Zpráva o podpoře protokolu IPv6 a technologie DNSSEC ve státní správě České republiky

Internetový protokol verze 6 (IPv6) představuje základní stavební kámen moderní internetové infrastruktury. Jeho zavádění je nezbytné zejména s ohledem na vyčerpání adresního prostoru staršího protokolu IPv4 a s rostoucími nároky na bezpečnost, stabilitu a rozvoj digitálních služeb. DNSSEC (Domain Name System Security Extensions) je technologie, která slouží k posílení bezpečnosti doménových jmen. Poskytuje uživatelům jistotu, že informace pocházejí ze správného zdroje a nebylo s nimi během přenosu manipulováno. Česká republika si je vědoma významu této technologie a již v roce 2009 přijala usnesení vlády ze dne 8. června 2009 č. 727, které ukládalo všem ústředním orgánům státní správy povinnost zajistit dostupnost svých webových prezentací a elektronických služeb prostřednictvím IPv6. Dále usnesení vlády ze dne 18. prosince 2013 č. 982 uložilo všem ústředním orgánům státní správy, aby všechny domény držené jejich úřady, byly zabezpečeny prostřednictvím technologie DNSSEC.

Vláda České republiky schválila usnesením ze dne 17. ledna 2024 č. 49 materiál Restart zavádění technologie DNSSEC a protokolu IPv6 ve státní správě. Tato zpráva je zpracována na základě tohoto usnesení, které mj. ukládá Ministerstvu průmyslu a obchodu každoročně k 30. červnu vyhodnocovat stav plnění podmínek pro úplný přechod na protokol IPv6 a toto vyhodnocení zveřejnit na webových stránkách Ministerstva průmyslu a obchodu.

Stav implementace technologie DNSSEC a IPv6 ve veřejné správě

Nastavení technologie DNSSEC se po přechodu na jednotnou doménu gov.cz dostalo do přímé odpovědnosti správce této domény, Digitální informační agentury. Nastavení DNSSEC je tedy pro doménu gov.cz správně nastaveno, jak je vidět i z monitorovacích testů.

Plnění povinnosti ve vztahu k zavádění protokolu IPv6 se v prvním roce od přijetí usnesení výrazně zlepšilo. Na základě výsledků pravidelného monitorovacího testu lze konstatovat, že zatímco v době přijetí výše uvedeného materiálu Restart zavádění technologie DNSSEC a protokolu IPv6 ve státní správě bylo průměrné skóre testu 70,97 bodů ze 100, v červnu roku 2025 bylo průměrné skóre 91,61 bodů.

Naopak v roce 2026 nedošlo k výraznému posunu, v červnu roku 2026 bylo průměrné skóre 90,32 bodů. Tento pokles má dva hlavní aspekty. Jedním je stagnace; úřady, pro něž byl přechod na IPv6 prioritou, učinily tento krok hned v nejbližších měsících po přijetí vládního usnesení. Nicméně v několika případech stále nejsou plněny povinnosti ve vztahu k zavádění IPv6, a v jednom případě se dokonce skóre zavádění IPv6 na doméně snížilo. Dílčí nedostatky byly zjištěny u 11 úřadů z celkových 31 sledovaných (viz příloha).

V současné době nejsou známy žádné skutečnosti, které by bránily těmto úřadům naplnit povinnosti vyplývající z usnesení vlády ze dne 17. ledna 2024 č. 49. Ministerstvo průmyslu a obchodu bude nadále komunikovat s úřady ve smyslu plnění povinností z předmětného usnesení.

