Nový zákon o kybernetické bezpečnosti: koho se týká a odkdy běží lhůty?

Co je NIS2 a jak souvisí s novým zákonem?

NIS2 je směrnice (EU) 2022/2555 ze 14. prosince 2022 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii. Nahradila první směrnici NIS, (EU) 2016/1148 (čl. 44). Obrací se na členské státy: ty mají zajistit, aby základní a důležité subjekty přijaly vhodná a přiměřená technická, provozní a organizační opatření k řízení bezpečnostních rizik (čl. 21).

Státy měly směrnici převést do svého práva do 17. října 2024 a používat od 18. října 2024 (čl. 41). V Česku ji provádí zákon č. 264/2025 Sb., o kybernetické bezpečnosti (§ 1 odst. 3). Zákon zároveň zrušil dosavadní zákon č. 181/2014 Sb. a jeho prováděcí vyhlášky (§ 72). Kontrolu vykonává Národní úřad pro kybernetickou a informační bezpečnost, NÚKIB (§ 55).

Pojmy se liší. Směrnice mluví o základních a důležitých subjektech (čl. 3), český zákon o poskytovatelích regulovaných služeb v režimu vyšších a nižších povinností. Zákon je výslovně propojuje u digitálních služeb, jako jsou cloud computing, datová centra nebo řízené bezpečnostní služby: poskytovatel ve vyšším režimu se řídí prováděcím předpisem Komise jako základní subjekt, v nižším jako důležitý subjekt (§ 18 odst. 4).

Koho se zákon o kybernetické bezpečnosti týká?

Zákon o kybernetické bezpečnosti se týká poskytovatelů usazených v Česku (§ 1 odst. 2), kteří zároveň splní dvě podmínky (§ 4 odst. 1). Zaprvé poskytují službu ze seznamu ve vyhlášce č. 408/2025 Sb., o regulovaných službách. Zadruhé jsou alespoň středním podnikem, nebo splňují podmínku významnosti, kterou vyhláška u služby uvádí. Služby spadají do 15 odvětví: veřejná správa, energetika, výrobní, potravinářský a chemický průmysl, vodní a odpadové hospodářství, doprava, digitální infrastruktura a služby, finanční trh, zdravotnictví, věda, výzkum a vzdělávání, poštovní a kurýrní služby, obranný a vesmírný průmysl.

Velikost se posuzuje podle evropské definice malých a středních podniků, na kterou zákon odkazuje. Malý podnik zaměstnává méně než 50 osob a jeho roční obrat a/nebo bilanční suma nepřesahuje 10 mil. eur; kdo je větší, je středním nebo velkým podnikem. Započítávají se i propojené a partnerské podniky ve skupině, ledaže jsou jejich technická aktiva zcela oddělená od aktiv, na kterých službu poskytujete (§ 7).

Jak příloha vyhlášky č. 408/2025 Sb. rozhoduje, ukazují tři příklady. Poskytovatel zdravotní péče je ve vyšším režimu, je-li velkým podnikem, a v nižším, je-li středním (bod 18.1). Zdravotnická záchranná služba je ve vyšším režimu vždy (bod 18.2). Ve veřejné správě jsou kraje a hlavní město Praha ve vyšším režimu, obce s rozšířenou působností a městské části Praha 1 až 22 v nižším (bod 1.1).

I malého poskytovatele může NÚKIB zaregistrovat z moci úřední (§ 6 odst. 3), například když by narušení jeho služby mohlo závažně zasáhnout do života více než 125 000 osob (§ 5). Takový poskytovatel je vždy v režimu vyšších povinností (§ 8 odst. 3).

Rychlou orientaci dá NIS2 kalkulačka. Závazné je ale znění vyhlášky č. 408/2025 Sb.: najděte v její příloze svou službu a podmínky, které jsou u ní uvedené.

Čím se liší režim vyšších a nižších povinností?

V režimu vyšších povinností je poskytovatel, který je pro Česko značně ekonomicky, společensky nebo bezpečnostně významný, například svou velikostí, počtem uživatelů nebo dopadem na odvětví. Ostatní jsou v režimu nižších povinností (§ 8 odst. 1). Co konkrétně je potřeba zavést, shrnuje stránka NIS2 a zákon o kybernetické bezpečnosti.

Významný dopad má incident, který poskytovateli způsobil nebo může způsobit závažné provozní narušení služeb nebo finanční ztráty, případně jiným osobám značnou újmu (§ 15 odst. 3). U služeb podle § 18 odst. 1 kromě služeb vytvářejících důvěru, například cloud computingu, datových center nebo řízených bezpečnostních služeb, se v obou režimech hlásí všechny incidenty s významným dopadem na poskytování služby; jak se významnost posuzuje, stanoví prováděcí předpis Komise (§ 18 odst. 2).

Odkdy běží lhůty podle nového zákona?

Lhůty podle zákona o kybernetické bezpečnosti se neodvíjejí od jeho účinnosti, ale od dvou okamžiků: od splnění podmínek pro registraci a od doručení rozhodnutí NÚKIB o registraci. Kdo podmínky splňoval už 1. listopadu 2025, měl na ohlášení čas do 31. prosince 2025.

Komu NÚKIB doručil rozhodnutí o registraci v prosinci 2025, ten musí bezpečnostní opatření zavádět a incidenty hlásit nejpozději v prosinci 2026. Podle zprávy NÚKIB z 11. února 2026 ohlásilo službu do 1. ledna 2026 přes 4 500 organizací a k 8. únoru 4 825, zatímco úřad dlouhodobě počítá asi s 6 000. Ohlášeným NÚKIB zaslal rozhodnutí o registraci. Těm, kdo se neohlásili, připomíná, že délka neplnění povinností ovlivní výši případného trestu.

