Lhůty pro hlášení incidentů podle NIS2 v zemích EU
Včasné varování o významném incidentu je nutné podat do 24 hodin. (zákon 264/2025 Sb., §§ 15-16)
Tabulka u každé pokryté země uvádí lhůty pro hlášení významného incidentu podle článku 23 směrnice NIS2 — včasné varování, úplné oznámení a závěrečnou zprávu — spolu s příslušným orgánem. Tam, kde se zobrazuje základní úroveň směrnice EU, je v tabulce jasně označena.
| Včasné varování | Oznámení incidentu | Závěrečná zpráva | Příslušný orgán | Kanál pro hlášení | |
|---|---|---|---|---|---|
| Belgie | 24h (vnitrostátní právo) [↗] | 72h (vnitrostátní právo) [↗] | 1mo (vnitrostátní právo) [↗] | Bevoegde autoriteit en meldingsplicht (nationale cyberbeveiligingsautoriteit, nationale CSIRT — NIS2-wet art. 16, art. 35) [↗] | |
| Bulharsko | 24h (vnitrostátní právo) [↗] | 72h (vnitrostátní právo) [↗] | 1mo (vnitrostátní právo) [↗] | Компетентен орган и задължение за уведомяване (национален компетентен орган, СЕРИКС/CSIRT — ЗКС чл. 16, чл. 23) [↗] | СЕРИКС (vnitrostátní právo) [↗] |
| Česko | 24h (vnitrostátní právo) [↗] | 72h (vnitrostátní právo) [↗] | 30d (vnitrostátní právo) [↗] | Příslušný úřad a ohlašovací povinnost (Úřad, Národní CERT — zákon 264/2025 Sb. § 42, § 43, § 16) [↗] | Úřad (vyšší kohustusetase) / Národní CERT (madalam tase) (vnitrostátní právo) [↗] |
| Chorvatsko | 24h (vnitrostátní právo) [↗] | 72h (vnitrostátní právo) [↗] | 30d (vnitrostátní právo) [↗] | Nadležno tijelo i obveza obavještavanja (nadležni CSIRT / CARNET — Zakon o kibernetičkoj sigurnosti čl. 4, čl. 37) [↗] | nadležni CSIRT (Sigurnosno-obavještajna agencija või CARNET) (vnitrostátní právo) [↗] |
| Dánsko | 24h (vnitrostátní právo) [↗] | 72h (vnitrostátní právo) [↗] | 1mo (vnitrostátní právo) [↗] | Kompetent myndighed og underretningspligt (kompetent myndighed, CSIRT — NIS2-loven § 12, § 13) [↗] | |
| Estonsko | 24h (vnitrostátní právo) [↗] | 72h (vnitrostátní právo) [↗] | 1mo (vnitrostátní právo) [↗] | Estonian supervisory and competent authority: Estonian Information System Authority (RIA) [↗] | Riigi Infosüsteemi Amet (vnitrostátní právo) [↗] |
| Finsko | 24h (vnitrostátní právo) [↗] | 72h (vnitrostátní právo) [↗] | 1mo (vnitrostátní právo) [↗] | Keskitetty yhteyspiste Suomessa: Liikenne- ja viestintäviraston Kyberturvallisuuskeskus (18 §) [↗] | |
| Itálie | 24h (vnitrostátní právo) [↗] | 72h (vnitrostátní právo) [↗] | 1mo (vnitrostátní právo) [↗] | Autorità nazionale competente NIS e Punto di contatto unico in Italia: ACN (art 10) [↗] | CSIRT Italia (vnitrostátní právo) [↗] |
| Kypr | 6h (vnitrostátní právo) [↗] | 72h (vnitrostátní právo) [↗] | 1mo (vnitrostátní právo) [↗] | Αρμόδια αρχή και υποχρέωση κοινοποίησης (Αρχή Ψηφιακής Ασφάλειας — Ν. 60(Ι)/2025 άρθρο 30, 35Β) [↗] | Αρχή Ψηφιακής Ασφάλειας (vnitrostátní právo) [↗] |
| Litva | 24h (vnitrostátní právo) [↗] | 72h (vnitrostátní právo) [↗] | 1mo (vnitrostátní právo) [↗] | Kompetentinga institucija ir registravimasis (Nacionalinis kibernetinio saugumo centras — KSĮ 7 str., 11 str.) [↗] | Nacionalinis kibernetinio saugumo centras (vnitrostátní právo) [↗] |
