadavku na vzdálený přístup k systémům třídy B v Lotyšsku nebo do řádku 61 tabulky 7 v Litvě. Vyžádejte si demo a společně převedeme účty, které jmenuje váš národní předpis, do pilotního provozu, nebo si nejdřív vyzkoušejte živé demo na vlastním telefonu.
Tento článek cituje právní texty ve znění zveřejněném 29. října 2026 a je obecnou informací, nikoli právním poradenstvím. Povinnosti, třídy a lhůty, které se vztahují na vaši organizaci, si potvrďte u kvalifikovaného právního poradce a ověřte litevské novely z června 2026, které jsme při psaní nemohli přečíst.