NIS2 a energetika v Česku: co čeká dodavatele elektřiny, plynu, ropy a tepla

Spadá energetika pod český zákon o kybernetické bezpečnosti?

Ano, energetika je jedním z odvětví, na která zákon č. 264/2025 Sb. (Zákon o kybernetické bezpečnosti) dopadá. Odvětví je uvedeno přímo v § 4 odst. 1 písm. a) mezi patnácti odvětvími, v nichž může být služba regulovanou službou. Regulace se ale nespouští automaticky pro každou energetickou firmu: podle § 4 odst. 1 musí jít o službu významnou pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice a poskytovatel musí být středním nebo velkým podnikem ve smyslu doporučení Komise 2003/361/ES, nebo být sám významný ve výše uvedeném smyslu.

Co udělat jako první: ověřte velikost svého podniku podle doporučení Komise 2003/361/ES (se zvláštními pravidly podle § 7) a zjistěte, zda vámi poskytovaná služba patří mezi služby, jejichž seznam a podmínky významnosti stanoví Úřad vyhláškou (§ 4 odst. 2). Pokud podmínky splňujete, máte povinnost službu ohlásit Úřadu nejpozději do 60 dnů ode dne, kdy ke splnění podmínek došlo (§ 6 odst. 1).

Jak zákon odvětví energetiky pojmenovává

Zákon nepracuje se seznamem jednotlivých činností typu výroba elektřiny nebo rozvod tepla přímo v textu paragrafu. V § 4 odst. 1 písm. a) zákona č. 264/2025 Sb. je odvětví uvedeno jednoslovně, jako druhá položka výčtu:

> „…2. energetika, 3. výrobní průmysl, 4. potravinářský průmysl, 5. chemický průmysl, 6. vodní hospodářství, 7. odpadové hospodářství, 8. doprava, 9. digitální infrastruktura a služby, 10. finanční trh, 11. zdravotnictví, 12. věda, výzkum a vzdělávání, 13. poštovní a kurýrní služby, 14. obranný průmysl, 15. vesmírný průmysl“

Konkrétní rozpad odvětví na jednotlivé služby zákon ponechává podzákonné úpravě: seznam služeb podle § 4 odst. 1 písm. a) a vymezení podmínek významnosti poskytovatele stanoví Úřad vyhláškou (§ 4 odst. 2). Pro firmy v elektroenergetice, plynárenství, ropném hospodářství i teplárenství to znamená, že zařazení se posuzuje podle tohoto seznamu, nikoli podle vlastního odhadu. Přesné znění platného prováděcího předpisu si ověřte podle pokynů zveřejněných Národním úřadem pro kybernetickou a informační bezpečnost.

Základní subjekt, nebo důležitý subjekt? Režimy a velikostní prahy

Český zákon rozlišuje dva režimy poskytovatele regulované služby (§ 8):

• Režim vyšších povinností — poskytovatel, který je z důvodu své velikosti, počtu uživatelů, geografického rozšíření služby, dopadu na fungování odvětví nebo jiného poskytovatele regulované služby anebo rizikovosti provozu značně ekonomicky, společensky nebo bezpečnostně významný pro Českou republiku (§ 8 odst. 1).
• Režim nižších povinností — poskytovatel, který v režimu vyšších povinností není (§ 8 odst. 1).

Rozdělení poskytovatelů do režimů podle poskytovaných regulovaných služeb stanoví Úřad vyhláškou (§ 8 odst. 2). Vazbu na evropskou terminologii vyjadřuje § 18 odst. 4: režimu vyšších povinností odpovídá kategorie základní subjekt, režimu nižších povinností kategorie důležitý subjekt.

Velikostní práh je nastaven na střední a velký podnik podle doporučení Komise 2003/361/ES (§ 4 odst. 1 písm. b)). Zákon k tomu přidává odchylky v § 7: čl. 3 odst. 4 doporučení se neuplatní, za podnik se nepovažují organizační složky státu, územní samosprávné celky a Česká národní banka, a za partnerský či propojený podnik se nepovažují osoby, jejichž technická aktiva jsou zcela oddělena od technických aktiv používaných při poskytování regulované služby.

Do režimu vyšších povinností se lze dostat i bez ohledu na velikost — a to registrací podle § 5, například jde-li o službu, jejíž narušení může způsobit závažný zásah do života více než 125 000 osob (§ 5 písm. b)). Řízení podle § 5 lze zahájit pouze z moci úřední (§ 6 odst. 3) a poskytovatel takto registrované služby je vždy v režimu vyšších povinností (§ 8 odst. 3).

Hlavní povinnosti: registrace, bezpečnostní opatření a odpovědnost vedení

Zákon nestanoví pro energetiku zvláštní katalog povinností. Zvláštní ustanovení má pouze odvětví digitální infrastruktury a služeb (§ 18); povinnosti energetických firem se proto odvíjejí od režimu poskytovatele, nikoli od odvětví.

