Bezpečnost pro živnostníky: kyberbezpečnost bez IT oddělení

Jako živnostník nebo majitel malé firmy jste ve specifické situaci: provozujete podnikání plné citlivých dat (smlouvy, faktury, osobní údaje klientů, přístupy k firemním účtům), ale nemáte IT oddělení, bezpečnostního analytika ani velký rozpočet.

Naprostou většinu reálných rizik lze ošetřit dostupnými nástroji a správnými návyky. Tento průvodce vás provede konkrétními opatřeními – bez zbytečného technického žargonu.

Proč se útočníci zaměřují i na živnostníky

CSIRT.CZ evidoval v roce 2024 celkem 2 281 kybernetických incidentů, přičemž 74 % z nich tvořil phishing. Malé firmy a OSVČ jsou atraktivním cílem ze dvou důvodů:

Zaprvé, mají hodnotná data: čísla bankovních účtů klientů, smlouvy, osobní údaje, přístupy k datové schránce a fakturačním systémům. Zadruhé, bývají méně chráněni než velké firmy – útočník ví, že pravděpodobně nemáte dvoufaktorové ověření, zálohy ani aktualizovaný software.

Nejčastější scénáře útoku na živnostníky:

• Phishingový e-mail napodobující banku (ČSOB, Česká spořitelna, Air Bank) nebo datovou schránku.
• Falešná faktura od „dodavatele” s upraveným číslem bankovního účtu.
• Ransomware zašifrující účetnictví a faktury (nejčastěji přes přílohu e-mailu nebo nezabezpečený vzdálený přístup).
• Prolomení hesla k e-mailu nebo cloudovému úložišti (pokud používáte stejné heslo na více místech).

Správce hesel – nejdůležitější nástroj, který pravděpodobně nemáte

Opakování hesel je kořenem většiny úspěšných útoků na menší podnikání. Stačí, aby unikla databáze jednoho webu, kde jste zaregistrováni – a útočník zkouší vaše heslo na e-mailu, datové schránce, fakturačním systému.

Správce hesel tento problém eliminuje: generuje a pamatuje si silná, jedinečná hesla za vás. Stačí si pamatovat jedno hlavní (master) heslo.

Jak začít:

1. Vyberte si správce hesel – přehled dostupných řešení najdete v článku Nejlepší správce hesel 2026: srovnání a doporučení.
2. Nainstalujte aplikaci na počítač i telefon.
3. Přidejte nejkritičtější účty jako první: e-mail, datová schránka, internetové bankovnictví, fakturační systém.
4. Aktivujte zálohu hlavního hesla (záchranný kód) a uložte jej na bezpečné offline místo.

Podrobný návod, jak vytvořit silné heslo, najdete v článku Jak vytvořit silné heslo: délka, passphrase a unikátnost.

Dvoufázové ověření – co zastavuje i prolomené heslo

I nejsilnější heslo může kompromitovat phishing nebo únik z databáze. Dvoufázové ověření (2FA) zajistí, že samotné heslo útočníkovi nestačí – potřebuje ještě váš telefon nebo ověřovací aplikaci.

Kde zapnout 2FA jako první:

• Firemní e-mail (Gmail, Seznam, Microsoft 365 – všechny 2FA podporují).
• Datová schránka – přes BankID nebo SMS kód.
• Internetové bankovnictví – většina bank jej má povinné, ale zkontrolujte nastavení.
• Fakturační systém a cloudové úložiště (Google Drive, OneDrive, Dropbox).
• Správce hesel samotný (bez 2FA by byl slabým místem).

Preferujte ověřovací aplikaci (Authenticator) před SMS – SMS lze v některých případech přesměrovat, ověřovací aplikace ne.

Bezpečná práce s datovou schránkou

Datová schránka je pro živnostníky a s.r.o. klíčovým komunikačním kanálem se státem. Zároveň je atraktivním cílem phishingu: útočníci posílají falešné e-maily „Máte novou zprávu v datové schránce” s odkazem na podvodnou přihlašovací stránku.

Pravidla pro bezpečnou datovou schránku:

• Přihlašujte se výhradně přes Portál občana (mojeID.gov.cz) nebo přímo přes datovaschranka.info (nikdy přes odkaz z e-mailu).
• Aktivujte přihlášení přes BankID – jde o jednu z nejbezpečnějších metod, výrazně snižuje riziko phishingu přihlašovacích údajů.
• Heslo k datové schránce nesdílejte – ani s účetní. Ta může získat oddělený přístup přes pověření.
• Nastavte si notifikace o nové zprávě na e-mail, ale odkaz z notifikace nepoužívejte k přihlášení – otevřete schránku ručně.

Bezpečné fakturování a účetnictví

Faktury a účetní doklady jsou cílem útočníků, kteří mění čísla bankovních účtů nebo podvrhují falešné faktury pod jménem vašich dodavatelů (tzv. BEC – Business Email Compromise).