Jak rychle hlásit incident?

1. Do 24 hodin po zjištění: prvotní hlášení s identifikačními údaji, základními údaji o incidentu a odhadem, zda byl incident způsoben nezákonným zásahem a zda může mít přeshraniční dopad (§ 16 odst. 1).
2. Ve vyšším režimu NÚKIB do 24 hodin od hlášení sdělí, zda má incident významný dopad na kybernetický prostor státu (§ 16 odst. 2).
3. Do 72 hodin po zjištění: oznámení s prvotním posouzením, dopadem a indikátory kompromitace, pokud jsou k dispozici. Podává se u incidentu s významným dopadem na službu (nižší režim) nebo na kybernetický prostor státu (vyšší režim) (§ 16 odst. 3).
4. Do 30 dnů od oznámení: závěrečná zpráva o vyřešení incidentu. Trvá-li incident i po uplynutí této lhůty, podáte bez zbytečného odkladu průběžnou zprávu o aktuálním stavu jeho zvládání a závěrečnou zprávu do 30 dnů od jeho vyřešení.

Hlášení podáváte přes Portál NÚKIB. Když to nejde, posíláte ho ve vyšším režimu e-mailem nebo do datové schránky NÚKIB, v nižším Národnímu CERT (§ 16 odst. 4).

Co musí udělat vedení firmy?

Vedení firmy musí o kybernetické bezpečnosti rozhodovat a samo se zapojit. Požadavky na vrcholné vedení jsou v obou režimech samostatným bezpečnostním opatřením (§ 14). Směrnice NIS2 navíc chce, aby řídící orgány opatření schvalovaly, dohlížely na ně a mohly nést odpovědnost za jejich porušení (čl. 20). Po ohlášení služby obvykle následují tyto kroky:

1. Vymezte stanovený rozsah, tedy aktiva, která souvisejí s poskytováním regulované služby (§ 12).
2. Posuďte rizika a porovnejte stávající opatření s vyhláškou pro svůj režim. V nižším režimu z toho vznikne přehled bezpečnostních opatření, který aktualizujete alespoň jednou ročně a uchováváte nejméně 4 roky (§ 3 vyhlášky č. 410/2025 Sb.).
3. Určete role. Ve vyšším režimu zřídí vedení výbor pro řízení kybernetické bezpečnosti, který jedná alespoň jednou ročně, a určí manažera, architekta a auditora kybernetické bezpečnosti a garanty aktiv (§ 4 vyhlášky č. 409/2025 Sb.). V nižším režimu určí osobu pověřenou kybernetickou bezpečností (§ 4 vyhlášky č. 410/2025 Sb.).
4. Naplánujte školení vedení. V obou režimech musí vrcholné vedení prokazatelně absolvovat vstupní a pravidelná školení (§ 10 vyhlášky č. 409/2025 Sb., § 5 vyhlášky č. 410/2025 Sb.).
5. Připravte postup hlášení incidentů tak, aby prvotní hlášení odešlo do 24 hodin i v noci a o víkendu.

Ve vyšším režimu jde i o osobní riziko. Když člen statutárního orgánu opakovaně nebo závažně poruší své povinnosti a tím zmaří splnění nápravného opatření, které NÚKIB uložil, může mu úřad zakázat výkon funkce až do odstranění nedostatků, nejméně na 6 měsíců (§ 58).

Režim, povinnosti a termíny pro vaši firmu zdarma určíme v úvodním posouzení NIS2. Jsme inženýři, ne advokátní kancelář: opatření a dokumentaci připravíme, právní ověření zůstává na vašem právníkovi.

Časté otázky

Byli jsme regulovaní podle starého zákona. Musíme službu ohlásit znovu?

Ano. Ohlásit službu musí každý, kdo splňuje podmínky podle § 4 odst. 1, i dosavadní správci systémů podle zákona č. 181/2014 Sb. Do uplynutí nových lhůt plníte alespoň dosavadní povinnosti v rozsahu, který odpovídá vašemu novému režimu. Incidenty ale hlásíte novým způsobem už od doručení rozhodnutí o registraci (§ 71 odst. 1).

Ohlášení do konce roku 2025 jsme nestihli. Co teď?

Ohlaste službu co nejdřív na Portálu NÚKIB. Neohlášení je přestupek, za který hrozí pokuta až 250 mil. Kč nebo 2 % čistého celosvětového ročního obratu, podle toho, co je vyšší (§ 60). Roční lhůty pro bezpečnostní opatření a hlášení incidentů vám začnou běžet až doručením rozhodnutí o registraci.

Pod zákon nespadáme, ale dodáváme firmě, která ano. Týká se nás?

Nepřímo. Pokud odběratel zavádí nebo provádí bezpečnostní opatření prostřednictvím dodavatele, musí ho vybírat podle požadavků bezpečnostních opatření a tyto požadavky zahrnout do smluv (§ 13 odst. 5). V nižším režimu musí smlouvy s dodavateli do stanoveného rozsahu obsahovat relevantní požadavky z přílohy č. 2 vyhlášky č. 410/2025 Sb. (§ 3 odst. 5). Na výzvu NÚKIB navíc musí každý poskytnout nezbytné informace a součinnost při zvládání incidentu, pokud účelu nelze dosáhnout jinak nebo by to jinak bylo podstatně ztížené (§ 17 odst. 3).

Musíme opatření zavést v celé firmě?

Ne, jen ve stanoveném rozsahu, který tvoří aktiva související s poskytováním regulované služby. Primární aktiva, která se službou nesouvisejí, z rozsahu vyjmete, ale evidujete je i s důvodem vyjmutí. Dokud aktivum neposoudíte, do rozsahu patří. Rozsah musíte pravidelně přezkoumávat (§ 12).