NIS2 a zákon o kybernetické bezpečnosti pro výrobu, zpracování a distribuci potravin v Česku

Právní úprava: Česko · zákon č. 264/2025 Sb.

Publikováno: 2026-08-20 · AIPOS OÜ · nis2europe.eu

Spadá potravinářská firma pod český zákon o kybernetické bezpečnosti?

Ano, potravinářský průmysl je jedním z odvětví, která zákon o kybernetické bezpečnosti (zákon č. 264/2025 Sb.) výslovně jmenuje. Podle § 4 odst. 1 písm. a) bodu 4 patří „potravinářský průmysl“ mezi odvětví, v nichž může být poskytovaná služba regulovanou službou. Samotné odvětví ale nestačí: povinnosti vznikají teprve tehdy, když jde o službu významnou pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice a poskytovatel je zároveň středním nebo velkým podnikem ve smyslu doporučení Komise 2003/361/ES (§ 4 odst. 1 písm. b)).

Co udělat jako první: projděte si obě podmínky § 4 odst. 1 na úrovni jednotlivých služeb, které vaše firma provozuje, a porovnejte je se seznamem služeb, který podle § 4 odst. 2 stanoví Úřad vyhláškou. Pokud podmínky splníte, máte povinnost službu ohlásit Úřadu nejpozději do 60 dnů ode dne, kdy ke splnění podmínek došlo (§ 6 odst. 1).

Jak zákon pojmenovává potravinářské odvětví

Zákon č. 264/2025 Sb. používá v § 4 odst. 1 písm. a) uzavřený výčet odvětví. Potravinářství je v něm uvedeno doslovně jako:

> „4. potravinářský průmysl“

Zákon v tomto ustanovení dále nerozlišuje mezi prvovýrobou, zpracováním a distribucí — jmenuje odvětví jako celek. Konkrétní vymezení, které služby v rámci odvětví jsou službami podle § 4 odst. 1 písm. a), a vymezení podmínek významnosti poskytovatele podle § 4 odst. 1 písm. b) stanoví Úřad vyhláškou (§ 4 odst. 2). Detail tohoto seznamu proto ověřujte podle pokynů zveřejněných Národním úřadem pro kybernetickou a informační bezpečnost jako oficiálním zdrojem.

Vedle „standardní“ cesty podle § 4 existuje ještě registrace podle § 5. Ta dopadá mimo jiné na službu, jejíž narušení může způsobit závažný zásah do života více než 125 000 osob (§ 5 písm. b)), na jediného poskytovatele zásadní služby v ČR (§ 5 písm. a) bod 1) nebo na poskytovatele, který je subjektem kritické infrastruktury podle předpisu upravujícího krizové řízení a kritickou infrastrukturu (§ 5 písm. d)). Řízení o registraci podle § 5 lze zahájit pouze z moci úřední (§ 6 odst. 3).

Základní subjekt, důležitý subjekt a velikostní prahy

Zákon člení poskytovatele regulované služby do dvou režimů (§ 8 odst. 1):

režim vyšších povinností — poskytovatel, který je z důvodu své velikosti, počtu uživatelů, geografického rozšíření služby, dopadu na fungování odvětví nebo jiného poskytovatele anebo rizikovosti provozu značně ekonomicky, společensky nebo bezpečnostně významný pro Českou republiku;
režim nižších povinností — poskytovatel, který do režimu vyšších povinností nespadá.

Rozdělení poskytovatelů podle poskytovaných regulovaných služeb do těchto režimů stanoví Úřad vyhláškou (§ 8 odst. 2). Je-li služba registrována na základě § 5, je její poskytovatel vždy v režimu vyšších povinností (§ 8 odst. 3).

Na kategorie podle směrnice (EU) 2022/2555 zákon režimy navazuje tak, že režimu vyšších povinností odpovídá kategorie základní subjekt a režimu nižších povinností kategorie důležitý subjekt; toto přiřazení zákon výslovně formuluje v § 18 odst. 4 pro odvětví digitální infrastruktury a služeb.

Velikost podniku. Základním prahem je střední nebo velký podnik ve smyslu doporučení Komise 2003/361/ES (§ 4 odst. 1 písm. b)). Zákon k tomu přidává odchylky v § 7: čl. 3 odst. 4 doporučení se neuplatní; za podnik se nepovažují organizační složky státu, územní samosprávné celky a Česká národní banka; a za partnerský nebo propojený podnik se nepovažují osoby, jejichž technická aktiva jsou zcela oddělena od technických aktiv používaných při poskytování regulované služby.

