NIS2 a doprava v Česku: kdy zákon č. 264/2025 Sb. dopadá na dopravní firmy
Právní úprava: Česko · zákon č. 264/2025 Sb.
Krátká odpověď: ano, doprava je v zákoně uvedena výslovně
Doprava patří mezi odvětví, ve kterých může být služba registrována jako regulovaná služba podle zákona č. 264/2025 Sb. (Zákon o kybernetické bezpečnosti). Konkrétně jde o odvětví uvedené v § 4 odst. 1 písm. a) bodě 8 pod označením „doprava“. To ale samo o sobě nestačí — musí být zároveň splněna podmínka podle § 4 odst. 1 písm. b), tedy velikost podniku nebo význam poskytovatele pro Českou republiku.
Co udělat jako první: posuďte, zda vaše služba v dopravě je významná pro zabezpečení důležitých společenských nebo ekonomických činností anebo pro bezpečnost v ČR, a zda jste středním nebo velkým podnikem ve smyslu doporučení Komise 2003/361/ES. Pokud podmínky splníte, máte podle § 6 odst. 1 povinnost ohlásit službu Úřadu nejpozději do 60 dnů ode dne, kdy ke splnění podmínek došlo.
Jak zákon odvětví dopravy pojmenovává
Zákon nepracuje se seznamem jednotlivých druhů dopravy v textu § 4, ale s jedním odvětvím. Doslovné znění příslušné pasáže § 4 zní:
> „7. odpadové hospodářství, 8. doprava, 9. digitální infrastruktura a služby, 10. finanční trh, 11. zdravotnictví, 12. věda, výzkum a vzdělávání, 13. poštovní a kurýrní služby, 14. obranný průmysl, 15. vesmírný průmysl; a poskytovatel je středním nebo velkým podnikem ve smyslu doporučení Komise 2003/361/ES.“
Pro leteckou, železniční i vodní dopravu a pro činnosti spojené s řízením provozu je tedy rozhodující jediná otázka: jde o službu významnou v odvětví doprava ve smyslu § 4 odst. 1 písm. a)? Konkrétní seznam služeb podle § 4 odst. 1 písm. a) a vymezení podmínek významnosti poskytovatele podle písm. b) stanoví Úřad vyhláškou (§ 4 odst. 2). Přesné zařazení konkrétní služby proto ověřte podle zveřejněných pokynů příslušného dozorového orgánu — Národního úřadu pro kybernetickou a informační bezpečnost.
Kdo je základní subjekt a kdo důležitý subjekt
Zákon rozděluje poskytovatele registrovaných regulovaných služeb do dvou režimů (§ 8 odst. 1):
- Režim vyšších povinností — poskytovatel, který je z důvodu své velikosti, počtu uživatelů, geografického rozšíření služby, dopadu na fungování odvětví nebo jiného poskytovatele regulované služby anebo rizikovosti provozu značně ekonomicky, společensky nebo bezpečnostně významný pro Českou republiku.
- Režim nižších povinností — poskytovatel regulované služby, který v režimu vyšších povinností není.
Tyto režimy odpovídají kategoriím podle čl. 3 směrnice (EU) 2022/2555: režim vyšších povinností odpovídá kategorii základní subjekt, režim nižších povinností kategorii důležitý subjekt (viz § 18 odst. 4, který tuto vazbu vyjadřuje). Rozdělení poskytovatelů do režimů stanoví Úřad vyhláškou (§ 8 odst. 2).
Velikostní práh: základem je střední nebo velký podnik podle doporučení Komise 2003/361/ES (§ 4 odst. 1 písm. b)). § 7 k tomu doplňuje odchylky — čl. 3 odst. 4 doporučení se neuplatní, za podnik se nepovažují organizační složky státu, územní samosprávné celky a Česká národní banka, a za partnerský nebo propojený podnik se nepovažují osoby, jejichž technická aktiva jsou zcela oddělena od technických aktiv používaných při poskytování regulované služby.
Menší poskytovatel se do působnosti může dostat i jinou cestou — přes § 5, například je-li jediným poskytovatelem takové služby v ČR, mohlo-li by narušení služby mít významný dopad na bezpečnost ČR, vnitřní pořádek nebo život a zdraví, anebo jde-li o službu, jejíž narušení může způsobit závažný zásah do života více než 125 000 osob (§ 5 písm. b)). Je-li služba registrována podle § 5, je poskytovatel vždy v režimu vyšších povinností (§ 8 odst. 3).
