Kyberbezpečnost ve zdravotnictví: Proč vás NIS2 dostane přes e-mail, ne přes firewall
Nový zákon o kybernetické bezpečnosti implementující NIS2 posouvá odpovědnost za bezpečnost směrem k řízení a governance. IT oddělení musí být schopno doložit nejen technickou ochranu, ale i kontrolu nad interními procesy a přístupy k datům. Právě zde vzniká část attack surface, která bývá podceňována. Článek vysvětluje, proč je e-mailové schvalování rizikem a jak procesní vrstva ovlivňuje audit i incident response.
Máte implementovaný IDS/IPS. SIEM generuje logy. Segmentace sítě je nastavená podle best practice. To je základ. Ale teď si představte audit podle NIS2. Auditor chce vidět historii schvalování nákupu softwaru za půl milionu korun. Chce vědět, kdo rozhodl, kdo měl přístup ke smlouvě, kdo ji schválil a kdy. Kde ta data vezmete? V e-mailových vláknech? V Excelu na disku účetní? V papírových šanonech? Právě tady bezpečnost nekončí u techniky. Tady začíná procesní vrstva, kterou NIS2 výrazně zvýrazňuje.
Problém není v kódu, ale v chaosu
Moderní IT bezpečnost ve zdravotnictví se logicky soustředí na ochranu perimetru a infrastruktury. Jenže zatímco ladíte pravidla firewallu, paralelně běží nekontrolované procesy mimo systém.
Typická slabá místa:
1. Schvalování mimo řízený systém
Smlouva v příloze e-mailu není jen organizační nepohodlí. Je to bezpečnostní riziko. Neexistuje centralizovaná auditní stopa, kdo dokument otevřel, kdo jej upravil a kdo jej schválil. Příloha v e-mailu je navíc nekontrolovatelná datová stopa, která se může snadno dostat mimo zabezpečený perimetr.
2. Absence identity v procesu
Pokud workflow neběží v řízeném systému, nelze garantovat, že k citlivým dokumentům měl přístup pouze oprávněný uživatel podle definované role. E-mail neřeší autentizaci uživatele při samotném schvalování.
3. Nemožnost forenzní analýzy
Při incidentu potřebujete zpětně dohledat, jak se konkrétní osoba dostala k datům nebo k rozhodnutí. Pokud „proces“ proběhl v e-mailu, chatu nebo sdílené složce, rekonstrukce je složitá nebo nemožná.
Nemožnost odvolání přístupu (Offboarding)
Pokud zaměstnanec odejde, IT zablokuje účty. Ale pokud měla citlivá data v e-mailech nebo na lokálních discích, procesní kontrola nad těmito daty mizí. Řízené workflow zajišťuje, že data zůstávají v systému, nikoliv v "Inboxu" konkrétního člověka. Tohle není problém technologie. Tohle je problém procesní neřízenosti.
NIS2 jako test procesní zralosti
Směrnice NIS2 a nový zákon o kybernetické bezpečnosti neposuzují jen technické zabezpečení. Posuzují řízení rizik a schopnost organizace prokázat, že bezpečnostní opatření skutečně fungují.
Nestačí mít „bezpečný systém“.
Musíte být schopni doložit:
- kdo nese odpovědnost za rozhodnutí,
- jak jsou řízena oprávnění,
- jak probíhá schvalování změn,
- zda existuje dohledatelná historie přístupů a rozhodnutí.
Pokud o rozhodnutí neexistuje záznam v řízeném systému, z pohledu auditu je situace problematická. NIS2 navíc přenáší přímou odpovědnost za řízení rizik na statutární orgány (vedení společnosti), nikoliv jen na IT manažery.
Odpovědnost statutárních orgánů: Bezpečnost už není jen IT problém
Jednou z nejzásadnějších změn, kterou NIS2 přináší, je přímá odpovědnost statutárních orgánů (vedení společnosti, boardu) za řízení kybernetických rizik. Již se nelze vymlouvat na to, že "bezpečnost řeší ajťáci".
Co to znamená v praxi:
- Schvalování opatření: Členové vedení musí aktivně schvalovat opatření kybernetické bezpečnosti a nést za ně odpovědnost.
