NIS2 pro výrobní firmy v Česku: elektronika, stroje, vozidla a zdravotnické prostředky

Právní úprava: Česko · zákon č. 264/2025 Sb.

Publikováno: 2026-08-20 · AIPOS OÜ · nis2europe.eu

Spadá výroba elektroniky, strojů, vozidel a zdravotnických prostředků pod český zákon?

Ano, výroba patří mezi regulovaná odvětví. Zákon o kybernetické bezpečnosti (zákon č. 264/2025 Sb.) uvádí v § 4 odst. 1 písm. a) bodě 3 odvětví „výrobní průmysl" jako jedno z 15 odvětví, ve kterých mohou být splněny podmínky pro registraci regulované služby.

Samotné zařazení do odvětví ale nestačí. Podmínky jsou podle § 4 odst. 1 splněny tehdy, jde-li o službu významnou pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice v některém z uvedených odvětví, a zároveň je poskytovatel služby středním nebo velkým podnikem ve smyslu doporučení Komise 2003/361/ES, nebo je významný pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice.

První krok pro výrobní firmu: projděte si podmínky § 4 odst. 1 a udělejte si vlastní sebehodnocení, zda je splňujete. Pokud ano, jste povinni ohlásit službu Úřadu nejpozději do 60 dnů ode dne, kdy ke splnění podmínek došlo (§ 6 odst. 1).

Jak zákon výrobní průmysl pojmenovává (§ 4)

Znění § 4 odst. 1 písm. a) zákona č. 264/2025 Sb. vyjmenovává odvětví takto:

> 1. veřejná správa, 2. energetika, 3. výrobní průmysl, 4. potravinářský průmysl, 5. chemický průmysl, 6. vodní hospodářství, 7. odpadové hospodářství, 8. doprava, 9. digitální infrastruktura a služby, 10. finanční trh, 11. zdravotnictví, 12. věda, výzkum a vzdělávání, 13. poštovní a kurýrní služby, 14. obranný průmysl, 15. vesmírný průmysl

Zákon v tomto ustanovení nerozepisuje jednotlivé výrobní obory — pracuje se souhrnným pojmem „výrobní průmysl". Podle § 4 odst. 2 platí, že seznam služeb podle odstavce 1 písm. a) a vymezení podmínek významnosti poskytovatele podle odstavce 1 písm. b) stanoví Úřad vyhláškou. Konkrétní zařazení vaší výroby (elektronika, strojírenství, vozidla, zdravotnické prostředky) proto ověřujte podle zveřejněných pokynů a prováděcích předpisů Národního úřadu pro kybernetickou a informační bezpečnost jako oficiálního zdroje.

Zákon nestanoví pro výrobní průmysl žádný zvláštní katalog povinností. Zvláštní ustanovení obsahuje pouze odvětví digitální infrastruktury a služeb (§ 18) — pro výrobní firmy platí stejná pravidla jako pro ostatní regulované subjekty ve stejném režimu.

Základní subjekt, nebo důležitý subjekt? Režimy a velikostní prahy

Zákon rozděluje poskytovatele regulovaných služeb do dvou režimů podle § 8 odst. 1:

Režim vyšších povinností — poskytovatel, který je z důvodu své velikosti, počtu uživatelů, geografického rozšíření služby, dopadu na fungování odvětví nebo jiného poskytovatele nebo rizikovosti provozu značně ekonomicky, společensky nebo bezpečnostně významný pro Českou republiku.
Režim nižších povinností — poskytovatel, který není v režimu vyšších povinností.

Rozdělení poskytovatelů do režimů stanoví Úřad vyhláškou (§ 8 odst. 2). Zákon tyto režimy provazuje s kategoriemi podle směrnice (EU) 2022/2555: režim vyšších povinností odpovídá kategorii základní subjekt, režim nižších povinností kategorii důležitý subjekt (§ 18 odst. 4).

Velikostní práh vychází z doporučení Komise 2003/361/ES (střední nebo velký podnik), § 7 k tomu doplňuje odchylky: čl. 3 odst. 4 doporučení se neuplatní; za podnik se nepovažují organizační složky státu, územní samosprávné celky a Česká národní banka; za partnerský nebo propojený podnik se nepovažují osoby, jejichž technická aktiva jsou zcela oddělena od technických aktiv využívaných při poskytování regulované služby.