Hlavní povinnosti: registrace, bezpečnostní opatření, odpovědnost vedení
Ohlášení a registrace. Poskytovatel splňující podmínky podle § 4 odst. 1 ohlásí službu Úřadu nejpozději do 60 dnů (§ 6 odst. 1). Úřad o registraci rozhodne, jsou-li splněny podmínky podle § 4 odst. 1 nebo § 5 (§ 6 odst. 2). Řízení podle § 5 lze zahájit pouze z moci úřední (§ 6 odst. 3).
Bezpečnostní opatření. Povinnost je zavádět a provádět začíná nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby (§ 13 odst. 4). Seznam opatření obsahuje § 14 — pro režim vyšších povinností mimo jiné systém řízení bezpečnosti informací, požadavky na vrcholné vedení, stanovení bezpečnostních rolí, řízení aktiv, řízení rizik, řízení dodavatelů, bezpečnost lidských zdrojů, řízení změn, řízení přístupu, zvládání kybernetických bezpečnostních událostí a incidentů, řízení kontinuity činností a audit kybernetické bezpečnosti; z technických opatření pak fyzickou bezpečnost, bezpečnost komunikačních sítí, správu a ověřování identit, detekci a vyhodnocování událostí, aplikační bezpečnost, kryptografické algoritmy, zajišťování dostupnosti služby a zabezpečení průmyslových, řídících a obdobných specifických technických aktiv — což je pro provozní a řídicí systémy v dopravě prakticky nejvýznamnější položka seznamu. Pro režim nižších povinností je seznam podle § 14 odst. 2 užší (mimo jiné systém zajišťování minimální kybernetické bezpečnosti, požadavky na vrcholné vedení, řízení aktiv a rizik, řízení kontinuity činností, řízení přístupu a identit, detekce a řešení incidentů).
Rámcově tato opatření odpovídají čl. 21 odst. 2 směrnice (EU) 2022/2555, který požaduje mimo jiné politiku analýzy rizik, řešení incidentů, řízení kontinuity provozu, bezpečnost dodavatelského řetězce, zabezpečení pořizování a údržby systémů, hodnocení účinnosti opatření, kybernetickou hygienu a školení, kryptografii, bezpečnost lidských zdrojů a kontrolu přístupu a v příslušných případech vícefaktorovou autentizaci.
Odpovědnost vedení. Podle čl. 20 odst. 1 směrnice (EU) 2022/2555 řídící orgány základních a důležitých subjektů opatření k řízení rizik schvalují, dohlížejí na jejich uplatňování a mohou nést odpovědnost za jejich porušení. „Požadavky na vrcholné vedení“ jsou zároveň výslovnou položkou seznamu opatření v obou režimech (§ 14).
Zvláštní odvětvové povinnosti navíc pro dopravu zákon nestanoví — zvláštní ustanovení podle § 18 se týkají odvětví digitální infrastruktury a služeb. Dopravní firmy plní stejné povinnosti jako ostatní poskytovatelé v odpovídajícím režimu.
Hlášení incidentů: komu a v jakých lhůtách
Poskytovatel v režimu vyšších povinností hlásí incidenty Úřadu (§ 15 odst. 1). Poskytovatel v režimu nižších povinností hlásí Národnímu CERT, a to incidenty s významným dopadem na poskytování regulované služby (§ 15 odst. 2). Významný dopad má incident, který způsobil nebo může způsobit závažné provozní narušení služeb nebo finanční ztráty anebo jiným osobám značnou újmu (§ 15 odst. 3).
