Dozor a vymáhání NIS2 v Česku: co může úřad udělat
Kdo v Česku vykonává dozor
Ústředním správním úřadem pro oblast kybernetické bezpečnosti je Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB), v zákoně č. 264/2025 Sb. označovaný jako „Úřad“ (§ 42). Sídlem Úřadu je Brno.
Úřad má podle § 42 širokou působnost. Konkrétně:
- přijímá ohlášení a rozhoduje o registraci regulované služby a jejím zrušení,
- stanovuje bezpečnostní opatření a vydává protiopatření,
- provozuje Portál Úřadu a vede evidence,
- provádí kontrolu plnění povinností a ukládá nápravná opatření,
- ukládá správní tresty za nedodržení povinností.
Vedle Úřadu působí Národní CERT, který je podle § 43 kontaktním místem pro poskytovatele regulovaných služeb v režimu nižších povinností, přijímá hlášení o incidentech, událostech, hrozbách a zranitelnostech a poskytuje metodickou podporu jako CSIRT tým.
Jaké má úřad dozorové a vymáhací pravomoci
Zákon č. 264/2025 Sb. dává Úřadu v § 42 ucelený řetězec nástrojů, kterými sleduje a vymáhá plnění povinností:
- Kontrola plnění povinností – Úřad ověřuje, zda poskytovatel skutečně zavedl a provádí bezpečnostní opatření a plní své ohlašovací povinnosti.
- Nápravná opatření – při zjištění nedostatků Úřad ukládá nápravná opatření, kterými má poskytovatel uvést stav do souladu se zákonem.
- Správní tresty – Úřad ukládá sankce za nedodržení povinností (viz níže § 59).
- Protiopatření a opatření obecné povahy – např. podle § 29 může Úřad vydat opatření obecné povahy, kterým stanoví podmínky nebo zakáže využití plnění dodavatele bezpečnostně významné dodávky v kritické části stanoveného rozsahu, usnese-li se vláda, že je to nutné z důvodu ochrany bezpečnosti ČR.
Povinnosti, jejichž plnění Úřad ověřuje, vycházejí z celoevropského rámce – zejména z řízení rizik podle čl. 21 směrnice (EU) 2022/2555 (mj. řízení rizik, zvládání incidentů, kontinuita činností, bezpečnost dodavatelského řetězce, kryptografie, řízení přístupu) a z čl. 20 směrnice, podle kterého vedoucí orgány schvalují opatření k řízení kybernetických rizik, dohlížejí na jejich zavedení a mohou nést odpovědnost za porušení.
Základní vs. důležitý subjekt: dva režimy dozoru
Zákon č. 264/2025 Sb. rozlišuje dva režimy poskytovatelů (§ 8):
- režim vyšších povinností – poskytovatel značně ekonomicky, společensky nebo bezpečnostně významný pro Českou republiku,
- režim nižších povinností – poskytovatel, který není v režimu vyšších povinností.
Tyto režimy odpovídají kategoriím podle čl. 3 směrnice (EU) 2022/2555: režim vyšších povinností se pojí s kategorií základní subjekt (essential), režim nižších povinností s kategorií důležitý subjekt (important) – jak plyne z § 18 ve vztahu k odvětví digitální infrastruktury a služeb.
Praktický dopad rozdílu na dozor:
- Pro poskytovatele v režimu nižších povinností (důležitý subjekt) je kontaktním místem Národní CERT (§ 43).
- Rozdíl se promítá i do výše sankcí – porušení v režimu vyšších povinností je sankcionováno přísněji než v režimu nižších povinností (viz § 59 níže).
Přesné procesní odlišení proaktivního (ex-ante) a následného (ex-post) dozoru nad oběma kategoriemi nad rámec výše uvedeného [TÁPSUSTAB PARTNER-JURIST].
