NIS2 a český zákon o kybernetické bezpečnosti: co se mění pro vaši firmu

Od směrnice NIS2 k českému zákonu č. 264/2025 Sb.

Evropská směrnice NIS2 (směrnice (EU) 2022/2555) stanovuje jednotný rámec kybernetické bezpečnosti pro celou EU. Směrnice ale sama o sobě firmy přímo nezavazuje — je nutné ji provést do národního práva. V Česku tuto úlohu plní Zákon o kybernetické bezpečnosti (zákon č. 264/2025 Sb.).

Jednoduše řečeno: NIS2 určuje cíle a minimální standard, zatímco český zákon č. 264/2025 Sb. stanovuje konkrétní pravidla, kategorie subjektů, lhůty a sankce, kterými se řídíte v praxi.

Směrnice NIS2 například požaduje, aby subjekty přijaly „vhodná a přiměřená technická, provozní a organizační opatření" k řízení rizik (čl. 21(1)) a aby o významných incidentech informovaly bez zbytečného odkladu (čl. 23(1)). Český zákon tyto principy převádí do závazných povinností konkrétního poskytovatele regulované služby.

Kdo dohlíží: Úřad (NÚKIB) a Národní CERT

Ústředním správním úřadem pro oblast kybernetické bezpečnosti je Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB), v zákoně označovaný jako „Úřad". Sídlem Úřadu je Brno (§ 42).

Úřad podle § 42 zejména:

• přijímá ohlášení a rozhoduje o registraci regulované služby i o jejím zrušení,
• stanovuje bezpečnostní opatření a provozuje Portál Úřadu,
• vydává protiopatření a vede evidence,
• provádí kontrolu plnění povinností a ukládá nápravná opatření,
• ukládá správní tresty za nedodržení povinností.

Vedle Úřadu působí Národní CERT, který je podle § 43 kontaktním místem pro poskytovatele regulovaných služeb v režimu nižších povinností, přijímá hlášení o incidentech, událostech, hrozbách a zranitelnostech a plní roli CSIRT týmu.

Na koho zákon dopadá: 15 sektorů a velikost podniku

Zákon č. 264/2025 Sb. používá pojem regulovaná služba. Podmínky pro registraci jsou podle § 4 splněny, jde-li o službu významnou v některém z 15 odvětví:

1. veřejná správa
2. energetika
3. výrobní průmysl
4. potravinářský průmysl
5. chemický průmysl
6. vodní hospodářství
7. odpadové hospodářství
8. doprava
9. digitální infrastruktura a služby
10. finanční trh
11. zdravotnictví
12. věda, výzkum a vzdělávání
13. poštovní a kurýrní služby
14. obranný průmysl
15. vesmírný průmysl

Současně musí být poskytovatel středním nebo velkým podnikem ve smyslu doporučení Komise 2003/361/ES (§ 4). Práh významnosti může naplnit i služba, jejíž narušení může způsobit závažný zásah do života více než 125 000 osob (§ 5 písm. b)).

Co český zákon přidává navíc: režimy, kategorie a lhůty

České provedení jde v několika bodech nad rámec obecného textu směrnice a upřesňuje ho:

Dva režimy povinností (§ 8). Poskytovatel je buď v režimu vyšších povinností (je-li značně ekonomicky, společensky nebo bezpečnostně významný pro ČR), nebo v režimu nižších povinností.

Kategorie subjektů (§ 18). Zákon propojuje režimy s kategoriemi podle čl. 3 směrnice (EU) 2022/2555: režim vyšších povinností odpovídá kategorii základní subjekt (essential), režim nižších povinností kategorii důležitý subjekt (important).

Lhůta na zavedení opatření (§ 13). Poskytovatel začne plnit povinnost zavádět a provádět bezpečnostní opatření nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby.

Lhůty hlášení incidentů (§ 16), které odpovídají třístupňovému modelu podle čl. 23(4) směrnice:

Dodavatelský řetězec (§ 29, § 31). Úřad může opatřením obecné povahy stanovit podmínky nebo zakázat využití plnění dodavatele bezpečnostně významné dodávky, usnese-li se tak vláda z důvodu ochrany bezpečnosti ČR (§ 29). Poskytovatel strategicky významné služby je povinen hlásit Úřadu informace o dodavatelích do 10 dnů ode dne jejich zjištění (§ 31).

Sankce a proč začít s posouzením působnosti hned

Za přestupky lze podle § 59 uložit pokuty odstupňované podle režimu poskytovatele:

• až 250 000 000 Kč nebo 2 % čistého celosvětového ročního obratu (podle toho, co je vyšší) — u vybraných přestupků poskytovatele v režimu vyšších povinností;
• až 175 000 000 Kč nebo 1,4 % čistého celosvětového ročního obratu — u vybraných přestupků poskytovatele v režimu nižších povinností;
• až 100 000 000 Kč, 50 000 000 Kč a 35 000 000 Kč u dalších vymezených přestupků.

Protože povinnosti se liší podle sektoru, velikosti podniku i režimu, je prvním krokem posouzení, zda a jak se na vás zákon vztahuje. Náš bezplatný nástroj pro posouzení působnosti a mezer vám pomůže rychle vyhodnotit, zda spadáte mezi regulované služby, do jakého režimu byste patřili a kde máte největší mezery.

Přesný elektronický kanál Portálu Úřadu pro registraci a hlášení potvrdí Úřad (NÚKIB).