Postup podle § 16:
| Krok | Lhůta | Obsah |
|---|---|---|
| Prvotní hlášení | bez zbytečného odkladu, nejpozději do 24 hodin po zjištění incidentu | identifikační údaje, základní údaje o incidentu, domněnka o nezákonném zásahu nebo přeshraničním dopadu |
| Oznámení | bez zbytečného odkladu, nejpozději do 72 hodin po zjištění incidentu | aktualizace údajů, prvotní posouzení, dopad a indikátory kompromitace, jsou-li k dispozici |
| Průběžná zpráva | na výzvu Úřadu nebo Národního CERT | podstatné změny stavu zvládání incidentu |
| Závěrečná zpráva | nejpozději do 30 dnů ode dne předložení oznámení | vyřešení incidentu; trvá-li incident dál, nejprve průběžná zpráva a poté závěrečná zpráva do 30 dnů od vyřešení |
Hlásí se prostřednictvím Portálu Úřadu; nelze-li jej využít, použije se e-mailová adresa nebo datová schránka Úřadu, resp. Národního CERT (§ 16 odst. 4). Povinnost hlásit incidenty začíná pro každou regulovanou službu nejpozději do 1 roku ode dne doručení rozhodnutí o registraci (§ 15 odst. 4). Přesný elektronický kanál Portálu Úřadu ověřte podle zveřejněných pokynů příslušného dozorového orgánu.
Dozor a pokuty
Ústředním správním úřadem pro oblast kybernetické bezpečnosti je Úřad se sídlem v Brně (§ 42 odst. 1). Přijímá ohlášení, rozhoduje o registraci a jejím zrušení, stanovuje bezpečnostní opatření, provozuje Portál Úřadu, vydává protiopatření, vede evidence, provádí kontrolu plnění povinností, ukládá nápravná opatření a správní tresty (§ 42 odst. 3). Národní CERT je kontaktním místem pro poskytovatele v režimu nižších povinností a plní roli CSIRT týmu (§ 43 odst. 1).
Horní hranice pokut podle § 59 odst. 4:
| Sazba | Komu / za co |
|---|---|
| 250 000 000 Kč nebo až 2 % čistého celosvětového ročního obratu (vyšší z částek) | přestupky poskytovatele v režimu vyšších povinností podle § 59 odst. 1 písm. a), c) až m) a o) nebo odst. 3 písm. a), b), f) nebo g) |
| 175 000 000 Kč nebo až 1,4 % čistého celosvětového ročního obratu (vyšší z částek) | přestupky poskytovatele v režimu nižších povinností podle § 59 odst. 2 písm. a), c) až m) nebo o) |
| 100 000 000 Kč | přestupky podle § 59 odst. 1 písm. b) nebo odst. 3 písm. c), d) nebo h) |
| 50 000 000 Kč | přestupky podle § 59 odst. 1 písm. n), odst. 2 písm. b) nebo odst. 3 písm. e) |
| 35 000 000 Kč | přestupky podle § 59 odst. 2 písm. n) |
Obrat se počítá za bezprostředně předcházející účetní období.
Kódy činností (NACE Rev. 2)
Položky tohoto sektoru v přílohách NIS2 odpovídají jedna ku jedné následujícím kódům činností NACE Rev. 2. Seznam pokrývá pouze jednoznačné shody — některé položky jsou definovány samotnou činností, nikoli kódem.
NACE 51 — Letecká dopravaNACE 52.23 — Činnosti související s leteckou dopravouNACE 49.1 — Železniční osobní doprava meziměstskáNACE 49.2 — Železniční nákladní dopravaNACE 52.21 — Činnosti související s pozemní dopravouNACE 50 — Vodní dopravaNACE 52.22 — Činnosti související s vodní dopravou
Kódy činností CZ-NACE 2025 v tomto sektoru
Kódy jsou přiřazeny automaticky: kódy NACE Rev. 2 daného sektoru jsou přes oficiální převodní tabulku Eurostatu propojeny s třídami NACE Rev. 2.1 a odtud s kódy CZ-NACE 2025. Není-li přiřazení jednoznačné, kód je vynechán — seznam je záměrně spíše užší než širší.
CZ-NACE 49110 — Dálková železniční osobní dopravaCZ-NACE 49200 — Kolejová nákladní dopravaCZ-NACE 50100 — Námořní a pobřežní osobní dopravaCZ-NACE 50200 — Námořní a pobřežní nákladní dopravaCZ-NACE 50300 — Vnitrozemská vodní osobní dopravaCZ-NACE 50400 — Vnitrozemská vodní nákladní dopravaCZ-NACE 51100 — Letecká osobní dopravaCZ-NACE 51210 — Letecká nákladní dopravaCZ-NACE 51220 — Kosmická dopravaCZ-NACE 52210 — Činnosti související s pozemní dopravouCZ-NACE 52220 — Činnosti související s vodní dopravouCZ-NACE 52230 — Činnosti související s leteckou dopravou
Je váš kód CZ-NACE na seznamu? Ověřte, zda se na vás NIS2 vztahuje
Viz také stránku sektoru: Doprava
NIS2 krok za krokem: doprava v Česku →
Časté dotazy
Máme letiště, železničního dopravce i dispečink řízení provozu — platí pro ně různá pravidla?
