NIS2 a hlášení incidentů v Česku: praktický postup krok za krokem

1. Kdy povinnost hlásit vzniká

Povinnost hlásit incident dopadá na poskytovatele regulované služby. Podmínky registrace regulované služby stanoví zákon č. 264/2025 Sb. v § 4: musí jít o významnou službu v některém z 15 odvětví (veřejná správa, energetika, výrobní průmysl, potravinářský průmysl, chemický průmysl, vodní hospodářství, odpadové hospodářství, doprava, digitální infrastruktura a služby, finanční trh, zdravotnictví, věda, výzkum a vzdělávání, poštovní a kurýrní služby, obranný průmysl, vesmírný průmysl) a poskytovatel musí být středním nebo velkým podnikem ve smyslu doporučení Komise 2003/361/ES. Podle § 5 písm. b) je službou významnou také služba, jejíž narušení může způsobit závažný zásah do života více než 125 000 osob.

Podle § 8 je poskytovatel buď v režimu vyšších povinností (je značně ekonomicky, společensky nebo bezpečnostně významný pro Českou republiku), nebo v režimu nižších povinností. Toto rozdělení je klíčové i pro hlášení, protože určuje, kdo je vaším kontaktním místem. V logice § 18 odpovídá režim vyšších povinností kategorii základní subjekt a režim nižších povinností kategorii důležitý subjekt.

Spouštěčem lhůt je podle § 16 odst. 1 zjištění incidentu. Samotnou definici „významného incidentu“ národní výňatek, se kterým zde pracujeme, neobsahuje — na tomto místě je národní úprava v našem podkladu mlčenlivá a základní rámec dává směrnice (EU) 2022/2555. Podle čl. 23(3) směrnice je incident významný, pokud:

• způsobil nebo je schopen způsobit závažné narušení provozu služeb nebo finanční ztrátu dotčeného subjektu, nebo
• ovlivnil nebo je schopen ovlivnit jiné fyzické či právnické osoby způsobením značné majetkové nebo nemajetkové škody.

Přesné české prahové hodnoty a typologii incidentů podle prováděcích předpisů: [Ověřte to: Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) (oficiální zdroj).].

2. Komu hlásit: Úřad (NÚKIB) nebo Národní CERT

Ústředním správním úřadem pro oblast kybernetické bezpečnosti je podle § 42 Úřad — Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) se sídlem v Brně. Úřad přijímá ohlášení, rozhoduje o registraci regulované služby, provozuje Portál Úřadu, vede evidence, provádí kontrolu plnění povinností a ukládá správní tresty.

Podle § 43 působí Národní CERT jako kontaktní místo pro poskytovatele regulovaných služeb v režimu nižších povinností; přijímá hlášení o incidentech, událostech, hrozbách a zranitelnostech, poskytuje metodickou podporu a plní roli CSIRT týmu.

Praktický důsledek: ještě před incidentem si ověřte, do kterého režimu podle § 8 patříte — na tom závisí, zda míří vaše hlášení na Úřad, nebo na Národní CERT. Přesný elektronický kanál Portálu Úřadu pro registraci a hlášení, konkrétní formulář a technické náležitosti: [Ověřte to: Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) (oficiální zdroj).].

Směrnice (EU) 2022/2555 v čl. 23(1) navíc počítá s tím, že subjekt bez zbytečného odkladu informuje také příjemce svých služeb o významných incidentech, které mohou nepříznivě ovlivnit poskytování těchto služeb, a že samotné podání hlášení nezakládá zvýšenou odpovědnost hlásícího subjektu. Tuto součást náš národní výňatek výslovně neupravuje — jde tedy o standard vycházející ze směrnice, nikoli citaci zákona č. 264/2025 Sb.

3. V jaké formě a v jakých fázích se hlásí

Zákon č. 264/2025 Sb. v § 16 („Postup hlášení“) staví hlášení na několika po sobě jdoucích fázích:

1. Prvotní hlášení (§ 16 odst. 1) — první signál po zjištění incidentu. 2. Oznámení (§ 16 odst. 3 písm. a) — navazující, podrobnější krok. 3. Závěrečná zpráva (§ 16 odst. 3 písm. c) — uzavření případu.

