Hlášení incidentů podle NIS2 v Česku: lhůty a ohlašovací povinnost

Co přináší zákon o kybernetické bezpečnosti (264/2025 Sb.)

Nový zákon o kybernetické bezpečnosti (zákon č. 264/2025 Sb.) promítá evropskou směrnici NIS2 do českého práva. Pokud vaše organizace poskytuje tzv. regulovanou službu, vztahují se na vás mimo jiné povinnosti v oblasti bezpečnostních opatření a hlášení incidentů.

Zákon rozlišuje dva režimy poskytovatelů:

• režim vyšších povinností – poskytovatel, který je značně ekonomicky, společensky nebo bezpečnostně významný pro Českou republiku (§ 8),
• režim nižších povinností – poskytovatel, který není v režimu vyšších povinností (§ 8).

Toto rozdělení odpovídá kategoriím podle směrnice: v odvětví digitální infrastruktury a služeb se poskytovatel v režimu vyšších povinností řídí pravidly pro základní subjekt a poskytovatel v režimu nižších povinností pravidly pro důležitý subjekt (§ 18).

Regulovaná služba je vázána na jedno z 15 odvětví (například energetika, zdravotnictví, doprava, digitální infrastruktura a služby, vodní hospodářství) a na velikost podniku – střední nebo velký podnik ve smyslu doporučení Komise 2003/361/ES (§ 4). Práh významnosti může být naplněn i tehdy, pokud narušení služby může způsobit závažný zásah do života více než 125 000 osob (§ 5).

Komu se incident hlásí: NÚKIB a Národní CERT

Ústředním správním úřadem pro oblast kybernetické bezpečnosti je Úřad – Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) se sídlem v Brně (§ 42). Úřad přijímá ohlášení, rozhoduje o registraci regulované služby, provozuje Portál Úřadu, provádí kontrolu plnění povinností a ukládá správní tresty (§ 42).

Pro poskytovatele v režimu nižších povinností působí jako kontaktní místo Národní CERT, který přijímá hlášení o incidentech, událostech, hrozbách a zranitelnostech a plní roli CSIRT týmu (§ 43).

Přesný elektronický kanál Portálu Úřadu pro registraci a hlášení potvrdí [TÁPSUSTAB PARTNER-JURIST].

Lhůty hlášení: 24 hodin, 72 hodin a 30 dnů

Zákon stanoví třífázový postup hlášení incidentu (§ 16). Poskytovatel regulované služby postupuje bez zbytečného odkladu a musí dodržet následující lhůty:

1. Prvotní hlášení – bez zbytečného odkladu, nejpozději do 24 hodin po zjištění incidentu (§ 16 odst. 1). 2. Oznámení – nejpozději do 72 hodin (§ 16 odst. 3 písm. a). 3. Závěrečná zpráva – nejpozději do 30 dnů (§ 16 odst. 3 písm. c).

Tyto lhůty je vhodné mít předem zapracované do interních postupů zvládání incidentů, aby vaše organizace stihla reagovat i mimo běžnou pracovní dobu. Doporučujeme mít jasně určené odpovědné osoby a připravené kontaktní údaje na příslušné místo (NÚKIB, resp. Národní CERT podle režimu).

Sankce za nesplnění povinností

Nesplnění povinností poskytovatele regulované služby je přestupkem, za který lze uložit pokutu (§ 59). Horní hranice se liší podle režimu a typu přestupku:

• až 250 000 000 Kč nebo až 2 % čistého celosvětového ročního obratu (podle toho, která částka je vyšší) – u vybraných přestupků poskytovatele v režimu vyšších povinností (§ 59 odst. 4 písm. a),
• až 175 000 000 Kč nebo až 1,4 % čistého celosvětového ročního obratu (podle toho, která částka je vyšší) – u vybraných přestupků poskytovatele v režimu nižších povinností (§ 59 odst. 4 písm. b),
• dále pevné sazby 100 000 000 Kč, 50 000 000 Kč a 35 000 000 Kč u dalších vymezených přestupků (§ 59 odst. 4 písm. c, d, e).

Výše pokuty tak silně motivuje k tomu, aby ohlašovací povinnost a související bezpečnostní opatření byly nastaveny včas a správně.

Jak se připravit ještě dnes

Než sestavíte interní směrnice, ověřte si nejprve dvě věci: zda spadáte pod regulaci (odvětví a velikost podniku podle § 4) a v jakém režimu byste se nacházeli (§ 8). Od toho se odvíjí, komu incident hlásíte a jaká pravidla se na vás vztahují.

Praktický minimální checklist:

• Identifikace regulované služby podle 15 odvětví a velikosti podniku (§ 4).
• Určení režimu (vyšší vs. nižší povinnosti) a tím i kontaktního místa (§ 8, § 42, § 43).
• Interní postup hlášení se lhůtami 24 hodin / 72 hodin / 30 dnů (§ 16).
• Zavedení bezpečnostních opatření – zákon dává lhůtu nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby (§ 13 odst. 4).

Nejrychlejší způsob, jak zjistit svůj výchozí stav, je projít si bezplatný scoping/gap nástroj, který vás provede otázkami o odvětví, velikosti a připravenosti na hlášení incidentů. Výsledek vám ukáže, kde máte mezery, ještě předtím než začne běžet jakákoli lhůta.