NIS2 v energetice v Česku: cestovní mapa v sedmi krocích
Tato cestovní mapa shrnuje v sedmi krocích, co v odvětví energetiky vyplývá ze zákona o kybernetické bezpečnosti (zákon č. 264/2025 Sb.). Zákon rozlišuje poskytovatele regulované služby v režimu vyšších povinností a v režimu nižších povinností (§ 8), přičemž těmto režimům odpovídají kategorie základní subjekt a důležitý subjekt (§ 18 odst. 4). Kroky pokrývají registraci služby, roli vrcholného vedení, řízení rizik, bezpečnostní opatření, hlášení incidentů, dokumentaci a sankce.
Bezplatná kontrola působnosti zabere přibližně tři minuty. Kompletní balíček dokumentů NIS2 je obvykle hotový do hodiny od platby — ne za dny ani týdny.
Tento průvodce popisuje požadavky zákona na obecné úrovni a není právním poradenstvím. Použitelnost závisí na profilu firmy (sektor, velikost, služby) — bezplatná kontrola použitelnosti ukáže, zda a v jakém rozsahu se zákon na vaši firmu vztahuje.
1. Zjištění, zda se zákon na službu vztahuje
Zákon č. 264/2025 Sb. uvádí energetiku mezi odvětvími, v nichž může být významná služba registrována jako regulovaná služba (§ 4 odst. 1 písm. a). Druhou podmínkou je, že poskytovatel je středním nebo velkým podnikem podle doporučení Komise 2003/361/ES, anebo je významný pro zabezpečení důležitých společenských či ekonomických činností nebo pro bezpečnost státu (§ 4 odst. 1 písm. b); odchylky při určování velikosti upravuje § 7. Podmínky registrace jsou naplněny také u služby, jejíž narušení může způsobit závažný zásah do života více než 125 000 osob (§ 5 písm. b). Podle § 8 se poskytovatelé dělí na režim vyšších povinností a režim nižších povinností, kterým podle § 18 odst. 4 odpovídají kategorie základní subjekt a důležitý subjekt.
CZ-NACE 06100 — Těžba ropyCZ-NACE 06200 — Těžba zemního plynuCZ-NACE 19200 — Výroba rafinovaných ropných produktů a produktů z fosilních palivCZ-NACE 35110 — Výroba elektřiny z neobnovitelných zdrojůCZ-NACE 35120 — Výroba elektřiny z obnovitelných zdrojůCZ-NACE 35130 — Přenos elektřiny
Viz také stránku sektoru: Energetika · Kategorie subjektů NIS2 — Česko
2. Odpovědnost vrcholného vedení a školení
Podle článku 20 odst. 1 směrnice (EU) 2022/2555 schvalují řídicí orgány opatření k řízení kybernetických bezpečnostních rizik, dohlížejí na jejich zavedení a mohou nést odpovědnost za porušení těchto povinností subjektem. Zákon č. 264/2025 Sb. tuto rovinu promítá mezi bezpečnostní opatření pod položkou požadavky na vrcholné vedení, a to jak pro režim vyšších povinností (§ 14 odst. 1 písm. a bod 2), tak pro režim nižších povinností (§ 14 odst. 2 písm. b). Součástí katalogu opatření směrnice jsou rovněž základní postupy kybernetické hygieny a školení v oblasti kybernetické bezpečnosti (čl. 21 odst. 2 písm. g). Zákon dále řadí mezi organizační opatření bezpečnost lidských zdrojů a stanovení bezpečnostních rolí (§ 14 odst. 1 písm. a).
Povinnost školení řídících orgánů podle NIS2 v jednotlivých zemích
3. Řízení rizik jako základ
Katalog opatření podle směrnice (EU) 2022/2555 začíná politikou analýzy rizik a politikou bezpečnosti informačních systémů (čl. 21 odst. 2 písm. a). V české úpravě je řízení rizik samostatným organizačním opatřením pro režim vyšších povinností (§ 14 odst. 1 písm. a bod 6) i pro režim nižších povinností (§ 14 odst. 2 písm. d). Na řízení rizik navazuje řízení aktiv, které zákon uvádí v obou režimech (§ 14 odst. 1 písm. a bod 5 a § 14 odst. 2 písm. c). Povinnost zavádět a provádět bezpečnostní opatření nastupuje nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby (§ 13 odst. 4).
Platforma tento dokument generuje automaticky — je součástí balíčku dokumentů. Služby
4. Katalog bezpečnostních opatření
Pro režim vyšších povinností zákon vypočítává organizační opatření, mezi něž patří systém řízení bezpečnosti informací, řízení bezpečnostní politiky a bezpečnostní dokumentace, řízení dodavatelů, řízení změn, akvizice a údržba, řízení přístupu, zvládání událostí a incidentů, řízení kontinuity činností a provádění auditu kybernetické bezpečnosti (§ 14 odst. 1 písm. a). Technická opatření zahrnují mimo jiné fyzickou bezpečnost, bezpečnost komunikačních sítí, správu identit a přístupových oprávnění, detekci a vyhodnocování událostí, aplikační bezpečnost, kryptografické algoritmy a zajišťování dostupnosti služby (§ 14 odst. 1 písm. b). Pro provozy typické pro energetiku je relevantní zejména opatření zabezpečení průmyslových, řídicích a obdobných specifických technických aktiv (§ 14 odst. 1 písm. b bod 11). V režimu nižších povinností zákon stanoví užší výčet vedený systémem zajišťování minimální kybernetické bezpečnosti (§ 14 odst. 2), takže rozsah opatření se odvíjí od režimu, nikoli od jednotlivého odvětví.