Zákon č. 264/2025 Sb. je v § 4 odst. 1 písm. a) bodě 8 pojmenovává jediným společným odvětvím „doprava“ a zvláštní odvětvové povinnosti pro ně nestanoví. Rozhodující proto není druh dopravy, ale to, zda jde o významnou službu v tomto odvětví a v jakém režimu poskytovatel je podle § 8. Zvláštní ustanovení podle § 18 se týkají odvětví digitální infrastruktury a služeb, nikoli dopravy. Konkrétní seznam služeb stanoví Úřad vyhláškou (§ 4 odst. 2).
Co v praxi znamená hranice 125 000 osob pro dopravní službu?
Podle § 5 písm. b) jsou podmínky pro registraci splněny i tehdy, jde-li o službu, jejíž narušení může způsobit závažný zásah do života více než 125 000 osob, a to prostřednictvím ohrožení bezpečnosti České republiky, vnitřního pořádku, života a zdraví, majetkové hodnoty nebo životního prostředí. U dopravy jde o samostatnou cestu do působnosti, nezávislou na velikosti podniku. Je-li služba registrována na základě § 5, je její poskytovatel podle § 8 odst. 3 vždy v režimu vyšších povinností.
Nejsme střední ani velký podnik. Znamená to, že se nás zákon nemůže týkat?
Ne nutně. Kromě velikostního prahu podle § 4 odst. 1 písm. b) zákon počítá i s tím, že poskytovatel je významný pro zabezpečení důležitých společenských nebo ekonomických činností anebo pro bezpečnost v České republice. § 5 pak zahrnuje například jediného poskytovatele dané služby v ČR nebo poskytovatele, který je kvůli svému specifickému významu na regionální či celostátní úrovni zásadní pro své odvětví. Řízení podle § 5 zahajuje Úřad z moci úřední (§ 6 odst. 3).
Jsme dodavatelem dopravního podniku. Co z toho pro nás plyne?
Řízení dodavatelů je součástí seznamu bezpečnostních opatření v režimu vyšších povinností (§ 14 odst. 1 písm. a) bod 7) a bezpečnost dodavatelského řetězce včetně vztahů s přímými dodavateli požaduje i čl. 21 odst. 2 písm. d) směrnice (EU) 2022/2555 — požadavky se proto přenášejí smluvně. Poskytovatel strategicky významné služby má navíc podle § 31 odst. 1 písm. c) povinnost hlásit Úřadu informace o dodavatelích do 10 dnů ode dne jejich zjištění. Podle § 29 odst. 1 může Úřad opatřením obecné povahy stanovit podmínky nebo zakázat využití plnění dodavatele bezpečnostně významné dodávky v kritické části stanoveného rozsahu.
Související témata
Těmto tématům se podrobně věnuje samostatná stránka:
- trahvisummad ja sanktsioonid — Zákon 264/2025 Sb. § 59: pokuty a sankce NIS2 v Česku
- ülioluline vs oluline üksuse eristus — Zákon 264/2025 Sb. § 4: koho se týká NIS2 v Česku
- intsidenditeavituse tähtajad — Zákon 264/2025 Sb. § 16: lhůty hlášení incidentů v Česku (NÚKIB)
- RIA järelevalvevolitused — Zákon 264/2025 Sb. § 42 — NIS2 v Česku: dozor a vymáhání NÚKIB
- juhatuse liikme kohustused — Čl. 20 NIS2: odpovědnost vedení firmy v Česku
Ověřte svou shodu s NIS2
Spustit bezplatný test působnosti NIS2
Provést bezplatné sebehodnocení Spusťte bezplatnou externí kontrolu zabezpečení Jak tento proces funguje?
Kompletní průvodce NIS2 — Česko →
Zobrazit bezplatný vzorový balíček →
Tento článek je obecná informace, nikoli právní poradenství. Ve své konkrétní situaci se poraďte s kvalifikovaným odborníkem.
Obsah vychází ze znění zákona zákon 264/2025 Sb. platného k 2025-11-01 (kontrolní součet 65e860c8f75d).