Ceny, cenové modely a pravidla 2026
Zákon o kybernetické bezpečnosti č. 264/2025 Sb. (NIS2): koho se týká, registrace, hlášení incidentů a sankce
Co znamená nový zákon o kybernetické bezpečnosti pro malé a střední firmy – regulované služby, režim vyšších a nižších povinností, ohlášení NÚKIB do 60 dnů, hlášení do 24 h, pokuty.
Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, je účinný od 1. 11. 2025 a zapracovává směrnici NIS2. Týká se poskytovatelů regulovaných služeb v 15 odvětvích (mimo jiné energetika, výrobní a potravinářský průmysl, doprava, zdravotnictví, digitální infrastruktura a služby, odpadové a vodní hospodářství). Zpravidla jde o střední a velké podniky, u některých služeb bez ohledu na velikost; konkrétní služby a hranice určuje vyhláška NÚKIB č. 408/2025 Sb. o regulovaných službách. Firma, která podmínky splní, musí službu ohlásit NÚKIB do 60 dnů; po doručení rozhodnutí o registraci má nejvýše 1 rok na zavedení bezpečnostních opatření a zahájení hlášení incidentů. Malé firmy mimo tato pravidla zákon přímo nezavazuje – mohou ale dostat požadavky jako dodavatelé regulovaných zákazníků. Pro trh spravovaných služeb je důležité i to, že poskytovatelé řízených (bezpečnostních) služeb, kteří jsou středním nebo velkým podnikem, jsou sami regulovaní.
Článek patří do sekce ceny a pravidla.
Kdo je poskytovatelem regulované služby
Podle § 4 zákona jsou podmínky registrace splněny, když:
- jde o službu významnou pro důležité společenské nebo ekonomické činnosti v jednom z 15 odvětví (veřejná správa, energetika, výrobní průmysl, potravinářský průmysl, chemický průmysl, vodní hospodářství, odpadové hospodářství, doprava, digitální infrastruktura a služby, finanční trh, zdravotnictví, věda, výzkum a vzdělávání, poštovní a kurýrní služby, obranný průmysl, vesmírný průmysl), a zároveň
- poskytovatel je středním nebo velkým podnikem podle doporučení Komise 2003/361/ES, nebo je významný podle vyhlášky.
Podle doporučení Komise je středním podnikem firma s méně než 250 zaměstnanci a obratem do 50 mil. EUR nebo bilanční sumou do 43 mil. EUR; malý podnik má méně než 50 zaměstnanců a obrat nebo bilanci do 10 mil. EUR. Započítávají se partnerské a propojené podniky; zákon v § 7 upravuje některé odchylky (například se nepočítají propojené osoby s úplně oddělenými technickými aktivy). § 5 navíc umožňuje NÚKIB registrovat z moci úřední i služby, jejichž narušení by mělo zásadní dopad, bez ohledu na velikost.
Režim vyšších a nižších povinností
Vyhláška č. 408/2025 Sb. rozděluje poskytovatele do dvou režimů:
| Režim vyšších povinností | Režim nižších povinností | |
|---|---|---|
| Bezpečnostní opatření | vyhláška č. 409/2025 Sb.: systém řízení bezpečnosti informací, 14 organizačních a 11 technických opatření (§ 14 odst. 1 zákona) | vyhláška č. 410/2025 Sb.: systém zajišťování minimální kybernetické bezpečnosti, 13 opatření (§ 14 odst. 2 zákona) |
| Hlášení incidentů | NÚKIB | Národní CERT, jen incidenty s významným dopadem |
| Role | manažer, architekt, garant aktiva, auditor | osoba pověřená kybernetickou bezpečností |
| Záznamy událostí | centrální nástroj, uchování min. 18 měsíců | podle vlastních potřeb |
| Max. pokuta (vybrané přestupky) | 250 mil. Kč nebo 2 % celosvětového obratu | 175 mil. Kč nebo 1,4 % celosvětového obratu |
Příklad z vyhlášky, který se týká přímo tohoto webu: poskytovatel řízené služby a řízené bezpečnostní služby (MSP/MSSP) poskytující služby podnikatelům je v režimu vyšších povinností, je-li velkým podnikem, a v režimu nižších povinností, je-li středním podnikem (body 16.13 a 16.14 přílohy vyhlášky č. 408/2025 Sb.). Malý MSSP regulovaný podle tohoto bodu není.