Detailní obsah jednotlivých fází národní výňatek nerozepisuje. Na tomto bodě je náš národní podklad mlčenlivý a výchozí rámec dává čl. 23(4) směrnice (EU) 2022/2555, podle něhož:

• rané varování uvádí, zda je incident podezřelý z toho, že byl způsoben protiprávním či zlovolným jednáním, a zda může mít přeshraniční dopad;
• hlášení incidentu aktualizuje předchozí informace, obsahuje počáteční posouzení incidentu včetně jeho závažnosti a dopadu a, jsou-li k dispozici, indikátory kompromitace;
• průběžná zpráva se podává na žádost CSIRT, případně příslušného orgánu, a obsahuje relevantní aktualizace stavu;
• závěrečná zpráva obsahuje podrobný popis incidentu včetně závažnosti a dopadu, typ hrozby nebo pravděpodobnou hlavní příčinu, uplatněná a probíhající zmírňující opatření a případný přeshraniční dopad;
• trvá-li incident v době podání závěrečné zprávy, podává se zpráva o pokroku a závěrečná zpráva do jednoho měsíce od zvládnutí incidentu.

Směrnice v čl. 23(4) rovněž počítá s odchylkou pro poskytovatele služeb vytvářejících důvěru, kteří u významných incidentů s dopadem na tyto služby hlásí bez zbytečného odkladu, nejpozději do 24 hodin od zjištění. Zda a jak je tato odchylka provedena v české úpravě: [Ověřte to: Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) (oficiální zdroj).].

4. Lhůty: každá zvlášť a bez zkratek

Lhůty stanoví § 16 zákona č. 264/2025 Sb. takto:

Každou lhůtu čtěte samostatně:

• 24 hodin je krajní hranice pro prvotní hlášení, přičemž zákon zdůrazňuje povinnost jednat bez zbytečného odkladu — tedy dříve, je-li to možné.
• 72 hodin je krajní hranice pro oznámení.
• 30 dnů je krajní hranice pro závěrečnou zprávu.

Počátek běhu třicetidenní lhůty náš národní výňatek blíže nerozvádí; směrnice (EU) 2022/2555 v čl. 23(4) písm. d) pracuje s koncepcí závěrečné zprávy nejpozději jeden měsíc po podání hlášení incidentu. Přesný způsob výpočtu podle české úpravy: [Ověřte to: Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) (oficiální zdroj).].

Pozor i na související hlásicí povinnost mimo incidenty: poskytovatel strategicky významné služby hlásí Úřadu informace o dodavatelích do 10 dnů ode dne jejich zjištění (§ 31 odst. 1 písm. c).

5. Připravte si postup dřív, než incident nastane

Lhůta 24 hodin se nedá „dohnat organizací“ — musí být připravená. Minimální provozní příprava:

• Určete režim podle § 8 a tím i adresáta hlášení (Úřad podle § 42, nebo Národní CERT podle § 43).
• Pojmenujte odpovědnou osobu a zástupce dostupné mimo pracovní dobu.
• Připravte šablony pro prvotní hlášení, oznámení a závěrečnou zprávu s obsahem podle čl. 23(4) směrnice (EU) 2022/2555.
• Nastavte interní eskalaci tak, aby okamžik „zjištění incidentu“ byl doložitelně zaznamenán — od něj běží lhůta 24 hodin.
• Zaveďte bezpečnostní opatření v čase: podle § 13 odst. 4 začne poskytovatel plnit povinnost zavádět a provádět bezpečnostní opatření nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby.

Podle § 42 Úřad kontroluje plnění povinností, ukládá nápravná opatření a správní tresty. Sankční rozpětí je v § 59 odst. 4 stanoveno až do 250 000 000 Kč nebo až do 2 % čistého celosvětového ročního obratu (podle toho, která částka je vyšší) u vymezených přestupků poskytovatele v režimu vyšších povinností a až do 175 000 000 Kč nebo až do 1,4 % obratu u vymezených přestupků poskytovatele v režimu nižších povinností; další sazby činí 100 000 000 Kč, 50 000 000 Kč a 35 000 000 Kč podle konkrétního přestupku.

Nevíte, zda vaše služba spadá pod § 4 a v jakém režimu byste byli? Projděte si náš bezplatný nástroj pro zjištění dopadu NIS2 a analýzu mezer — za několik minut získáte přehled o působnosti, režimu a chybějících prvcích procesu hlášení incidentů.