Ochrana:

• Vždy ověřujte číslo účtu na faktuře telefonicky nebo přes ověřený kontakt, pokud se liší od dříve používaného.
• Fakturační systém (Fakturoid, iDoklad, pohoda, Účto) mívá dvoufázové přihlášení – aktivujte ho.
• Exportujte a zálohujte faktury pravidelně – viz sekce zálohy níže.
• Buďte obezřetní u „urgentních” žádostí o přesun platby přes e-mail nebo WhatsApp, zejména od neznámých nebo náhle změněných kontaktů.

Zálohy – co vás ochrání před ransomwarem i havárií disku

Ransomware zašifruje vaše soubory a požaduje výkupné. Pro živnostníka, jehož účetnictví a smlouvy jsou jen na jednom místě, může jít o likvidační situaci.

Pravidlo 3-2-1 adaptované pro živnostníka:

• 3 kopie dat: originál na počítači + záloha na externím disku + záloha v cloudu.
• 2 různá média: počítač a fyzický disk (nebo cloud).
• 1 záloha mimo pracoviště: šifrované cloudové úložiště nebo disk uložený mimo kancelář.

Praktická implementace:

• Nastavte automatické zálohy (Windows Backup, Time Machine na Macu nebo zálohovací software).
• Použijte šifrované cloudové úložiště – citlivé dokumenty by neměly být v nešifrovaném sdíleném adresáři.
• Jednou za čtvrt roku otestujte obnovu dat – otevřete soubor ze zálohy a ověřte, že jde správně otevřít.
• Zálohu na externím disku uchovávejte odpojenou od počítače, když ji nepoužíváte (připojený disk ransomware zašifruje taky).

Ochrana e-mailu a rozpoznání phishingu

E-mail je nejčastějším vstupním bodem útoku. Phishingové zprávy napodobují banky, Českou poštu, Zásilkovnu, dodavatele nebo státní instituce.

Jak poznat phishingový e-mail:

• Odesílatelská adresa se liší od legitimní domény (drobné překlepy: ceska-posta.cz místo ceskaposta.cz).
• Naléhavý tón: „Zablokujeme váš účet”, „Potvrďte platbu do 24 hodin”.
• Žádost o heslo, číslo karty nebo přihlašovací údaje – legitimní instituce toto nepožadují e-mailem.
• Odkaz ukazuje na jinou adresu, než napovídá text (najeďte myší, aniž byste klikali).

Pokud kliknete na podezřelý odkaz, přečtěte si návod Jak se bránit phishingu: průvodce pro uživatele v ČR – a jednejte rychle.

Pro firemní e-mail zvažte přechod na Google Workspace nebo Microsoft 365 – mají lepší antispam, správu přístupů a auditní záznamy než bezplatné e-mailové schránky.

GDPR pro živnostníky

Pokud vedete databázi klientů, jejich e-mailů, adres nebo jiných osobních údajů, GDPR se na vás vztahuje. Základní povinnosti pro živnostníky:

• Mít právní základ pro zpracování dat (nejčastěji plnění smlouvy nebo souhlas).
• Zabezpečit data přiměřeně riziku: silné heslo, přístup k datům jen pro vás (ne pro veřejnost).
• Uchovávat jen to, co potřebujete – starší data klientů, se kterými jste přestali spolupracovat, smažte.
• V případě úniku dat informovat ÚOOÚ do 72 hodin (v závažných případech i postižené klienty).

ÚOOÚ vydal zjednodušené pokyny pro malé subjekty dostupné na svém webu. Pokuty za GDPR jsou sice maximálně 20 milionů eur nebo 4 % obratu, ale v praxi ÚOOÚ při prvním porušení u malého subjektu zpravidla volí nápravná opatření před sankcí.

Když jdete na dovolenou nebo předáváte práci

Specifická situace pro živnostníky: co dělat s přístupy, když odcestujete nebo předáváte agendu spolupracovníkovi?

• Nezadávejte svá hesla do zařízení jiné osoby – vytvořte oddělené účty s omezeným přístupem.
• Pro datovou schránku existuje možnost zřídit pověřenou osobu s omezeným přístupem – bez sdílení hlavního hesla.
• Po návratu zkontrolujte přístupy a v případě potřeby změňte hesla.

Celkový přehled kyberbezpečnosti pro firmy a živnostníky najdete v článku Kybernetická bezpečnost pro firmy: průvodce pro rok 2026.

Co teď udělat?

• Dnes: Nainstalujte správce hesel a přidejte do něj e-mail a datovou schránku. Přepněte datovou schránku na přihlášení přes BankID.
• Tento týden: Zapněte 2FA na e-mailu, fakturačním systému a cloudovém úložišti. Zkontrolujte, zda máte zálohu faktur a klíčových dokumentů na externím místě.
• Tento měsíc: Proveďte test obnovy dat ze zálohy. Projděte si, jaké osobní údaje klientů vedete a zda máte oprávněný základ pro jejich zpracování (GDPR).
• Průběžně: Čtěte varování CSIRT.CZ a NÚKIB – vydávají aktuální upozornění na phishingové kampaně cílené na české firmy.