Pozor na druhou větev § 4 odst. 1 písm. b): podmínka je splněna i tehdy, je-li poskytovatel významný pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice. Menší potravinářská firma tedy není automaticky mimo dosah zákona.

Hlavní povinnosti: ohlášení, bezpečnostní opatření a role vedení

Zákon nestanoví pro potravinářské firmy žádné zvláštní odvětvové povinnosti — se všemi poskytovateli registrované regulované služby zachází podle jejich režimu stejně. Prakticky jde o tyto bloky:

1) Ohlášení a registrace. Poskytovatel splňující podmínky podle § 4 odst. 1 ohlásí službu Úřadu nejpozději do 60 dnů ode dne, kdy ke splnění podmínek došlo (§ 6 odst. 1). Formát a způsob ohlášení stanoví Úřad vyhláškou. Úřad následně rozhodne o registraci regulované služby (§ 6 odst. 2); rozklad proti tomuto rozhodnutí nemá odkladný účinek (§ 6 odst. 4).

2) Bezpečnostní opatření. Povinnost zavádět a provádět bezpečnostní opatření začíná plnit poskytovatel nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby (§ 13 odst. 4).

Seznam opatření je v § 14. Pro režim vyšších povinností zahrnuje organizační opatření (systém řízení bezpečnosti informací, požadavky na vrcholné vedení, stanovení bezpečnostních rolí, řízení bezpečnostní politiky a dokumentace, řízení aktiv, řízení rizik, řízení dodavatelů, bezpečnost lidských zdrojů, řízení změn, akvizice, vývoj a údržba, řízení přístupu, zvládání kybernetických bezpečnostních událostí a incidentů, řízení kontinuity činností, provádění auditu) a technická opatření (fyzická bezpečnost, bezpečnost komunikačních sítí, správa a ověřování identit, řízení přístupových práv, detekce a zaznamenávání událostí, jejich vyhodnocování, aplikační bezpečnost, kryptografické algoritmy, zajišťování dostupnosti služby a zabezpečení průmyslových, řídicích a obdobných specifických technických aktiv). Právě poslední bod je pro potravinářské provozy zásadní — týká se technologických a řídicích systémů výrobních linek.

Pro režim nižších povinností je výčet užší (§ 14 odst. 2): systém zajišťování minimální kybernetické bezpečnosti, požadavky na vrcholné vedení, řízení aktiv, řízení rizik, bezpečnost lidských zdrojů, řízení kontinuity činností, řízení přístupu, řízení identit a jejich oprávnění, detekce a zaznamenávání událostí, řešení incidentů, bezpečnost komunikačních sítí, aplikační bezpečnost a kryptografické algoritmy.

3) Minimum podle směrnice. Opatření podle čl. 21 odst. 2 směrnice (EU) 2022/2555 zahrnují alespoň politiku analýzy rizik a bezpečnosti informačních systémů, řešení incidentů, řízení kontinuity provozu včetně zálohování a obnovy po havárii, bezpečnost dodavatelského řetězce, zabezpečení pořizování, vývoje a údržby systémů, politiky pro posouzení účinnosti opatření, kybernetickou hygienu a školení, kryptografii a šifrování, bezpečnost lidských zdrojů a řízení přístupu a aktiv a v příslušných případech vícefaktorovou autentizaci a zabezpečenou komunikaci.

4) Odpovědnost vedení. Podle čl. 20 odst. 1 směrnice (EU) 2022/2555 vedoucí orgány schvalují opatření k řízení kybernetických bezpečnostních rizik, dohlížejí na jejich zavádění a mohou být za porušení odpovědné. Zákon tomu odpovídá samostatným opatřením „požadavky na vrcholné vedení“ v obou režimech (§ 14 odst. 1 písm. a) bod 2 a § 14 odst. 2 písm. b)).

5) Dodavatelé. Poskytovatel strategicky významné služby je povinen hlásit Úřadu informace o dodavatelích do 10 dnů ode dne jejich zjištění (§ 31 odst. 1 písm. c)). Úřad může opatřením obecné povahy stanovit podmínky nebo zakázat využití plnění dodavatele bezpečnostně významné dodávky v kritické části stanoveného rozsahu (§ 29 odst. 1).