Do režimu vyšších povinností se lze dostat i bez velikostního prahu — například jde-li o službu, jejíž narušení může způsobit závažný zásah do života více než 125 000 osob (§ 5 písm. b). Je-li služba registrována na základě § 5, je její poskytovatel v režimu vyšších povinností (§ 8 odst. 3).

Hlavní povinnosti: registrace, bezpečnostní opatření a odpovědnost vedení

Ohlášení a registrace. Poskytovatel splňující podmínky podle § 4 odst. 1 ohlásí službu Úřadu nejpozději do 60 dnů ode dne, kdy ke splnění podmínek došlo (§ 6 odst. 1). O registraci rozhoduje Úřad (§ 6 odst. 2). Rozklad proti rozhodnutí o registraci nemá odkladný účinek (§ 6 odst. 4).

Lhůta na zavedení opatření. Povinnost zavádět a provádět bezpečnostní opatření začíná nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby (§ 13 odst. 4).

Co opatření zahrnují (§ 14). Pro režim vyšších povinností jde o organizační opatření (systém řízení bezpečnosti informací, požadavky na vrcholné vedení, bezpečnostní role, řízení bezpečnostní politiky a dokumentace, řízení aktiv, řízení rizik, řízení dodavatelů, bezpečnost lidských zdrojů, řízení změn, akvizice, vývoj a údržba, řízení přístupu, zvládání událostí a incidentů, řízení kontinuity činností, audit kybernetické bezpečnosti) a technická opatření (fyzická bezpečnost, bezpečnost komunikačních sítí, správa a ověřování identit, řízení přístupových práv, detekce a zaznamenávání událostí, vyhodnocování událostí, aplikační bezpečnost, kryptografické algoritmy, dostupnost regulované služby a zabezpečení průmyslových, řídicích a obdobných specifických technických aktiv). Poslední bod je pro výrobu prakticky nejdůležitější — týká se provozních a řídicích technologií na lince.

Pro režim nižších povinností je katalog kratší (§ 14 odst. 2): systém zajišťování minimální kybernetické bezpečnosti, požadavky na vrcholné vedení, řízení aktiv, řízení rizik, bezpečnost lidských zdrojů, řízení kontinuity činností, řízení přístupu, řízení identit a jejich oprávnění, detekce a zaznamenávání událostí, řešení incidentů, bezpečnost komunikačních sítí, aplikační bezpečnost a kryptografické algoritmy.

Minimální rámec podle směrnice. Opatření podle čl. 21 odst. 2 směrnice (EU) 2022/2555 zahrnují alespoň politiku analýzy rizik a bezpečnosti informačních systémů, řešení incidentů, řízení kontinuity provozu, bezpečnost dodavatelského řetězce, zabezpečení pořizování, vývoje a údržby sítí a informačních systémů, posuzování účinnosti opatření, kybernetickou hygienu a školení, kryptografii a šifrování, bezpečnost lidských zdrojů a kontrolu přístupu a v příslušných případech vícefaktorovou autentizaci.

Odpovědnost vedení. Podle čl. 20 odst. 1 směrnice (EU) 2022/2555 vedoucí orgány schvalují opatření k řízení kybernetických bezpečnostních rizik, dohlížejí na jejich zavádění a mohou nést odpovědnost za porušení. Zákon totéž promítá do opatření „požadavky na vrcholné vedení" (§ 14).

Dodavatelé. Poskytovatel strategicky významné služby je povinen hlásit Úřadu informace o dodavatelích do 10 dnů ode dne jejich zjištění (§ 31 odst. 1 písm. c). Úřad může opatřením obecné povahy stanovit podmínky nebo zakázat využití plnění dodavatele bezpečnostně významné dodávky v kritické části stanoveného rozsahu (§ 29 odst. 1).

Hlášení incidentů: komu a v jakých lhůtách

Komu se hlásí, závisí na režimu:

Režim vyšších povinností hlásí incidenty Úřadu (§ 15 odst. 1).
Režim nižších povinností hlásí incidenty Národnímu CERT, a to incidenty s významným dopadem na poskytování regulované služby (§ 15 odst. 2). Národní CERT je pro tyto poskytovatele kontaktním místem (§ 43 odst. 1).

