NIS2 a registrační povinnost v Česku: kdo se musí registrovat u NÚKIB

Co přináší nový zákon o kybernetické bezpečnosti

Českou transpozicí evropské směrnice NIS2 je zákon o kybernetické bezpečnosti (zákon č. 264/2025 Sb.). Zavádí novou logiku: firmy již nejsou pasivně „určovány“, ale samy posuzují, zda poskytují tzv. regulovanou službu, a pokud ano, mají povinnost se registrovat.

Ústředním správním úřadem pro oblast kybernetické bezpečnosti je Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB), v zákoně označovaný jako „Úřad“, se sídlem v Brně. Podle § 42 Úřad mimo jiné přijímá ohlášení, rozhoduje o registraci a jejím zrušení a provozuje Portál Úřadu.

Z pohledu firmy je zásadní pochopit tři věci: zda vůbec spadáte do působnosti, do jakého režimu patříte a jaké povinnosti vám tím vznikají.

Kdo se musí registrovat: podmínky regulované služby

Podle § 4 jsou podmínky pro registraci regulované služby splněny, jde-li o významnou službu v některém z 15 odvětví a zároveň je poskytovatel středním nebo velkým podnikem ve smyslu doporučení Komise 2003/361/ES.

Mezi dotčená odvětví patří například:

• veřejná správa
• energetika
• výrobní průmysl
• potravinářský a chemický průmysl
• vodní a odpadové hospodářství
• doprava
• digitální infrastruktura a služby
• finanční trh
• zdravotnictví
• věda, výzkum a vzdělávání
• poštovní a kurýrní služby
• obranný a vesmírný průmysl

Úplný výčet všech 15 odvětví obsahuje § 4 odst. 1.

Dále platí práh významnosti podle § 5 písm. b): o službu jde tehdy, pokud její narušení může způsobit závažný zásah do života více než 125 000 osob.

Pokud tyto podmínky splňujete, je vaše služba regulovanou službou a vzniká povinnost ji ohlásit Úřadu k registraci.

Dva režimy: základní subjekt vs. důležitý subjekt

Zákon rozlišuje podle § 8 dva režimy povinností:

• režim vyšších povinností – poskytovatel, který je „značně ekonomicky, společensky nebo bezpečnostně významný pro Českou republiku“;
• režim nižších povinností – poskytovatel, který v režimu vyšších povinností není.

Tyto režimy odpovídají statutárním kategoriím podle § 18: poskytovatel v režimu vyšších povinností se řídí pravidly pro základní subjekt, poskytovatel v režimu nižších povinností pravidly pro důležitý subjekt (ve smyslu čl. 3 směrnice (EU) 2022/2555).

Rozdíl mezi režimy má i praktický dopad na kontaktní místo: podle § 43 působí Národní CERT jako kontaktní místo pro poskytovatele regulovaných služeb v režimu nižších povinností a plní roli CSIRT týmu.

Kde a jak se registruje, co následuje po registraci

Registrace probíhá u Úřadu (NÚKIB), který podle § 42 přijímá ohlášení, rozhoduje o registraci a k tomu provozuje Portál Úřadu.

Přesnou lhůtu pro registraci a přesné údaje k ohlášení KB-kontext neuvádí — [TÁPSUSTAB PARTNER-JURIST]. Rovněž konkrétní elektronický kanál Portálu Úřadu pro registraci potvrdí partnerský advokát. Doporučujeme proto nečekat a připravit si podklady předem.

Co je jisté, jsou návazné lhůty po registraci:

• Bezpečnostní opatření – podle § 13 odst. 4 začíná poskytovatel plnit povinnost zavádět a provádět bezpečnostní opatření nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby.
• Hlášení incidentů – podle § 16 se prvotní hlášení předkládá bez zbytečného odkladu, nejpozději do 24 hodin po zjištění incidentu, oznámení do 72 hodin a závěrečná zpráva do 30 dnů.

Datum doručení rozhodnutí o registraci je tak pro vaši firmu klíčové – odvíjí se od něj roční lhůta na zavedení bezpečnostních opatření.

Jaké jsou sankce při nesplnění povinností

Přestupky poskytovatele regulované služby a sankce upravuje § 59. Za přestupek lze uložit pokutu odstupňovanou podle režimu a druhu porušení, mimo jiné:

U nejvyšších sazeb se uplatní vždy vyšší z uvedených částek (pevná částka, nebo procento z obratu). Přesné přiřazení konkrétního jednání ke skutkové podstatě je vhodné konzultovat, protože § 59 obsahuje detailní výčet písmen a odstavců.

Nejste si jistí, zda vaše firma spadá do působnosti a do jakého režimu? Využijte náš bezplatný scoping/gap nástroj a získejte první orientaci během několika minut.