Hlášení incidentů a lhůty

Komu se hlásí, závisí na režimu:

poskytovatel v režimu vyšších povinností hlásí incidenty Úřadu (§ 15 odst. 1);
poskytovatel v režimu nižších povinností hlásí Národnímu CERT, a to incidenty s významným dopadem na poskytování regulované služby (§ 15 odst. 2). Národní CERT je pro tyto poskytovatele kontaktním místem (§ 43 odst. 1).

Významný dopad má incident, který způsobil nebo může způsobit závažné provozní narušení služeb nebo finanční ztráty anebo způsobil či může způsobit jiným osobám značnou újmu (§ 15 odst. 3).

Lhůty podle § 16:

Krok	Lhůta	Ustanovení
Prvotní hlášení (identifikační údaje, základní údaje o incidentu, domněnka o nezákonném zásahu či přeshraničním dopadu)	bez zbytečného odkladu, nejpozději do 24 hodin po zjištění incidentu	§ 16 odst. 1
Oznámení s aktualizací informací, prvotním posouzením, dopadem a indikátory kompromitace	bez zbytečného odkladu, nejpozději do 72 hodin po zjištění incidentu	§ 16 odst. 3 písm. a)
Průběžná zpráva o podstatných změnách stavu zvládání	na výzvu Úřadu nebo Národního CERT	§ 16 odst. 3 písm. b)
Závěrečná zpráva o vyřešení incidentu	nejpozději do 30 dnů ode dne předložení oznámení	§ 16 odst. 3 písm. c)

Trvá-li incident i po uplynutí této lhůty, předloží poskytovatel bez zbytečného odkladu průběžnou zprávu o aktuálním stavu zvládání a poté závěrečnou zprávu nejpozději do 30 dnů ode dne vyřešení incidentu (§ 16 odst. 3 písm. c)).

Úřad sdělí poskytovateli v režimu vyšších povinností bez zbytečného odkladu, nejpozději do 24 hodin po nahlášení incidentu, zda má incident významný dopad na kybernetický prostor státu (§ 16 odst. 2).

Hlásí se prostřednictvím Portálu Úřadu; není-li to možné, zasílá se hlášení na určenou e-mailovou adresu nebo do datové schránky Úřadu (režim vyšších povinností), respektive Národního CERT (režim nižších povinností) — § 16 odst. 4. Přesný elektronický kanál si ověřte podle pokynů zveřejněných Národním úřadem pro kybernetickou a informační bezpečnost (oficiální zdroj).

Povinnost hlásit incidenty začíná poskytovatel plnit pro každou regulovanou službu nejpozději do 1 roku ode dne doručení rozhodnutí o registraci (§ 15 odst. 4).

Pokuty

Správní tresty za nedodržení povinností ukládá Úřad (§ 42 odst. 3). Horní hranice pokut podle § 59 odst. 4:

Horní hranice	Koho se týká
250 000 000 Kč nebo až 2 % čistého celosvětového ročního obratu za bezprostředně předcházející účetní období (podle toho, která částka je vyšší)	přestupek poskytovatele v režimu vyšších povinností podle § 59 odst. 1 písm. a), c) až m) a o), nebo odst. 3 písm. a), b), f) nebo g)
175 000 000 Kč nebo až 1,4 % čistého celosvětového ročního obratu (podle toho, která částka je vyšší)	přestupek poskytovatele v režimu nižších povinností podle § 59 odst. 2 písm. a), c) až m) nebo o)
100 000 000 Kč	přestupek podle § 59 odst. 1 písm. b) nebo odst. 3 písm. c), d) nebo h)
50 000 000 Kč	přestupek podle § 59 odst. 1 písm. n), odst. 2 písm. b) nebo odst. 3 písm. e)
35 000 000 Kč	přestupek podle § 59 odst. 2 písm. n)

Pro potravinářskou firmu to znamená, že finanční riziko je vázáno na režim povinností, ne na odvětví. Nejlevnějším krokem je proto včas vyhodnotit, zda vaše služby podmínky registrace splňují, a stihnout lhůtu 60 dnů pro ohlášení (§ 6 odst. 1).

Kódy činností (NACE Rev. 2)

Položky tohoto sektoru v přílohách NIS2 odpovídají jedna ku jedné následujícím kódům činností NACE Rev. 2. Seznam pokrývá pouze jednoznačné shody — některé položky jsou definovány samotnou činností, nikoli kódem.

NACE 10 — Výroba potravinářských výrobků

Kódy činností CZ-NACE 2025 v tomto sektoru

Kódy jsou přiřazeny automaticky: kódy NACE Rev. 2 daného sektoru jsou přes oficiální převodní tabulku Eurostatu propojeny s třídami NACE Rev. 2.1 a odtud s kódy CZ-NACE 2025. Není-li přiřazení jednoznačné, kód je vynechán — seznam je záměrně spíše užší než širší.

