Dozor a vymáhání NIS2 v Česku: co může úřad udělat
Právní úprava: Česko · zákon č. 264/2025 Sb.
Kdo v Česku vykonává dozor
Ústředním správním úřadem pro oblast kybernetické bezpečnosti je Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB), v zákoně č. 264/2025 Sb. označovaný jako „Úřad“ (§ 42). Sídlem Úřadu je Brno.
Úřad má podle § 42 širokou působnost. Konkrétně:
- přijímá ohlášení a rozhoduje o registraci regulované služby a jejím zrušení,
- stanovuje bezpečnostní opatření a vydává protiopatření,
- provozuje Portál Úřadu a vede evidence,
- provádí kontrolu plnění povinností a ukládá nápravná opatření,
- ukládá správní tresty za nedodržení povinností.
Vedle Úřadu působí Národní CERT, který je podle § 43 kontaktním místem pro poskytovatele regulovaných služeb v režimu nižších povinností, přijímá hlášení o incidentech, událostech, hrozbách a zranitelnostech a poskytuje metodickou podporu jako CSIRT tým.
Jaké má úřad dozorové a vymáhací pravomoci
Zákon č. 264/2025 Sb. dává Úřadu v § 42 ucelený řetězec nástrojů, kterými sleduje a vymáhá plnění povinností:
- Kontrola plnění povinností – Úřad ověřuje, zda poskytovatel skutečně zavedl a provádí bezpečnostní opatření a plní své ohlašovací povinnosti.
- Nápravná opatření – při zjištění nedostatků Úřad ukládá nápravná opatření, kterými má poskytovatel uvést stav do souladu se zákonem.
- Správní tresty – Úřad ukládá sankce za nedodržení povinností (viz níže § 59).
- Protiopatření a opatření obecné povahy – např. podle § 29 může Úřad vydat opatření obecné povahy, kterým stanoví podmínky nebo zakáže využití plnění dodavatele bezpečnostně významné dodávky v kritické části stanoveného rozsahu, usnese-li se vláda, že je to nutné z důvodu ochrany bezpečnosti ČR.
Povinnosti, jejichž plnění Úřad ověřuje, vycházejí z celoevropského rámce – zejména z řízení rizik podle čl. 21 směrnice (EU) 2022/2555 (mj. řízení rizik, zvládání incidentů, kontinuita činností, bezpečnost dodavatelského řetězce, kryptografie, řízení přístupu) a z čl. 20 směrnice, podle kterého vedoucí orgány schvalují opatření k řízení kybernetických rizik, dohlížejí na jejich zavedení a mohou nést odpovědnost za porušení.
Základní vs. důležitý subjekt: dva režimy dozoru
Zákon č. 264/2025 Sb. rozlišuje dva režimy poskytovatelů (§ 8):
- režim vyšších povinností – poskytovatel značně ekonomicky, společensky nebo bezpečnostně významný pro Českou republiku,
- režim nižších povinností – poskytovatel, který není v režimu vyšších povinností.
Tyto režimy odpovídají kategoriím podle čl. 3 směrnice (EU) 2022/2555: režim vyšších povinností se pojí s kategorií základní subjekt (essential), režim nižších povinností s kategorií důležitý subjekt (important) – jak plyne z § 18 ve vztahu k odvětví digitální infrastruktury a služeb.
Praktický dopad rozdílu na dozor:
- Pro poskytovatele v režimu nižších povinností (důležitý subjekt) je kontaktním místem Národní CERT (§ 43).
- Rozdíl se promítá i do výše sankcí – porušení v režimu vyšších povinností je sankcionováno přísněji než v režimu nižších povinností (viz § 59 níže).
Přesné procesní odlišení proaktivního (ex-ante) a následného (ex-post) dozoru nad oběma kategoriemi nad rámec výše uvedeného ověřte u Úřadu (NÚKIB).
Sankce: jaké pokuty hrozí
Za přestupky poskytovatele regulované služby lze podle § 59 uložit pokutu odstupňovanou podle režimu a druhu porušené povinnosti:
| Horní hranice pokuty | Kdy se použije |
|---|---|
| 250 000 000 Kč nebo až 2 % čistého celosvětového ročního obratu (podle toho, co je vyšší) | přestupky poskytovatele v režimu vyšších povinností podle § 59 odst. 1 písm. a), c) až m) a o) nebo odst. 3 písm. a), b), f) nebo g) |
| 175 000 000 Kč nebo až 1,4 % čistého celosvětového ročního obratu (podle toho, co je vyšší) | přestupky poskytovatele v režimu nižších povinností podle § 59 odst. 2 písm. a), c) až m) nebo o) |
| 100 000 000 Kč | přestupky podle odst. 1 písm. b) nebo odst. 3 písm. c), d) nebo h) |
| 50 000 000 Kč | přestupky podle odst. 1 písm. n), odst. 2 písm. b) nebo odst. 3 písm. e) |
| 35 000 000 Kč | přestupky podle odst. 2 písm. n) |
Sankce jsou tedy navázány jak na absolutní částku, tak – u nejzávažnějších přestupků – na obrat podniku. Právě proto se vyplatí mít doložitelně zavedená opatření dřív, než dorazí kontrola.