- Školení vedení: Členové statutárních orgánů jsou povinni absolvovat školení v oblasti kybernetické bezpečnosti, aby dokázali rizika správně posoudit a rozhodovat o nich.
- Odpovědnost za incidenty: V případě kybernetického incidentu a následného auditu může být vedení voláno k odpovědnosti, pokud se prokáže, že zanedbalo preventivní kroky, včetně řízení procesů (např. e-mailové schvalování smluv).
- Finanční a právní postihy: NIS2 umožňuje regulačním orgánům ukládat citelné pokuty, které mohou jít do milionů eur nebo procent celkového obratu, a v krajních případech i pozastavit výkon funkce členům vedení.
Procesní firewall (řízené workflow) je tedy klíčovým nástrojem pro vedení, jak prokázat "due diligence" (náležitou péči) a mít kontrolu nad riziky bez nutnosti rozumět detailům síťové konfigurace.
Procesní firewall: chybějící vrstva architektury
Technologický stack – NDR, SIEM, vulnerability management, IAM – je nezbytný základ.
Bez procesní vrstvy ale architektura zůstává neúplná.
Je to podobné, jako mít silně zabezpečený perimetr, ale uvnitř organizace umožnit pohyb citlivých dokumentů bez jasně řízených pravidel.
Procesní firewall – automatizované workflow s řízením přístupu (IAM) a logováním akcí – znamená:
- centralizované workflow
- řízené role a oprávnění
- auditní stopu každého kroku
- dohledatelnost změn a rozhodnutí
To je vrstva, kterou NIS2 nepřímo vyžaduje.
Co přináší řízené workflow
Nasazení řízeného workflow systému (například pro finanční a smluvní procesy) přináší z pohledu IT několik zásadních benefitů:
1. Auditní stopa
Každý dokument má své ID, časová razítka, historii verzí a seznam schvalovatelů. Audit není pátrání, ale export.
2. Granularita oprávnění
Přístupy jsou řízeny rolí, nikoli neformální dohodou. Snižuje se riziko nadměrných oprávnění.
3. Omezení shadow procesů
Lidé nepoužívají paralelní kanály, pokud mají systém, který je efektivní a přehledný.
4. Podpora compliance
IT oddělení nemusí zpětně dohledávat informace pro audit nebo interní kontrolu. Data jsou strukturovaná a připravená. Systém také umožňuje snadno doložit prověření kyberbezpečnosti u externích dodavatelů, což NIS2 vyžaduje.
Bezpečnost je architektura, ne izolovaný nástroj
NIS2 není pouze regulatorní tlak. Je to příležitost přehodnotit, kde všude v organizaci vzniká riziko.
Skutečná odolnost nevzniká jen na úrovni sítě.
Vzniká v propojení:
- infrastruktury,
- identity a přístupů,
- procesního řízení,
- auditovatelnosti,
- governance.
Cílem není jen splnit zákon. Cílem je vybudovat architekturu, která obstojí při auditu i při incidentu – bez toho, aby IT oddělení fungovalo jako „forenzní vyhledávač“ e-mailových vláken.
Robert Soudný
Spoluzakladatel a CEO wflow. Spolu s kolegou Davidem Grohem vyvinul pokročilou cloudovou technologii pro zpracování účetních dokladů. Své bohaté zkušenosti jako účetní a finanční manažer sbírá od roku 2001. Kromě řízení úspěšného podnikání se Robert věnuje osvětě a podpoře digitální transformace účetnictví, čímž přináší moderní řešení do tohoto tradičního oboru.
Přečtěte si další články
%20(1).webp)
Průvodce pro CFO: Jak automatizovat správu výdajů s firemní kartou v praxi
Ve většině firem dnes nevzniká problém se správou výdajů proto, že by chyběl přehled. Problém je, že přehled vzniká pozdě a rozhodnutí se mezitím dělají naslepo.