| Lotyšsko | 24h (vnitrostátní právo) [↗] | 72h (vnitrostátní právo) [↗] | 1mo (vnitrostátní právo) [↗] | Kompetentā iestāde un ziņošanas pienākums (Nacionālais kiberdrošības centrs — NKDL 4. pants, 34. pants) [↗] | |
| Lucembursko | 24h (vnitrostátní právo) [↗] | 72h (vnitrostátní právo) [↗] | 1mo (vnitrostátní právo) [↗] | Autorité compétente et obligation d'enregistrement (Institut luxembourgeois de régulation — loi du 5 mai 2026, art. 3, art. 11, art. 14) [↗] | Institut luxembourgeois de régulation (ILR); pangandus- ja finantsturu-infrastruktuuris CSSF (vnitrostátní právo) [↗] |
| Maďarsko | 24h (vnitrostátní právo) [↗] | 72h (vnitrostátní právo) [↗] | 1mo (vnitrostátní právo) [↗] | Kiberbiztonsági hatóság és bejelentési kötelezettség (nemzeti kiberbiztonsági hatóság — 2024. évi LXIX. törvény § 23, § 8) [↗] | Nemzetbiztonsági Szakszolgálat (Központ) (vnitrostátní právo) [↗] |
| Malta | 24h (vnitrostátní právo) [↗] | 72h (vnitrostátní právo) [↗] | 1mo (vnitrostátní právo) [↗] | Supervisory authority and notification duty (CIP Department, national CSIRT — S.L. 460.41 article 7, article 20) [↗] | national CSIRT (Malta Information Technology Agency) (vnitrostátní právo) [↗] |
| Německo | 24h (vnitrostátní právo) [↗] | 72h (vnitrostátní právo) [↗] | 1mo (vnitrostátní právo) [↗] | Competent supervisory authority in Germany: Federal Office for Information Security (BSI) [↗] | gemeinsame Meldestelle des BSI und BBK (vnitrostátní právo) [↗] |
| Nizozemsko | 24h (vnitrostátní právo) [↗] | 72h (vnitrostátní právo) [↗] | 1mo (vnitrostátní právo) [↗] | Bevoegde autoriteit, CSIRT en meldpunt (Minister van Justitie en Veiligheid als CSIRT — Cbw art. 15, 26–27, 43–44; Cbb art. 2, 25, 27) [↗] | |
| Polsko | 24h (vnitrostátní právo) [↗] | 72h (vnitrostátní právo) [↗] | 1mo (vnitrostátní právo) [↗] | Właściwy CSIRT sektorowy i obowiązek zgłaszania incydentów (CSIRT sektorowy — uKSC art. 11) [↗] | |
| Portugalsko | 24h (vnitrostátní právo) [↗] | 72h (vnitrostátní právo) [↗] | 30wd (vnitrostátní právo) [↗] | Autoridade competente e registo (CNCS — Decreto-Lei n.º 125/2025 artigo 19.º, artigo 8.º) [↗] | CNCS (Centro Nacional de Cibersegurança) / CERT.PT (vnitrostátní právo) [↗] |
| Rakousko | 24h (vnitrostátní právo) [↗] | 72h (vnitrostátní právo) [↗] | 1mo (vnitrostátní právo) [↗] | Zuständige Behörde und Meldepflicht (Cybersicherheitsbehörde, sektorspezifische CSIRTs — NISG § 4, § 34) [↗] | |
| Řecko | 24h (vnitrostátní právo) [↗] | 72h (vnitrostátní právo) [↗] | 1mo (vnitrostátní právo) [↗] | Αρμόδια αρχή και υποχρέωση αναφοράς (Εθνική Αρχή Κυβερνοασφάλειας, CSIRT — Νόμος 5160/2024 άρθρο 8, 16) [↗] | CSIRT της Εθνικής Αρχής Κυβερνοασφάλειας (vnitrostátní právo) [↗] |
