NIS2 v Česku: kompletní průvodce zákonem o kybernetické bezpečnosti (264/2025 Sb.)

Publikováno: 2026-07-18 · AIPOS OÜ · nis2europe.eu

Co je nový český zákon a jak souvisí se směrnicí NIS2

Česká republika přenesla evropskou směrnici NIS2 (směrnice (EU) 2022/2555) do vnitrostátního práva prostřednictvím zákona č. 264/2025 Sb., zákona o kybernetické bezpečnosti. Tento zákon nahrazuje dřívější právní úpravu a výrazně rozšiřuje okruh firem a organizací, které musí splňovat požadavky na kybernetickou bezpečnost.

Pro vás jako jednatele nebo člena vedení to znamená jedno: kybernetická bezpečnost přestává být „IT tématem“ a stává se předmětem právní odpovědnosti vedení. Zákon zavádí povinnou registraci, konkrétní bezpečnostní opatření, přísné lhůty pro hlášení incidentů a citelné pokuty.

Tento průvodce vás provede sedmi klíčovými oblastmi, které byste měli znát dřív, než se do nich pustí vaše IT oddělení nebo právník. Zákon spravuje Úřad (Národní úřad pro kybernetickou a informační bezpečnost, NÚKIB) se sídlem v Brně.

Upozornění: Všechny právní odkazy v tomto textu vycházejí z oficiálního znění zákona č. 264/2025 Sb. Přesnou aplikaci na vaši konkrétní situaci vždy potvrdí partnerský advokát.

Koho se zákon týká: působnost, sektory a velikost podniku

Zákon rozlišuje podniky podle dvou hlavních kritérií — odvětví a velikosti podniku. Podle § 4 jsou podmínky pro registraci regulované služby splněny, jde-li o významnou službu v některém z 15 odvětví:

1. veřejná správa 2. energetika 3. výrobní průmysl 4. potravinářský průmysl 5. chemický průmysl 6. vodní hospodářství 7. odpadové hospodářství 8. doprava 9. digitální infrastruktura a služby 10. finanční trh 11. zdravotnictví 12. věda, výzkum a vzdělávání 13. poštovní a kurýrní služby 14. obranný průmysl 15. vesmírný průmysl

Současně musí být poskytovatel středním nebo velkým podnikem ve smyslu doporučení Komise 2003/361/ES (§ 4).

Existuje i práh významnosti podle § 5 písm. b): o službu jde tehdy, pokud její narušení může způsobit závažný zásah do života více než 125 000 osob.

Pokud vaše firma spadá do některého z uvedených odvětví a překračuje velikostní prahy, s vysokou pravděpodobností se vás zákon týká. Přesné posouzení hraničních případů je vhodné konzultovat.

Klasifikace: základní subjekt vs. důležitý subjekt

Zákon zavádí dva režimy poskytovatele podle § 8:

Režim vyšších povinností — poskytovatel, který je značně ekonomicky, společensky nebo bezpečnostně významný pro Českou republiku.
Režim nižších povinností — poskytovatel, který není v režimu vyšších povinností.

Tyto režimy odpovídají kategoriím subjektů podle čl. 3 směrnice (EU) 2022/2555. Podle § 18 platí, že režim vyšších povinností odpovídá kategorii základní subjekt (essential entity) a režim nižších povinností kategorii důležitý subjekt (important entity).

Rozlišení je zásadní — od zařazení do režimu se odvíjí rozsah povinností i výše případných pokut. Zjednodušeně: čím větší je váš dopad na fungování státu a společnosti, tím přísnější požadavky na vás dopadají.

Režim	Kategorie subjektu	Praktický dopad
Vyšší povinnosti	základní subjekt	přísnější opatření a vyšší pokuty
Nižší povinnosti	důležitý subjekt	mírnější režim, kontaktním místem Národní CERT

Registrační povinnost a lhůta pro zavedení opatření

Registrace regulované služby je vstupní branou do celého systému. Úřad přijímá ohlášení, rozhoduje o registraci a jejím zrušení a provozuje Portál Úřadu (§ 42).