Když výdaj začíná už ve fázi budgetingu, ale nestane se právě v tento moment součástí řízeného procesu - vzniká časová prodleva mezi výdajem a jeho kontrolou. Právě v ní se hromadí chyby, nejasnosti a rozpočtové odchylky, které se naplno projeví až při uzávěrce.
Podle americké konzultační firmy McKinsey & Company, která působí po celém světě, dnes organizace, které pracují s manuálními finančními procesy, tráví až 30–40 % času finančních týmů rutinní administrativou, místo práce s daty a rozhodováním.
Firmy, které tento model nezmění, řeší stále stejný problém: finance dohledávají místo toho, aby je řídily. Naopak propojení firemní karty, dokladů a schvalovacího workflow umožňuje pracovat s výdaji průběžně. Tím snižuje chybovost, zrychluje uzávěrku a dává managementu data ve chvíli, kdy je potřebuje.
Kde firmy skutečně ztrácí kontrolu (data z praxe)
Globální trendy ukazují směr, zatímco lokální čísla ukazují realitu.
Proto jsme udělali průzkum mezi 300 českými firmami. Z něj vyplývá, že problém není v tom, že by firmy neměly nástroje. Problém je, že výdaje a rozhodování nejsou propojené.
Z průzkumu (r. 2026) můžeme vyčíst, že:
- 33 % firem poskytuje managementu přehled o financích pouze jednou měsíčně
- pouze 40 % firem považuje schvalování výdajů na dálku za standard
- téměř polovina firem nezaznamenala po automatizaci účetnictví úsporu času
To jasně ukazuje že české firmy se automatizaci a digitalizaci účetnictví nebrání, ale neumí je využít naplno. A také že automatizace sama o sobě nestačí, pokud firma nezmění způsob, jak výdaje vznikají a schvalují se.
Robert Soudný, Co-founder & CEO wflow
%20(1).webp)
Tyto výsledky se promítají do každodenní reality finančních týmů, které jsou pak nuceny řešit:
- dohledávání dokladů
- zpětné doplňování informací
- nejasné přiřazení nákladů
A místo řízení výdajů vzniká manuální operativní práce, která se opakuje každý měsíc.
Zdroj: mobilní aplikace wflow (software pro digitalizaci účetnictví)
Když máte proces správy výdajů nastavený správně
- Vidíte každý výdaj ve chvíli, kdy vzniká → možnost okamžité reakce
- Každý výdaj má automaticky přiřazený doklad a jasný kontext → jasná auditní stopa
- Schvalování probíhá systematicky → zrychlení interních procesů
- Výdaje vznikají přímo v systému → úspora času a žádné zpětné dohledávání
- Finance pracují s aktuálními daty → kvalifikovanější rozhodnutí, založená na realitě
Výsledkem není jen přehled. Je to schopnost řídit rozpočty a výdaje průběžně, ne zpětně.
Checklist správného nastavení řízení výdajů pro CFOs:
(Fázi plánování již rozebíráme v tomto článku o řízení rozpočtů.)
1. Zaveďte systém, kde výdaj vzniká hned při platbě
Každá platba firemní kartou by se měla v systému okamžitě objevit jako výdaj (ne až zpětně při zpracování dokladů).
2. Vybavte zaměstnance firemními kartami
Dejte týmům nástroj, který umožní výdaje zachytit u zdroje. Například Visa karty od České spořitelny umožňují napojení na digitální procesy místo izolovaných plateb.
3. Zajistěte okamžité doplnění dokladů
Nastavte proces tak, aby zaměstnanec doplnil účtenku hned po platbě, ne zpětně po týdnech urgencí. Tím vzniká výdaj s kontextem. Ideální je automatická notifikace v mobilní aplikaci (jako např. wflow).
4. Automatizujte schvalovací workflow
Každý výdaj by měl projít jasně definovaným schvalovacím procesem podle pravidel firmy. Už v tuto chvíli musí být schvalovateli k dispozici kompletní data, ne jen částka. Moderní účetní software typu wflow umožňuje i nastavení automatického třídění podle nákladových středisek - stačí mít číslo střediska na faktuře.