Lhůty krok za krokem
| Krok | Lhůta | Ustanovení |
|---|---|---|
| Ohlášení služby NÚKIB | do 60 dnů od splnění podmínek | § 6 odst. 1 |
| Kontaktní a doplňující údaje | do 30 dnů od doručení rozhodnutí o registraci | § 11 odst. 1 |
| Změny údajů | do 14 dnů | § 11 odst. 2 |
| Zavedení bezpečnostních opatření | nejpozději do 1 roku od doručení rozhodnutí | § 13 odst. 4 |
| Zahájení hlášení incidentů | nejpozději do 1 roku od doručení rozhodnutí | § 15 odst. 4 |
| Změna mající vliv na režim | do 60 dnů | § 9 odst. 1 |
Ohlášení i hlášení incidentů probíhá přes Portál NÚKIB. Pokud vaše firma podmínky splňovala už k 1. 11. 2025, šedesátidenní lhůta běžela od účinnosti zákona a uplynula 31. 12. 2025 (zvláštní lhůtu pro ohlášení přechodná ustanovení v § 71 nestanoví). Neohlášení služby je přestupek podle § 60 odst. 1 písm. a) s pokutou až 250 mil. Kč nebo 2 % obratu – neohlášenou službu ohlaste bez dalšího odkladu a poraďte se s odborníkem.
Hlášení incidentů: 24 hodin, 72 hodin, 30 dnů
Podle § 16 zákona poskytovatel regulované služby:
- do 24 hodin po zjištění incidentu podá prvotní hlášení (identifikace, základní údaje, zda jde o nezákonný zásah a přeshraniční dopad),
- u incidentu s významným dopadem do 72 hodin podá oznámení s prvotním posouzením, dopadem a indikátory kompromitace,
- do 30 dnů od oznámení předloží závěrečnou zprávu (pokud incident trvá, průběžnou zprávu a závěrečnou do 30 dnů od vyřešení).
V režimu vyšších povinností se hlásí incidenty, u nichž nelze vyloučit úmyslné zavinění; v režimu nižších povinností jen ty s významným dopadem (§ 15). Způsob vyhodnocení významnosti v režimu nižších povinností stanoví § 14 vyhlášky č. 410/2025 Sb. – firma si musí určit únosnou míru újmy.
Pro cenu služby z toho plyne: pokud jste regulovaní, chtějte od MSSP ve smlouvě podporu s hlášením – aby vám podklady pro 24hodinové hlášení dodal včas. Lhůty podle GDPR (72 hodin pro ÚOOÚ) běží souběžně, viz GDPR a hlášení incidentů.
Dodavatelé a smlouvy
§ 13 odst. 5 zákona: pokud opatření zavádíte prostřednictvím dodavatele, musíte ho vybírat v souladu s požadavky bezpečnostních opatření a zahrnout tyto požadavky do smlouvy. V režimu vyšších povinností navíc § 9 vyhlášky č. 409/2025 Sb. ukládá evidovat významné dodavatele, písemně je o tom informovat a mít ve smlouvách náležitosti podle přílohy č. 5 vyhlášky. Podrobnosti v článku dodavatelé regulovaných firem.
Sankce
Pokuty stanoví § 59 zákona. Za vybrané přestupky v režimu vyšších povinností až 250 000 000 Kč nebo 2 % čistého celosvětového ročního obratu podniku (podle toho, co je vyšší), v režimu nižších povinností až 175 000 000 Kč nebo 1,4 %. Za jiné přestupky jsou horní hranice nižší. Jde o maxima; skutečná výše se odvíjí od závažnosti.
Co to znamená pro rozpočet
Regulovaná střední firma obvykle potřebuje: osobu pověřenou bezpečností (interně nebo externí CISO), přehled bezpečnostních opatření, vícefaktorové ověření, ochranu stanic a serverů, detekci a zaznamenávání událostí, zálohy, skenování zranitelností a postup pro incidenty. Mnoho z toho lze nakoupit jako službu – viz MDR a SOC a kontrolní seznam prověrky poskytovatele.
Časté otázky
Je firma s 30 zaměstnanci regulovaná?
Obvykle ne, pokud nesplní hranici středního podniku (počítají se i propojené firmy) a pokud ji NÚKIB nezaregistruje z moci úřední podle § 5. Některé služby jsou ale regulované bez ohledu na velikost – ověřte ve vyhlášce č. 408/2025 Sb.
Nahrazuje zákon č. 264/2025 Sb. starý zákon č. 181/2014 Sb.?
Ano, nový zákon je účinný od 1. 11. 2025; přechodná ustanovení (§ 71) řeší povinnosti subjektů regulovaných podle starého zákona do doby, než začnou plnit nové povinnosti.
Kdo kontroluje plnění?
Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB). Hlášení incidentů v režimu nižších povinností přijímá Národní CERT.
Zdroje
- Národní úřad pro kybernetickou a informační bezpečnost – Portál NÚKIB, průvodci a metodiky
- e-Sbírka – zákon č. 264/2025 Sb., vyhlášky č. 408/2025, 409/2025 a 410/2025 Sb.
- Zákony pro lidi – konsolidovaná znění a historie verzí