Významný dopad má incident, který způsobil nebo může způsobit závažné provozní narušení služeb nebo finanční ztráty, anebo způsobil či může způsobit jiným osobám značnou újmu (§ 15 odst. 3).

Lhůty podle § 16:

Krok	Lhůta
Prvotní hlášení (identifikační údaje, základní údaje o incidentu, podezření na nezákonný zásah či přeshraniční dopad)	bez zbytečného odkladu, nejpozději do 24 hodin po zjištění incidentu (§ 16 odst. 1)
Oznámení s aktualizací a prvotním posouzením, dopadem a indikátory kompromitace	bez zbytečného odkladu, nejpozději do 72 hodin po zjištění incidentu (§ 16 odst. 3 písm. a)
Průběžná zpráva	na výzvu Úřadu nebo Národního CERT (§ 16 odst. 3 písm. b)
Závěrečná zpráva o vyřešení incidentu	nejpozději do 30 dnů ode dne předložení oznámení (§ 16 odst. 3 písm. c)

Trvá-li incident i po uplynutí této lhůty, předloží poskytovatel bez zbytečného odkladu průběžnou zprávu a poté závěrečnou zprávu nejpozději do 30 dnů ode dne vyřešení incidentu (§ 16 odst. 3 písm. c).

Hlásí se prostřednictvím Portálu Úřadu; není-li to možné, zasílá se hlášení na určenou e-mailovou adresu nebo do datové schránky Úřadu, resp. Národního CERT (§ 16 odst. 4). Povinnost hlásit incidenty začíná pro každou regulovanou službu nejpozději do 1 roku ode dne doručení rozhodnutí o registraci (§ 15 odst. 4). Konkrétní elektronický kanál Portálu Úřadu si ověřte podle zveřejněných pokynů Národního úřadu pro kybernetickou a informační bezpečnost (oficiální zdroj).

Pokuty za porušení povinností (§ 59)

Za přestupky poskytovatele regulované služby lze podle § 59 odst. 4 uložit pokutu do:

Horní hranice	Koho se týká
250 000 000 Kč, nebo až 2 % čistého celosvětového ročního obratu za bezprostředně předcházející účetní období (podle toho, která částka je vyšší)	přestupky poskytovatele v režimu vyšších povinností podle § 59 odst. 1 písm. a), c) až m) a o), nebo odst. 3 písm. a), b), f) nebo g)
175 000 000 Kč, nebo až 1,4 % čistého celosvětového ročního obratu za bezprostředně předcházející účetní období (podle toho, která částka je vyšší)	přestupky poskytovatele v režimu nižších povinností podle § 59 odst. 2 písm. a), c) až m) nebo o)
100 000 000 Kč	přestupky podle § 59 odst. 1 písm. b) nebo odst. 3 písm. c), d) nebo h)
50 000 000 Kč	přestupky podle § 59 odst. 1 písm. n), odst. 2 písm. b), nebo odst. 3 písm. e)
35 000 000 Kč	přestupky podle § 59 odst. 2 písm. n)

Správní tresty ukládá Úřad, který také provádí kontrolu plnění povinností a ukládá nápravná opatření (§ 42 odst. 3).

Kdo dohled vykonává a co udělat jako první

Ústředním správním úřadem pro oblast kybernetické bezpečnosti je Úřad — Národní úřad pro kybernetickou a informační bezpečnost se sídlem v Brně (§ 42 odst. 1). Přijímá ohlášení, rozhoduje o registraci a jejím zrušení, stanovuje bezpečnostní opatření, provozuje Portál Úřadu, vydává protiopatření, vede evidence, kontroluje plnění povinností, ukládá nápravná opatření a správní tresty (§ 42 odst. 3). Národní CERT je kontaktním místem pro poskytovatele v režimu nižších povinností, přijímá hlášení o incidentech, událostech, hrozbách a zranitelnostech a poskytuje metodickou podporu (§ 43 odst. 1).