.webp)
5. Spojte vše do jednoho systému
Řešení, jako je wflow, propojují kartu, doklady, schvalování i účetnictví do jednoho workflow, kde každá platba automaticky vzniká jako řízený výdaj, a to bez manuální práce a bez zpětného dohledávání.
6. Propojte celý proces s účetnictvím a ERP
Teprve v této fázi dává smysl napojení na ERP, protože data, která do něj vstupují, jsou už kompletní, schválená a připravená.
Investice do automatizace účetnictví má rozhodně smysl. Úsporu času a nákladů ale pocítíte pouze tehdy, nebudete-li automatizovat jednotlivé úkony, ale proces jako celek.
Zdroj:
Report mezi 300 českými firmami: **Stav modernizace financí 2026**
McKinsey & Company: **How finance teams are putting AI to work today** (2025)
.webp)
Kolik stojí manuální finanční procesy ve firmách
Drobné manuální úkony zůstávají často skryty před ostřížíma očima kontrolorů efektivity práce. Jenže každý dokument dohledávaný v mailu, každá ruční aktualizace i opakované urgence kolegů se sčítají. Tyto procesy ve výsledku stojí firmu hodiny práce týdně, zpomalují rozhodování a snižují kontrolu nad financemi.
Data z výzkumu mezi 300 českými firmami ukazují, že schvalování faktur běžně trvá několik dní a velká část firem se bez manuálního zásahu do procesu neobejde.
Náklady na manuální finanční procesy tak nevznikají jednorázově, ale průběžně: v člověkohodinách, opožděných datech a pomalejším finančním řízení.
Největší náklady často nejsou vidět
Náklady manuálních procesů se většinou neprojeví v jedné konkrétní položce účetnictví.
Projevují se jinak:
- opožděným reportingem
- zdlouhavým schvalováním
- duplicitní kontrolou
- nejasnou odpovědností
- horší viditelností nad rozpočty
Účetní oddělení pak tráví více času administrativou a méně času samotným řízením.
Kde firmy ztrácí nejvíce času
Data z výzkumu mezi 300 českými firmami ukazují několik opakujících se problémů.
Dvě třetiny firem schvalují faktury 2–4 dny. Každá pátá firma déle než týden.
27 % organizací stále spoléhá na manuální kontrolu procesů a 23 % řeší auditní stopu manuálně.
To znamená další e-maily, dohledávání dokumentů a vyšší závislost na konkrétních lidech.
.webp)
Proč manuální procesy zpomalují rozhodování
Pokud finanční data vznikají až při uzávěrce, management pracuje se zpožděním. Vedení není schopno pružně reagovat, pracovat s cash flow a rozhoduje o realitě ve firmě na základě informací, které jsou v tu chvíli měsíc staré. Rozpočty nejsou propojené s aktuálními výdaji a závazky vznikají dříve, než se objeví v reportech.
Finance tak často vysvětlují minulost místo toho, aby pomáhaly řídit současnost.
Automatizace není jen úspora času
Automatizace finančních procesů není pouze o rychlejším schvalování.
Přináší:
- průběžný přehled o financích
- jasnou auditní stopu
- kontrolu nad rozpočty
- méně manuálních zásahů
- lepší podklady pro rozhodování
Rozdíl není jen v efektivitě, ale v míře kontroly nad procesem.
Zdroj: Report: Stav modernizace financí 2026 (sestavený na základě výzkumu agentury Ipsos)
.webp)
Co je a co není e-fakturace
Co je elektronická fakturace (e-invoicing)
E-fakturace znamená, že faktura nevzniká jako dokument pro člověka, ale jako strukturovaná data pro systém. Mnoho firem se mylně domnívá, že pokud faktury skenují nebo vytěžují pomocí OCR, jsou „digitální". Ve skutečnosti jde pouze o digitalizaci analogového vstupu.
Skutečná automatizace začíná tam, kde data vznikají ve strukturované podobě (UBL/XML) a bez lidského zásahu putují z ERP dodavatele přímo do účetního systému odběratele. Zlepšená konektivita a bezproblémová interoperabilita je v moderním podnikovém prostředí klíčová pro automatizaci procesů.