Co jako subjekt v praxi očekávat
Klíčové povinnosti, jejichž dodržování Úřad sleduje:
- Zavedení bezpečnostních opatření – povinnost je začít plnit nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby (§ 13 odst. 4).
- Hlášení incidentů ve lhůtách podle § 16: prvotní hlášení bez zbytečného odkladu, nejpozději do 24 hodin po zjištění incidentu; oznámení do 72 hodin; závěrečná zpráva do 30 dnů.
- Prověřování dodavatelského řetězce – poskytovatel strategicky významné služby hlásí Úřadu informace o dodavatelích do 10 dnů ode dne jejich zjištění (§ 31 odst. 1 písm. c)).
Doporučený postup před kontrolou:
1. Ověřte, zda spadáte pod regulaci (odvětví podle § 4 a práh podle § 5) a v jakém režimu jste (§ 8). 2. Zdokumentujte bezpečnostní opatření podle čl. 21 směrnice (EU) 2022/2555 tak, aby byla auditovatelná. 3. Mějte připravený proces hlášení incidentů ve lhůtách 24 / 72 hodin a 30 dnů. 4. Pokud zjistíte nesoulad, přijměte bez zbytečného odkladu nápravná opatření (v souladu s čl. 21(4) směrnice).
Přesný elektronický kanál Portálu Úřadu pro registraci a hlášení zveřejňuje Úřad (NÚKIB).
Nejste si jistí, zda a jak se vás dozor týká? Využijte náš bezplatný nástroj pro posouzení působnosti a mezer a získejte rychlý přehled o svém stavu vůči zákonu č. 264/2025 Sb.
Časté dotazy
Který úřad v Česku vykonává dozor nad NIS2?
Ústředním správním úřadem pro oblast kybernetické bezpečnosti je Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB), v zákoně č. 264/2025 Sb. označovaný jako „Úřad“ (§ 42), se sídlem v Brně. Provádí kontrolu plnění povinností, ukládá nápravná opatření a správní tresty. Národní CERT je kontaktním místem pro poskytovatele v režimu nižších povinností (§ 43).
Jak vysoké pokuty může úřad uložit?
Podle § 59 lze uložit pokutu až do 250 000 000 Kč nebo 2 % čistého celosvětového ročního obratu u nejzávažnějších přestupků v režimu vyšších povinností, resp. 175 000 000 Kč nebo 1,4 % obratu v režimu nižších povinností. Další hranice činí 100, 50 a 35 milionů Kč podle druhu přestupku.
V jakých lhůtách je nutné hlásit incidenty?
Podle § 16 poskytovatel předloží prvotní hlášení bez zbytečného odkladu, nejpozději do 24 hodin po zjištění incidentu, oznámení do 72 hodin a závěrečnou zprávu do 30 dnů.
Související témata
Těmto tématům se podrobně věnuje samostatná stránka:
- trahvisummad ja sanktsioonid — Zákon 264/2025 Sb. § 59: pokuty a sankce NIS2 v Česku
- ülioluline vs oluline üksuse eristus — Zákon 264/2025 Sb. § 4: koho se týká NIS2 v Česku
- intsidenditeavituse tähtajad — Zákon 264/2025 Sb. § 16: lhůty hlášení incidentů v Česku (NÚKIB)
- juhatuse liikme kohustused — Čl. 20 NIS2: odpovědnost vedení firmy v Česku
Ověřte svou shodu s NIS2
Provést bezplatné sebehodnocení
Spustit bezplatný test působnosti NIS2 Spusťte bezplatnou externí kontrolu zabezpečení Jak tento proces funguje?
Kompletní průvodce NIS2 — Česko →
Zobrazit bezplatný vzorový balíček →
Tento článek je obecná informace, nikoli právní poradenství. Ve své konkrétní situaci se poraďte s kvalifikovaným odborníkem.
Obsah vychází ze znění zákona zákon 264/2025 Sb. platného k 2025-11-01 (kontrolní součet d74d46de7260).