Ohlášení a registrace. Ohlášení Úřadu do 60 dnů od splnění podmínek (§ 6 odst. 1). O registraci regulované služby rozhoduje Úřad (§ 6 odst. 2); rozklad proti rozhodnutí nemá odkladný účinek (§ 6 odst. 4).

Bezpečnostní opatření. Povinnost je zavádět a provádět začíná nejpozději do 1 roku ode dne doručení rozhodnutí o registraci (§ 13 odst. 4). Seznam opatření uvádí § 14. Pro režim vyšších povinností jde mimo jiné o systém řízení bezpečnosti informací, požadavky na vrcholné vedení, stanovení bezpečnostních rolí, řízení aktiv, řízení rizik, řízení dodavatelů, bezpečnost lidských zdrojů, zvládání incidentů, řízení kontinuity činností a audit kybernetické bezpečnosti, a z technických opatření například fyzickou bezpečnost, bezpečnost komunikačních sítí, detekci a vyhodnocování událostí, kryptografické algoritmy, zajišťování dostupnosti služby a zabezpečení průmyslových, řídicích a obdobných specifických technických aktiv (§ 14 odst. 1). Pro režim nižších povinností je výčet užší (§ 14 odst. 2) a začíná systémem zajišťování minimální kybernetické bezpečnosti a požadavky na vrcholné vedení.

Tato struktura odpovídá minimu podle čl. 21 odst. 2 směrnice (EU) 2022/2555 (analýza rizik, řešení incidentů, kontinuita provozu, bezpečnost dodavatelského řetězce, kryptografie, kybernetická hygiena a školení, vícefaktorová autentizace a další). Odpovědnost vedení je součástí evropského rámce: podle čl. 20 odst. 1 směrnice (EU) 2022/2555 vedoucí orgány opatření schvalují, dohlížejí na jejich zavádění a mohou nést odpovědnost za porušení.

Dodavatelský řetězec. Úřad může opatřením obecné povahy stanovit podmínky nebo zakázat využití plnění dodavatele bezpečnostně významné dodávky v kritické části stanoveného rozsahu (§ 29 odst. 1). Poskytovatel strategicky významné služby hlásí Úřadu informace o dodavatelích do 10 dnů ode dne jejich zjištění (§ 31 odst. 1 písm. c)).

Hlášení incidentů: komu a v jakých lhůtách

Adresát hlášení závisí na režimu. Poskytovatel v režimu vyšších povinností hlásí incidenty Úřadu (§ 15 odst. 1), poskytovatel v režimu nižších povinností hlásí Národnímu CERT, který je pro tyto poskytovatele kontaktním místem (§ 15 odst. 2, § 43 odst. 1).

Postup a lhůty podle § 16:

Hlásí se prostřednictvím Portálu Úřadu; není-li dostupný, zasílá se hlášení na určenou e-mailovou adresu nebo do datové schránky Úřadu, resp. Národního CERT (§ 16 odst. 4). Povinnost hlásit incidenty začíná pro každou regulovanou službu nejpozději do 1 roku ode dne doručení rozhodnutí o registraci (§ 15 odst. 4). Úřad přijímá i dobrovolná hlášení incidentů, událostí a hrozeb; hlásit lze i zranitelnosti (§ 15 odst. 5).

Pokuty za porušení povinností

Přestupky poskytovatele regulované služby a jejich sankce upravuje § 59. Podle § 59 odst. 4 lze uložit pokutu do:

• 250 000 000 Kč nebo až 2 % čistého celosvětového ročního obratu dosaženého podnikem za bezprostředně předcházející účetní období, podle toho, která částka je vyšší — u přestupků poskytovatele v režimu vyšších povinností podle § 59 odst. 1 písm. a), c) až m) a o), nebo odst. 3 písm. a), b), f) nebo g);
• 175 000 000 Kč nebo až 1,4 % čistého celosvětového ročního obratu, podle toho, která částka je vyšší — u přestupků poskytovatele v režimu nižších povinností podle § 59 odst. 2 písm. a), c) až m) nebo o);
• 100 000 000 Kč — u přestupků podle § 59 odst. 1 písm. b) nebo odst. 3 písm. c), d) nebo h);
• 50 000 000 Kč — u přestupků podle § 59 odst. 1 písm. n), odst. 2 písm. b), nebo odst. 3 písm. e);
• 35 000 000 Kč — u přestupku podle § 59 odst. 2 písm. n).

Správní tresty ukládá Úřad, který zároveň provádí kontrolu plnění povinností a ukládá nápravná opatření (§ 42 odst. 3). Úřad je ústředním správním úřadem pro oblast kybernetické bezpečnosti se sídlem v Brně (§ 42 odst. 1).