Praktický postup pro výrobní firmu:

1. Ověřte velikost podniku podle doporučení Komise 2003/361/ES s odchylkami podle § 7. 2. Posuďte, zda je vaše služba významná ve smyslu § 4 odst. 1 písm. a) a zda nespadáte pod některou z podmínek § 5. 3. Pokud podmínky splňujete, ohlaste službu Úřadu do 60 dnů (§ 6 odst. 1). 4. Naplánujte zavedení opatření podle § 14 tak, abyste je plnili nejpozději do 1 roku od doručení rozhodnutí o registraci (§ 13 odst. 4). 5. Nastavte proces hlášení incidentů se lhůtami 24 hodin, 72 hodin a 30 dnů (§ 16).

Závazné je vždy oficiální znění zákona č. 264/2025 Sb. a prováděcích vyhlášek Úřadu.

Kódy činností (NACE Rev. 2)

Položky tohoto sektoru v přílohách NIS2 odpovídají jedna ku jedné následujícím kódům činností NACE Rev. 2. Seznam pokrývá pouze jednoznačné shody — některé položky jsou definovány samotnou činností, nikoli kódem.

NACE 26 — Výroba počítačů a elektronických a optických přístrojů a zařízeníNACE 27 — Výroba elektrických zařízeníNACE 28 — Výroba strojů a zařízení j. n.NACE 29 — Výroba motorových vozidel (kromě motocyklů), přívěsů a návěsůNACE 30 — Výroba ostatních dopravních prostředků a zařízeníNACE 32.50 — Výroba lékařských a dentálních nástrojů a potřeb

Kódy činností CZ-NACE 2025 v tomto sektoru

Kódy jsou přiřazeny automaticky: kódy NACE Rev. 2 daného sektoru jsou přes oficiální převodní tabulku Eurostatu propojeny s třídami NACE Rev. 2.1 a odtud s kódy CZ-NACE 2025. Není-li přiřazení jednoznačné, kód je vynechán — seznam je záměrně spíše užší než širší.

CZ-NACE 26110 — Výroba elektronických součástekCZ-NACE 26120 — Výroba osazených elektronických desekCZ-NACE 26200 — Výroba počítačů a periferních zařízeníCZ-NACE 26300 — Výroba komunikačních zařízeníCZ-NACE 26400 — Výroba spotřební elektronikyCZ-NACE 26510 — Výroba měřicích, zkušebních a navigačních přístrojůCZ-NACE 26520 — Výroba časoměrných přístrojůCZ-NACE 26600 — Výroba ozařovacích, elektroléčebných a elektroterapeutických přístrojůCZ-NACE 26700 — Výroba optických přístrojů a zařízení, magnetických a optických médií a fotografických přístrojů a zařízeníCZ-NACE 27110 — Výroba elektrických motorů, generátorů a transformátorůCZ-NACE 27120 — Výroba elektrických rozvodných a kontrolních zařízeníCZ-NACE 27200 — Výroba baterií a akumulátorůCZ-NACE 27310 — Výroba optických kabelůCZ-NACE 27320 — Výroba ostatních elektronických a elektrických vodičů a kabelůCZ-NACE 27330 — Výroba elektroinstalačních zařízeníCZ-NACE 27400 — Výroba osvětlovacích zařízeníCZ-NACE 27510 — Výroba elektrických spotřebičů převážně pro domácnostCZ-NACE 27520 — Výroba neelektrických spotřebičů převážně pro domácnostCZ-NACE 27900 — Výroba ostatních elektrických zařízeníCZ-NACE 28110 — Výroba motorů a turbín, kromě motorů pro letadla, automobily a motocyklyCZ-NACE 28120 — Výroba hydraulických zařízeníCZ-NACE 28130 — Výroba ostatních čerpadel a kompresorůCZ-NACE 28140 — Výroba ostatních potrubních armaturCZ-NACE 28150 — Výroba ložisek, ozubených kol, převodů a hnacích prvkůCZ-NACE 28220 — Výroba zdvihacích a manipulačních zařízeníCZ-NACE 28230 — Výroba kancelářských strojů a zařízení, kromě počítačů a periferních zařízeníCZ-NACE 28240 — Výroba ručních mechanizovaných nástrojůCZ-NACE 28250 — Výroba klimatizačních zařízení jiných než pro domácnostCZ-NACE 28290 — Výroba ostatních strojů a zařízení pro všeobecné účely j. n.CZ-NACE 28300 — Výroba zemědělských a lesnických strojůCZ-NACE 28410 — Výroba tvářecích a obráběcích strojů na opracování kovůCZ-NACE 28420 — Výroba ostatních obráběcích strojůCZ-NACE 28910 — Výroba strojů pro metalurgiiCZ-NACE 28920 — Výroba strojů pro těžbu, dobývání a stavebnictvíCZ-NACE 28930 — Výroba strojů na výrobu potravin, nápojů a zpracování tabákuCZ-NACE 28940 — Výroba strojů na výrobu textilu, oděvních výrobků a výrobků z usníCZ-NACE 28950 — Výroba strojů a přístrojů na výrobu papíru a lepenkyCZ-NACE 28960 — Výroba strojů na výrobu plastů a pryžeCZ-NACE 28970 — Výroba strojů pro aditivní výrobuCZ-NACE 28990 — Výroba ostatních strojů pro speciální účely j. n.CZ-NACE 29100 — Výroba motorových vozidelCZ-NACE 29200 — Výroba karoserií motorových vozidel; výroba přívěsů a návěsůCZ-NACE 29310 — Výroba elektrického a elektronického zařízení pro motorová vozidlaCZ-NACE 30110 — Stavba civilních lodí a plavidelCZ-NACE 30120 — Stavba rekreačních a sportovních člunůCZ-NACE 30130 — Stavba vojenských lodí a plavidelCZ-NACE 30200 — Výroba železničních lokomotiv a kolejových vozidelCZ-NACE 30310 — Výroba civilních letadel, kosmických lodí a souvisejících zařízeníCZ-NACE 30320 — Výroba vojenských letadel, kosmických lodí a souvisejících zařízeníCZ-NACE 30400 — Výroba vojenských bojových vozidelCZ-NACE 30910 — Výroba motocyklůCZ-NACE 30920 — Výroba jízdních kol a vozíků pro invalidyCZ-NACE 30990 — Výroba ostatních dopravních prostředků a zařízení j. n.