| Rumunsko | 24h (vnitrostátní právo) [↗] | 72h (vnitrostátní právo) [↗] | 1mo (vnitrostátní právo) [↗] | Autoritate competentă și obligația de raportare (DNSC, CSIRT național — OUG 155/2024 art. 24, art. 15) [↗] | PNRISC (vnitrostátní právo) [↗] |
| Slovensko | 24h (vnitrostátní právo) [↗] | 72h (vnitrostátní právo) [↗] | 1mo (vnitrostátní právo) [↗] | Príslušný orgán a registračná povinnosť (Národný bezpečnostný úrad — zákon č. 69/2018 Z. z. § 4, § 17) [↗] | jednotný informačný systém kybernetickej bezpečnosti (vnitrostátní právo) [↗] |
| Slovinsko | 24h (vnitrostátní právo) [↗] | 72h (vnitrostátní právo) [↗] | 1mo (vnitrostátní právo) [↗] | Pristojni organ in obveznost priglasitve (Urad Vlade RS za informacijsko varnost, CSIRT — ZInfV-1 10. člen, 30. člen) [↗] | |
| Švédsko | 24h (vnitrostátní právo) [↗] | 72h (vnitrostátní právo) [↗] | 1mo (vnitrostátní právo) [↗] | Gemensam kontaktpunkt (SPOC) i Sverige: Försvarets radioanstalt (1 kap. 17 §; förordning 2025:1507 § 23) [↗] |
Lhůty podle vnitrostátního zákona: Česko
Níže uvedené citace pocházejí doslovně z vlastního právního předpisu dané země, který tyto lhůty stanoví. Každá citace nese odkaz na oficiální zdroj.
Včasné varování — prvotní hlášení
nejpozději do 24 hodin po zjištění
kybernetického bezpečnostního incidentu, předloží prvotní hlášení, v němž uvede své identifikační údaje, základní údaje o kybernetickém bezpečnostním incidentu, a zda se domnívá, že byl
kybernetický bezpečnostní incident způsoben nezákonným zásahem nebo že by mohl mít
přeshraničníOdkaz: zákon 264/2025 Sb., §§ 15-16 — Zobrazit úřední zdroj
Oznámení incidentu — oznámení
nejpozději do 72 hodin po zjištění kybernetického bezpečnostního incidentu oznámení, v němž aktualizuje informace uvedené v odstavci 1, předloží prvotní posouzení kybernetického bezpečnostního incidentu a uvede dopad a indikátory kompromitace, pokud jsou k dispozici; poskytovatel regulovaných služeb vytvářejícíchOdkaz: zákon 264/2025 Sb., §§ 15-16 — Zobrazit úřední zdroj
Závěrečná zpráva
nejpozději do 30 dnů ode dne předložení oznámení podle písmene a) závěrečnou zprávu
o vyřešení kybernetického bezpečnostního incidentu; v případě, že po uplynutí uvedené
lhůty kybernetický bezpečnostní incident stále trvá, předloží poskytovatel regulované
služby bez zbytečného odkladu po uplynutí lhůty průběžnouOdkaz: zákon 264/2025 Sb., §§ 15-16 — Zobrazit úřední zdroj
Lhůta pro registraci
nejpozději do 60 dnů ode dne, kdy ke splnění podmínek došlo. Formát a způsob ohlášení podle
tohoto odstavce stanoví Úřad vyhláškou.
(2)
Úřad rozhodne o registraci regulované služby v případě, že jsou splněny podmínky pro registraci regulované služby podle § 4 odst. 1 nebo § 5.
(3)
Řízení o registraci regulované službyOdkaz: zákon 264/2025 Sb., §§ 4-8 — Zobrazit úřední zdroj
Časté otázky
Jaké jsou lhůty pro hlášení incidentů podle NIS2 v zemi Česko?
Lhůty pro hlášení incidentů podle NIS2 v zemi Česko: Včasné varování 24h; Oznámení incidentu 72h; Závěrečná zpráva 30d. Základ: zákon 264/2025 Sb. §§ 15-16; tabulka odkazuje na oficiální zdroj.