Kromě IPv6 se monitorovací testy zaměřují i na oblast e-mailové bezpečnosti. Většina institucí má správně nastavené základní ochranné mechanismy SPF (Sender Policy Framework) a DMARC (Domain-based Message Authentication, Reporting and Conformance), které pomáhají bránit zneužití e-mailových adres k podvodům. Naopak pokročilejší mechanismy (zejména DANE – DNS-based Authentication of Named Entities a MTA-STS – Mail Transfer Agent Strict Transport Security), které zajišťují bezpečnější doručování e-mailů, jsou ve většině případů buď chybějící, nebo neúplně nastavené. Podobně smíšený obraz vychází i u zabezpečení webových služeb pomocí certifikátů. U některých domén byly zjištěny problémy, například neúplný certifikační řetězec nebo blížící se expirace certifikátu, což může dočasně snížit důvěryhodnost webu nebo způsobit jeho horší dostupnost.

Dalším sledovaným prvkem jsou tzv. CAA (Certification Authority Authorization) záznamy, které určují, která certifikační autorita smí vydávat bezpečnostní certifikáty pro danou doménu. Tyto záznamy u části institucí chybí, což sice neznamená okamžitý problém, ale představuje určitou rezervu v oblasti bezpečnostního nastavení.

V budoucím období se Ministerstvo průmyslu a obchodu zaměří na testy dalších webů a služeb státu, které doposud nebyly sledovány, ale z dosavadních zjištění je zřejmé, že nesplňují povinnosti uložené výše uvedeným usnesením.

Plnění ochranného opatření Národního úřadu pro kybernetickou a informační bezpečnost

Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) vydal 11. října 2021 ochranné opatření, které zavazuje správce a provozovatele informačních systémů regulovaných dle zákona o kybernetické bezpečnosti, jejichž součástí je elektronická pošta, ke zvýšení zabezpečení a zavedení požadovaných technologií. Ochranné opatření bylo vydáno s ohledem na důležitost e-mailových systémů a zvyšující se intenzitu kybernetických bezpečnostních incidentů, týkajících se právě elektronické komunikace. Česká republika se tak stala průkopníkem komplexní regulace v této oblasti minimálně z pohledu států Evropské unie a je inspirací i pro další státy. Zároveň jako druhý stát na světě vyžaduje pro veřejné instituce implementaci technologie DANE, která účinně brání možnosti čtení nebo modifikaci e-mailových zpráv při přenosu.

Při monitorování povinností vyplývajících z usnesení vlády ze dne 17. ledna 2024 č. 49 bylo zjištěno, že ne všechny úřady (viz příloha) plní výše uvedené ochranné opatření NÚKIB. Opět je nutné konstatovat, že v současné době nejsou známy žádné skutečnosti, které by bránily úřadům plnit povinnosti z předmětného ochranného opatření.

Závěr

Zavádění protokolu IPv6 a technologie DNSSEC ve státní správě České republiky v posledních letech zaznamenalo významný pokrok, což potvrzují pravidelné monitorovací testy. Klíčovým impulsem pro další rozvoj je společná deklarace uzavřená mezi Ministerstvem průmyslu a obchodu, Českým telekomunikačním úřadem, sdružením CZ.NIC, sdružením NIX.CZ, Digitální informační agenturou, Ministerstvem vnitra, sdružením CESNET a operátory, která respektuje vládou stanovený termín pro přechod na „IPv6-only“ služby státní správy do roku 2032 a vytváří rámec pro koordinovanou spolupráci všech zúčastněných subjektů.

Úspěšná realizace této strategie je zásadní nejen z hlediska řešení nedostatku adresního prostoru IPv4, ale také pro posílení bezpečnosti, konkurenceschopnosti a další digitalizace veřejných služeb v České republice. Plný přechod na IPv6 umožní efektivnější rozvoj internetu věcí, sníží bariéry vstupu na trh a zvýší odolnost digitálních sítí, což jsou klíčové faktory pro moderní digitální stát. Ministerstvo průmyslu a obchodu bude i nadále pravidelně vyhodnocovat stav implementace a podporovat úřady v naplňování stanovených povinností, aby byl přechod na IPv6 v příštích letech úspěšně dokončen a Česká republika nezůstala pozadu v oblasti internetové infrastruktury.