Je váš kód CZ-NACE na seznamu? Ověřte, zda se na vás NIS2 vztahuje

Viz také stránku sektoru: Výroba

Časté dotazy

Vztahuje se zákon i na malou výrobní firmu?

Podmínky pro registraci podle § 4 odst. 1 písm. b) jsou navázány na středního nebo velkého podniku ve smyslu doporučení Komise 2003/361/ES. Zákon však doplňuje i variantu, kdy je poskytovatel významný pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice. Samostatné podmínky obsahuje § 5 — například služba, jejíž narušení může způsobit závažný zásah do života více než 125 000 osob. Velikost sama o sobě tedy není jediným kritériem.

Jaký je rozdíl mezi základním a důležitým subjektem?

Zákon č. 264/2025 Sb. pracuje s režimem vyšších a nižších povinností (§ 8 odst. 1). Režimu vyšších povinností odpovídá kategorie základní subjekt a režimu nižších povinností kategorie důležitý subjekt podle směrnice (EU) 2022/2555 (§ 18 odst. 4). Rozsah bezpečnostních opatření se mezi režimy liší (§ 14) a liší se i to, komu se hlásí incidenty: Úřadu, nebo Národnímu CERT (§ 15).

Má výroba zdravotnických prostředků nebo vozidel zvláštní povinnosti?

Zákon žádné zvláštní povinnosti pro jednotlivé výrobní obory nestanoví — v § 4 odst. 1 písm. a) bodě 3 uvádí souhrnně odvětví „výrobní průmysl". Zvláštní ustanovení má pouze odvětví digitální infrastruktury a služeb (§ 18). Pro výrobní firmy platí stejné povinnosti jako pro ostatní poskytovatele regulovaných služeb ve stejném režimu. Seznam služeb stanoví Úřad vyhláškou (§ 4 odst. 2).

Do kdy musíme nahlásit kybernetický bezpečnostní incident?

Prvotní hlášení se předkládá bez zbytečného odkladu, nejpozději do 24 hodin po zjištění incidentu (§ 16 odst. 1). Oznámení s prvotním posouzením se předkládá bez zbytečného odkladu, nejpozději do 72 hodin po zjištění incidentu (§ 16 odst. 3 písm. a). Závěrečná zpráva o vyřešení incidentu se předkládá nejpozději do 30 dnů ode dne předložení oznámení (§ 16 odst. 3 písm. c).