Hlavní rozdíl mezi PDF souborem a e-invoicingem je ten, že e-faktura jsou data a informace, které systém rovnou automaticky zpracuje.
Faktura se tak mění z dokumentu na datovou zprávu, kterou si systémy předávají mezi sebou.
Pro hlubší kontext si přečtěte článek o digitalizaci účetnictví (Kompletní průvodce pro CFO)
PDF faktury nejsou e-invoicing
PDF vypadá jako digitální řešení, ale ve skutečnosti jen převádí papír do jiného formátu.
Systém z něj nedokáže pracovat s daty bez další vrstvy, ať už jde o ruční přepis, nebo OCR. Mezi fakturou a účetnictvím tak stále existuje mezikrok, kde vznikají náklady i chyby.
Zpracování jedné PDF faktury se dle studií Evropské unie běžně pohybuje kolem 15–20 €, zatímco u e-fakturace klesá pod 5 €. (Zdroj: PEPPOL guide 2026)
Rozdíl není v tom, zda je faktura „digitální“, ale že je automaticky zpracovatelná.
Jak funguje e-fakturace v praxi
Faktura vznikne jako strukturovaná data v systému, typicky v ERP (v ČR je nejběžnější Pohoda, Money S3, Abra Flexi nebo Helios) . Tato data se následně odešlou přímo do systému příjemce, a to bez e-mailu a bez příloh.
Po cestě proběhne automatická kontrola správnosti. Pokud něco nesedí, faktura se zastaví ještě před doručením.
Pokud je vše v pořádku, dorazí okamžitě a může se rovnou zpracovat.
Co navazuje na tento krok? Schvalovací workflow a účtování řeší nástroje pro automatizaci účetnictví.
Digitalizace vs automatizace (kde se to láme)
Digitalizace znamená práci s dokumenty v elektronické podobě, zatímco automatizace znamená, že dokumenty přestanete řešit úplně, protože pracujete přímo s daty.
Pro pochopení rozdílu mezi e-fakturací (e-invoicing) a automatizaci účetnictví slouží článek: Jak automatizovat firemní procesy a šetřit čas.
Nejčastější chyby při zavádění e-fakturace
Nejčastější omyl je přesvědčení, že OCR (optické rozpoznávání znaků pomocí AI) je finální řešení. Ve skutečnosti je to řešení problému, že faktura nebyla vytvořena jako data.
Další častá chyba je automatizace dílčích kroků namísto celého účetního procesu.
A pak je tu klasické „počkáme na legislativu“. V té chvíli ale už většinou implementujete pod tlakem, což způsobuje stres ve finančním a účetním oddělení.
V současné době prochází evropský obchod největší transformací od zavedení jednotnéhovnitřního trhu. Evropská komise a jednotlivé členské státy skrze iniciativy jako (VAT in the Digital Age) prosazují přechod na plně strukturovanou výměnu dat. Pro firmy to znamená jediné: přechod od pasivního přijímání dokumentů k aktivní, automatizované datové výměně, kde standard PEPPOL hraje roli univerzálního „překladače" a dálnice zároveň.
👉 Stáhněte si Průvodce legislativním kontextem a evropskými standardy e-invoicingu PEPPOL Guide 2026
Kdy má e-invoicing smysl pro vaši firmu
E-fakturace začíná dávat smysl ve chvíli, kdy firma přestává zvládat účetnictví bez nárůstu lidí. Projeví se to jednoduše: roste objem dokladů, přibývají schvalovatelé a uzávěrky se začínají zpožďovat. V procesu růstu firmy to není chyba účetních, ale zastarale nastavený proces.
FAQ
Co je e-fakturace (e-invoicing)?
Způsob fakturace, kdy faktura existuje jako strukturovaná data pro systémy.
Jak funguje elektronická fakturace (e-invoicing)?
Faktura se přenáší mezi systémy jako data a automaticky se zpracovává.
Je OCR e-fakturace?
Není. OCR je jen mezikrok mezi dokumentem a daty.
Zdroj:
PEPPOL v praxi: Jak ovládnout e-fakturaci v EU bez výměny ERPEdice Březen 2026: ČR & SK