5. Hlášení kybernetických bezpečnostních incidentů
Poskytovatel v režimu vyšších povinností hlásí incidenty Úřadu, zatímco poskytovatel v režimu nižších povinností je hlásí Národnímu CERT (§ 15 odst. 1 a 2; § 43). Prvotní hlášení se předkládá bez zbytečného odkladu, nejpozději do 24 hodin od zjištění incidentu (§ 16 odst. 1). Navazující oznámení s aktualizovanými údaji a prvotním posouzením se předkládá nejpozději do 72 hodin od zjištění incidentu (§ 16 odst. 3 písm. a). Závěrečná zpráva o vyřešení incidentu se předkládá nejpozději do 30 dnů ode dne předložení oznámení, a trvá-li incident déle, zákon počítá s průběžnou zprávou a pozdější závěrečnou zprávou (§ 16 odst. 3 písm. c).
Lhůty pro hlášení incidentů podle NIS2 v zemích EU · Platforma tento dokument generuje automaticky — je součástí balíčku dokumentů. Služby
6. Písemná dokumentace a záznamy
Písemná podoba opatření vyplývá přímo z jejich výčtu: zákon mezi organizačními opatřeními uvádí systém řízení bezpečnosti informací a řízení bezpečnostní politiky a bezpečnostní dokumentace (§ 14 odst. 1 písm. a body 1 a 4). V režimu nižších povinností plní obdobnou úlohu systém zajišťování minimální kybernetické bezpečnosti (§ 14 odst. 2 písm. a). K průkaznosti přispívají také technická opatření zaznamenávání a vyhodnocování kybernetických bezpečnostních událostí a v režimu vyšších povinností provádění auditu kybernetické bezpečnosti (§ 14). Obsahové náležitosti, formát a způsob hlášení incidentů, průběžných zpráv a závěrečné zprávy stanoví Úřad vyhláškou (§ 16 odst. 5).
Balíček zahrnuje:
- Politika řízení kybernetických bezpečnostních rizik
- Plán řešení bezpečnostních incidentů
- Plán kontinuity provozu
- Politika bezpečnosti dodavatelského řetězce
- Prohlášení o odpovědnosti vedení a koncepce školení
- Průvodce vyplněním v portálu
Údržba (měsíčně) — re-sign dokumentů podle platného práva — 290 EUR/měsíc — Služby
7. Horní hranice pokut
Za vyjmenované přestupky poskytovatele v režimu vyšších povinností, tedy kategorie základní subjekt, lze uložit pokutu do 250 000 000 Kč, anebo do 2 % čistého celosvětového ročního obratu podniku za bezprostředně předcházející účetní období, podle toho, která z částek je vyšší (§ 59 odst. 4 písm. a). Pro vyjmenované přestupky poskytovatele v režimu nižších povinností, tedy kategorie důležitý subjekt, činí horní hranice 175 000 000 Kč, anebo 1,4 % téhož obratu, opět podle vyšší z obou částek (§ 59 odst. 4 písm. b). U dalších skupin přestupků zákon uvádí pevné horní hranice 100 000 000 Kč, 50 000 000 Kč a 35 000 000 Kč (§ 59 odst. 4 písm. c až e). Správní tresty za nedodržení povinností ukládá Úřad (§ 42 odst. 3).
Časté otázky
Do kdy se regulovaná služba v energetice ohlašuje?
Poskytovatel služby, která splňuje podmínky registrace podle § 4 odst. 1, ohlašuje tuto službu Úřadu nejpozději do 60 dnů ode dne, kdy ke splnění podmínek došlo (§ 6 odst. 1). O registraci pak rozhoduje Úřad, přičemž formát a způsob ohlášení stanoví vyhláškou. Řízení o registraci podle § 5 lze zahájit pouze z moci úřední (§ 6 odst. 3).
Kdo je v Česku dozorovým orgánem a kam hlášení směřují?
Ústředním správním úřadem pro oblast kybernetické bezpečnosti je Úřad, tedy Národní úřad pro kybernetickou a informační bezpečnost se sídlem v Brně (§ 42 odst. 1). Úřad přijímá ohlášení, rozhoduje o registraci, provozuje Portál Úřadu, provádí kontrolu a ukládá správní tresty (§ 42 odst. 3). Národní CERT je kontaktním místem pro poskytovatele v režimu nižších povinností a plní roli CSIRT týmu (§ 43 odst. 1). Hlášení incidentů se podává prostřednictvím Portálu Úřadu, a není-li to možné, náhradními kanály podle § 16 odst. 4.
Od kdy se povinnost hlásit incidenty uplatní?
Povinnost hlásit kybernetické bezpečnostní incidenty nastupuje pro každou regulovanou službu nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby (§ 15 odst. 4). Stejná roční lhůta platí pro zahájení plnění povinnosti zavádět a provádět bezpečnostní opatření (§ 13 odst. 4). Nad rámec povinných hlášení přijímá Úřad i dobrovolná hlášení incidentů, událostí, hrozeb a zranitelností (§ 15 odst. 5).
Obsah vychází ze znění zákona zákon 264/2025 Sb. platného k 2025-11-01 (kontrolní součet 65e860c8f75d).