Klíčová lhůta se týká zavedení bezpečnostních opatření. Podle § 13 odst. 4 poskytovatel začne plnit povinnost zavádět a provádět bezpečnostní opatření nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby.

To je v praxi cenný odklad — máte rok od registrace na to, abyste opatření reálně nasadili. Doporučujeme však nezačínat na poslední chvíli: řada opatření (například řízení dodavatelů nebo zavedení vícefaktorové autentizace) vyžaduje měsíce přípravy.

Poznámka k technickému kanálu: Přesný elektronický kanál Portálu Úřadu pro registraci a hlášení [TÄPSUSTAB PARTNER-JURIST].

Deset oblastí opatření podle čl. 21(2): kontrolní přehled

Směrnice NIS2 v čl. 21(2) stanoví minimální rozsah bezpečnostních opatření založených na přístupu zohledňujícím všechna rizika (all-hazards approach). Použijte následující přehled jako kontrolní seznam pro vedení:

(a) politiky pro analýzu rizik a bezpečnost informačních systémů
(b) zvládání incidentů (incident handling)
(c) kontinuita činností — zálohování, obnova po havárii a krizové řízení
(d) bezpečnost dodavatelského řetězce, včetně vztahů s přímými dodavateli a poskytovateli služeb
(e) bezpečnost při pořizování, vývoji a údržbě sítí a informačních systémů, včetně řešení zranitelností
(f) politiky a postupy pro hodnocení účinnosti opatření řízení kybernetických rizik
(g) základní postupy kybernetické hygieny a školení kybernetické bezpečnosti
(h) politiky a postupy používání kryptografie a případně šifrování
(i) bezpečnost lidských zdrojů, politiky řízení přístupu a správa aktiv
(j) používání vícefaktorové nebo kontinuální autentizace, zabezpečené hlasové, video a textové komunikace a zabezpečených nouzových komunikačních systémů

Podle čl. 21(1) musí být opatření vhodná a přiměřená — při posuzování přiměřenosti se zohledňuje míra vystavení riziku, velikost subjektu a pravděpodobnost a závažnost incidentů. Pokud subjekt zjistí, že opatření nesplňuje, musí podle čl. 21(4) bez zbytečného odkladu přijmout všechna nezbytná nápravná opatření.

Pro odvětví digitální infrastruktury a služeb § 18 upřesňuje minimální rozsah opatření a odkazuje na prováděcí předpis Komise, přičemž základní subjekty se řídí ustanoveními pro kategorii základních subjektů a důležité subjekty ustanoveními pro kategorii důležitých subjektů.

Hlášení incidentů: lhůty 24 hodin, 72 hodin a 30 dnů

Jednou z nejostřeji sledovaných povinností je hlášení incidentů. Postup a lhůty stanoví § 16:

Prvotní hlášení — bez zbytečného odkladu, nejpozději do 24 hodin po zjištění incidentu (§ 16 odst. 1)
Oznámení — nejpozději do 72 hodin (§ 16 odst. 3 písm. a)
Závěrečná zpráva — nejpozději do 30 dnů (§ 16 odst. 3 písm. c)

Tyto vnitrostátní lhůty odpovídají třífázovému systému hlášení podle čl. 23(4) směrnice (early warning do 24 hodin, incident notification do 72 hodin, final report do jednoho měsíce). Podle čl. 23(3) je incident významný, pokud způsobil nebo je schopen způsobit závažné narušení provozu služeb či finanční ztrátu, případně způsobil škodu jiným osobám.

Důležité kontaktní místo: pro poskytovatele regulovaných služeb v režimu nižších povinností působí jako kontaktní místo Národní CERT, který přijímá hlášení o incidentech, událostech, hrozbách a zranitelnostech (§ 43).

Praktické doporučení: mějte předem připravený interní postup, kdo, kam a v jakém pořadí hlásí. Lhůta 24 hodin běží od okamžiku zjištění incidentu — improvizace v takové chvíli je riziková.