CZ-NACE 10110 — Zpracování a konzervování masa, kromě drůbežího masaCZ-NACE 10120 — Zpracování a konzervování drůbežího masaCZ-NACE 10130 — Výroba masných výrobků a výrobků z drůbežího masaCZ-NACE 10200 — Zpracování a konzervování ryb, korýšů a měkkýšůCZ-NACE 10310 — Zpracování a konzervování bramborCZ-NACE 10320 — Výroba ovocných a zeleninových šťávCZ-NACE 10390 — Ostatní zpracování a konzervování ovoce a zeleninyCZ-NACE 10410 — Výroba olejů a tukůCZ-NACE 10420 — Výroba margarínu a podobných jedlých tukůCZ-NACE 10510 — Výroba mléčných výrobkůCZ-NACE 10520 — Výroba zmrzliny a ledu k lidské spotřeběCZ-NACE 10610 — Výroba mlýnských výrobkůCZ-NACE 10620 — Výroba škrobárenských výrobkůCZ-NACE 10710 — Výroba pekařských a cukrářských výrobků, kromě trvanlivýchCZ-NACE 10720 — Výroba sucharů, sušenek a trvanlivých pekařských a cukrářských výrobkůCZ-NACE 10730 — Výroba moučných výrobkůCZ-NACE 10810 — Výroba cukruCZ-NACE 10820 — Výroba kakaa, čokolády a cukrovinekCZ-NACE 10830 — Zpracování čaje a kávyCZ-NACE 10840 — Výroba koření a přísad pro ochuceníCZ-NACE 10850 — Výroba hotových pokrmůCZ-NACE 10860 — Výroba homogenizovaných potravinářských přípravků a dietetických potravinCZ-NACE 10890 — Výroba ostatních potravinářských výrobků j. n.CZ-NACE 10910 — Výroba krmiv pro hospodářská zvířataCZ-NACE 10920 — Výroba krmiv pro zvířata v zájmovém chovu

Je váš kód CZ-NACE na seznamu? Ověřte, zda se na vás NIS2 vztahuje

Viz také stránku sektoru: Potraviny

Časté dotazy

Vztahuje se zákon i na menší potravinářskou firmu?

Základním prahem je střední nebo velký podnik ve smyslu doporučení Komise 2003/361/ES, ale § 4 odst. 1 písm. b) obsahuje i druhou větev: podmínka je splněna také tehdy, je-li poskytovatel významný pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice. Registrace je navíc možná z moci úřední podle § 5, například u služby, jejíž narušení může způsobit závažný zásah do života více než 125 000 osob (§ 5 písm. b)).

Do kdy musíme zavést bezpečnostní opatření?

Povinnost zavádět a provádět bezpečnostní opatření začne poskytovatel plnit nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby (§ 13 odst. 4). Stejná roční lhůta platí pro nastartování povinnosti hlásit kybernetické bezpečnostní incidenty pro každou regulovanou službu (§ 15 odst. 4). Samotné ohlášení služby je ale nutné podat do 60 dnů ode dne, kdy došlo ke splnění podmínek (§ 6 odst. 1).

Komu hlásíme kybernetický bezpečnostní incident?

Poskytovatel v režimu vyšších povinností hlásí Úřadu, tedy Národnímu úřadu pro kybernetickou a informační bezpečnost, který je ústředním správním úřadem pro oblast kybernetické bezpečnosti (§ 15 odst. 1, § 42 odst. 1). Poskytovatel v režimu nižších povinností hlásí Národnímu CERT, který je pro něj kontaktním místem (§ 15 odst. 2, § 43 odst. 1). Hlášení se podává přes Portál Úřadu, případně na určenou e-mailovou adresu nebo do datové schránky (§ 16 odst. 4).

Jaké lhůty platí pro hlášení incidentu?

Prvotní hlášení se předkládá bez zbytečného odkladu, nejpozději do 24 hodin po zjištění incidentu (§ 16 odst. 1). Oznámení s aktualizací informací a prvotním posouzením se předkládá bez zbytečného odkladu, nejpozději do 72 hodin po zjištění incidentu (§ 16 odst. 3 písm. a)). Závěrečná zpráva o vyřešení incidentu se předkládá nejpozději do 30 dnů ode dne předložení oznámení (§ 16 odst. 3 písm. c)).