Sankce: jaké pokuty hrozí
Za přestupky poskytovatele regulované služby lze podle § 59 uložit pokutu odstupňovanou podle režimu a druhu porušené povinnosti:
| Horní hranice pokuty | Kdy se použije |
|---|---|
| 250 000 000 Kč nebo až 2 % čistého celosvětového ročního obratu (podle toho, co je vyšší) | přestupky poskytovatele v režimu vyšších povinností podle § 59 odst. 1 písm. a), c) až m) a o) nebo odst. 3 písm. a), b), f) nebo g) |
| 175 000 000 Kč nebo až 1,4 % čistého celosvětového ročního obratu (podle toho, co je vyšší) | přestupky poskytovatele v režimu nižších povinností podle § 59 odst. 2 písm. a), c) až m) nebo o) |
| 100 000 000 Kč | přestupky podle odst. 1 písm. b) nebo odst. 3 písm. c), d) nebo h) |
| 50 000 000 Kč | přestupky podle odst. 1 písm. n), odst. 2 písm. b) nebo odst. 3 písm. e) |
| 35 000 000 Kč | přestupky podle odst. 2 písm. n) |
Sankce jsou tedy navázány jak na absolutní částku, tak – u nejzávažnějších přestupků – na obrat podniku. Právě proto se vyplatí mít doložitelně zavedená opatření dřív, než dorazí kontrola.
Co jako subjekt v praxi očekávat
Klíčové povinnosti, jejichž dodržování Úřad sleduje:
- Zavedení bezpečnostních opatření – povinnost je začít plnit nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby (§ 13 odst. 4).
- Hlášení incidentů ve lhůtách podle § 16: prvotní hlášení bez zbytečného odkladu, nejpozději do 24 hodin po zjištění incidentu; oznámení do 72 hodin; závěrečná zpráva do 30 dnů.
- Prověřování dodavatelského řetězce – poskytovatel strategicky významné služby hlásí Úřadu informace o dodavatelích do 10 dnů ode dne jejich zjištění (§ 31 odst. 1 písm. c)).
Doporučený postup před kontrolou:
1. Ověřte, zda spadáte pod regulaci (odvětví podle § 4 a práh podle § 5) a v jakém režimu jste (§ 8). 2. Zdokumentujte bezpečnostní opatření podle čl. 21 směrnice (EU) 2022/2555 tak, aby byla auditovatelná. 3. Mějte připravený proces hlášení incidentů ve lhůtách 24 / 72 hodin a 30 dnů. 4. Pokud zjistíte nesoulad, přijměte bez zbytečného odkladu nápravná opatření (v souladu s čl. 21(4) směrnice).
Přesný elektronický kanál Portálu Úřadu pro registraci a hlášení [TÁPSUSTAB PARTNER-JURIST].
Nejste si jistí, zda a jak se vás dozor týká? Využijte náš bezplatný scoping/gap nástroj a získejte rychlý přehled o svém stavu vůči zákonu č. 264/2025 Sb.
Časté dotazy
Který úřad v Česku vykonává dozor nad NIS2?
Ústředním správním úřadem pro oblast kybernetické bezpečnosti je Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB), v zákoně č. 264/2025 Sb. označovaný jako „Úřad“ (§ 42), se sídlem v Brně. Provádí kontrolu plnění povinností, ukládá nápravná opatření a správní tresty. Národní CERT je kontaktním místem pro poskytovatele v režimu nižších povinností (§ 43).
Jaký je rozdíl mezi základním a důležitým subjektem?
Zákon č. 264/2025 Sb. rozlišuje režim vyšších povinností (odpovídá kategorii základní subjekt) a režim nižších povinností (odpovídá kategorii důležitý subjekt) podle § 8 a čl. 3 směrnice (EU) 2022/2555. Rozdíl se promítá mimo jiné do výše sankcí a do toho, že pro režim nižších povinností je kontaktním místem Národní CERT (§ 43).
Jak vysoké pokuty může úřad uložit?
Podle § 59 lze uložit pokutu až do 250 000 000 Kč nebo 2 % čistého celosvětového ročního obratu u nejzávažnějších přestupků v režimu vyšších povinností, resp. 175 000 000 Kč nebo 1,4 % obratu v režimu nižších povinností. Další hranice činí 100, 50 a 35 milionů Kč podle druhu přestupku.
V jakých lhůtách je nutné hlásit incidenty?
Podle § 16 poskytovatel předloží prvotní hlášení bez zbytečného odkladu, nejpozději do 24 hodin po zjištění incidentu, oznámení do 72 hodin a závěrečnou zprávu do 30 dnů.
Ověřte svou shodu s NIS2
Provést bezplatnou gap analýzu
Spustit bezplatný scoping test Spusťte bezplatný povrchový sken
Kompletní průvodce NIS2 — Česko →
Tento článek obsahuje obecné informace, nikoli právní radu. Vaši konkrétní situaci potvrdí partnerský advokát.