Pokuty a odpovědnost vedení

Zákon zavádí citelné sankce. Podle § 59 odst. 4 lze za přestupky uložit pokutu až do těchto výší:

Výše pokuty	Komu / za co (dle § 59)
250 000 000 Kč nebo až 2 % čistého celosvětového ročního obratu (podle toho, co je vyšší)	poskytovatel v režimu vyšších povinností (§ 59 odst. 1 písm. a), c) až m) a o), nebo odst. 3 písm. a), b), f) nebo g)
175 000 000 Kč nebo až 1,4 % čistého celosvětového ročního obratu (podle toho, co je vyšší)	poskytovatel v režimu nižších povinností (§ 59 odst. 2 písm. a), c) až m) nebo o)
100 000 000 Kč	přestupky dle § 59 odst. 1 písm. b) nebo odst. 3 písm. c), d) nebo h)
50 000 000 Kč	přestupky dle § 59 odst. 1 písm. n), odst. 2 písm. b) nebo odst. 3 písm. e)
35 000 000 Kč	přestupky dle § 59 odst. 2 písm. n)

Pokud jde o odpovědnost vedení, čl. 20(1) směrnice stanoví, že řídící orgány základních a důležitých subjektů schvalují opatření řízení kybernetických rizik, dohlížejí na jejich provádění a mohou nést odpovědnost za porušení povinností subjektem. Kybernetická bezpečnost tak patří na jednání vedení, nikoli pouze do IT.

Dozorový orgán a jak vypadá dohled

Ústředním správním úřadem pro oblast kybernetické bezpečnosti je Úřad — Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) se sídlem v Brně (§ 42 odst. 1).

Podle § 42 odst. 3 Úřad:

přijímá ohlášení a rozhoduje o registraci a jejím zrušení
stanovuje bezpečnostní opatření
provozuje Portál Úřadu
vydává protiopatření a vede evidence
provádí kontrolu plnění povinností a ukládá nápravná opatření
ukládá správní tresty za nedodržení povinností

Pro poskytovatele v režimu nižších povinností je kontaktním místem Národní CERT, který přijímá hlášení a poskytuje metodickou podporu jako CSIRT tým (§ 43).

V oblasti dodavatelského řetězce může Úřad podle § 29 vydat opatření obecné povahy, kterým stanoví podmínky nebo zakáže využití plnění dodavatele bezpečnostně významné dodávky, usnese-li se vláda, že je to nutné z důvodu ochrany bezpečnosti ČR. Poskytovatel strategicky významné služby má podle § 31 odst. 1 písm. c) povinnost hlásit Úřadu informace o dodavatelích do 10 dnů ode dne jejich zjištění.

Dohled tedy není formalita — Úřad má pravomoc kontrolovat, ukládat nápravná opatření i sankce.

Časté dotazy

Který zákon v Česku přenáší směrnici NIS2?

Směrnici NIS2 (směrnice (EU) 2022/2555) přenáší do českého práva zákon č. 264/2025 Sb., zákon o kybernetické bezpečnosti. Dozorovým orgánem je Úřad — Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) se sídlem v Brně.

Jaký je rozdíl mezi základním a důležitým subjektem?

Podle § 8 se poskytovatelé dělí na režim vyšších povinností (značně významní pro ČR) a režim nižších povinností. Podle § 18 odpovídá režim vyšších povinností kategorii základní subjekt a režim nižších povinností kategorii důležitý subjekt ve smyslu čl. 3 směrnice (EU) 2022/2555. Od zařazení se odvíjí rozsah povinností i výše pokut.

Do kdy musím nahlásit kybernetický incident?

Podle § 16 předloží poskytovatel prvotní hlášení bez zbytečného odkladu, nejpozději do 24 hodin po zjištění incidentu, oznámení nejpozději do 72 hodin a závěrečnou zprávu nejpozději do 30 dnů. Pro poskytovatele v režimu nižších povinností je kontaktním místem Národní CERT (§ 43).

Jak vysoké mohou být pokuty podle zákona 264/2025 Sb.?

Podle § 59 odst. 4 lze uložit pokutu až do 250 000 000 Kč nebo 2 % čistého celosvětového ročního obratu u poskytovatele v režimu vyšších povinností, resp. až do 175 000 000 Kč nebo 1,4 % obratu v režimu nižších povinností — podle toho, která částka je vyšší. Další sazby činí 100, 50 a 35 milionů Kč podle druhu přestupku.