Rizika nákupu spravované bezpečnosti a oficiální zdroje: NÚKIB, Národní CERT, ÚOOÚ a předpisy

Pravidla pro kybernetickou bezpečnost firem v Česku stojí v roce 2026 na čtyřech pilířích: zákon č. 264/2025 Sb. o kybernetické bezpečnosti s vyhláškami NÚKIB č. 408, 409 a 410/2025 Sb. (pro poskytovatele regulovaných služeb), GDPR a zákon č. 110/2019 Sb. o zpracování osobních údajů (pro každého, kdo zpracovává osobní údaje), trestní zákoník (§ 230–232 – neoprávněný přístup k počítačovému systému, důležité u penetračních testů) a zákon o DPH (cena služby). Dozor vykonávají NÚKIB (kybernetická bezpečnost) a Úřad pro ochranu osobních údajů (osobní údaje); incidenty v režimu nižších povinností přijímá Národní CERT. Při nákupu služby jsou největším rizikem nejasný rozsah, chybějící oprávnění k zásahu, závislost na poskytovateli a špatně nastavené hlášení incidentů. Tento pilířový článek shrnuje, kde co ověřit, a odkazuje na podrobné návody.

Úřady a portály

Instituce / portál	K čemu ji potřebujete	Web
NÚKIB	zákon o kybernetické bezpečnosti, ohlášení regulované služby, hlášení incidentů v režimu vyšších povinností, metodiky	nukib.gov.cz
Portál NÚKIB	ohlášení služby, hlášení incidentů	přes web NÚKIB
Národní CERT	hlášení incidentů s významným dopadem v režimu nižších povinností	podle pokynů NÚKIB
ÚOOÚ	ohlášení porušení zabezpečení osobních údajů, metodiky GDPR	uoou.gov.cz
e-Sbírka	úplná a závazná znění předpisů	e-sbirka.gov.cz
Zákony pro lidi	konsolidovaná znění a historie verzí	zakonyprolidi.cz
Policie ČR	oznámení trestného činu (útok, vydírání)	policie.cz
Finanční správa	DPH u služeb ze zahraničí	financnisprava.gov.cz

Předpisy, které se vás mohou týkat

Zákon č. 264/2025 Sb. – účinný od 1. 11. 2025; regulované služby, režimy, ohlášení do 60 dnů, hlášení incidentů do 24 h / 72 h / 30 dnů, pokuty. Viz zákon o kybernetické bezpečnosti 2026.
Vyhláška č. 408/2025 Sb. – seznam regulovaných služeb a rozdělení do režimů.
Vyhlášky č. 409/2025 Sb. a 410/2025 Sb. – bezpečnostní opatření v režimu vyšších a nižších povinností.
GDPR (nařízení (EU) 2016/679) – čl. 28 zpracovatel, čl. 32 zabezpečení, čl. 33–34 ohlašování. Viz GDPR a hlášení incidentů.
Trestní zákoník č. 40/2009 Sb. – § 230 neoprávněný přístup a zásah, § 231 nástroje a hesla, § 232 zásah z nedbalosti. Viz penetrační test a trestní zákoník.
Zákon o DPH č. 235/2004 Sb. – sazba 21 %, přenesení daňové povinnosti. Viz DPH a ceny v eurech.

Komu co hlásit při incidentu

Kdo	Komu	Lhůta	Kdy
Poskytovatel regulované služby – vyšší povinnosti	NÚKIB	prvotní hlášení do 24 h, oznámení do 72 h, závěrečná zpráva do 30 dnů	incidenty ve stanoveném rozsahu podle § 15 odst. 1
Poskytovatel regulované služby – nižší povinnosti	Národní CERT	stejné lhůty	jen incidenty s významným dopadem (§ 15 odst. 2)
Správce osobních údajů	ÚOOÚ	bez zbytečného odkladu, pokud možno do 72 h	porušení zabezpečení s rizikem pro osoby
Správce osobních údajů	dotčené osoby	bez zbytečného odkladu	vysoké riziko (čl. 34)
Kdokoli	Policie ČR	–	podezření na trestný čin (dobrovolně, doporučeno)
Pojištěný	pojišťovna	podle pojistných podmínek	pojistná událost

Lhůty běží souběžně. Váš poskytovatel by měl dodat podklady tak, abyste je stihli – to patří do smlouvy (SLA a smlouva).

Hlavní rizika nákupu služby

Nejasný rozsah – „24/7“ bez popisu, kdo v noci reaguje. Viz typické chyby při nákupu.
Chybějící oprávnění k zásahu – poskytovatel vidí útok, ale nesmí izolovat stroj.
Závislost – licence, konfigurace a logy na straně poskytovatele. Viz změna poskytovatele a exit.
Dodavatelský řetězec – poskytovatel má do vašich systémů privilegovaný přístup, a je tedy sám atraktivním cílem. Viz dodavatelé regulovaných firem.
Penetrační test bez oprávnění – právní riziko pro tester i objednatele.
Pojištění, které neplní – kvůli nesplněným podmínkám (vícefaktorové ověření, zálohy). Viz kyberpojištění.

Jak ověřovat informace

Předpisy čtěte v úplném znění na e-Sbírce nebo Zákonech pro lidi a hlídejte datum účinnosti verze.
Metodiky a průvodce hledejte na webu NÚKIB a ÚOOÚ, ne v marketingových materiálech poskytovatelů.
U výkladu, který rozhoduje o povinnostech (zda jste regulovaní, zda incident hlásit), se poraďte s advokátem nebo specialistou.
Pozor na staré texty, které popisují zákon č. 181/2014 Sb. – ten byl s účinností od 1. 11. 2025 nahrazen.

Jak číst předpis v e-Sbírce nebo na Zákonech pro lidi

Ověřte verzi. U každého předpisu je uvedeno, od kdy je dané znění účinné. Texty o kybernetické bezpečnosti psané před 1. 11. 2025 často popisují zrušený zákon č. 181/2014 Sb.
Najděte prováděcí předpisy. Zákon č. 264/2025 Sb. odkazuje na vyhlášky; podrobnosti (seznam služeb, konkrétní opatření, délka hesel, doba uchování logů) jsou až v nich.
Čtěte definice. Pojmy jako „regulovaná služba“, „řízená bezpečnostní služba“ nebo „významný dodavatel“ mají zákonnou definici, která se liší od běžné řeči.
Projděte přechodná ustanovení. Rozhodují o tom, od kdy povinnost platí pro vás.
Hledejte metodiku úřadu. NÚKIB a ÚOOÚ vydávají výkladová stanoviska a průvodce; nejsou závazná jako zákon, ale ukazují, jak úřad postupuje.

Roční kalendář kontrol (modelově)

Kdy	Co zkontrolovat
Měsíčně	report poskytovatele: incidenty, doby reakce, objem logů, nové zranitelnosti
Čtvrtletně	přístupy a účty, seznam zařízení v ceně, test obnovy ze zálohy
Ročně	analýza rizik, aktualizace přehledu bezpečnostních opatření (v režimu nižších povinností nejméně jednou ročně, uchování přehledů 4 roky podle § 3 vyhlášky č. 410/2025 Sb.), školení vedení a zaměstnanců, penetrační test
Před obnovou smlouvy	cena, SLA, výpovědní lhůta, exit
Při změně firmy	nová pobočka, akvizice, růst nad hranici středního podniku – možná změna regulace

Časté otázky

Kde zjistím, zda jsem regulovaný?

Ve vyhlášce č. 408/2025 Sb. (seznam služeb a kritéria) a v průvodcích na webu NÚKIB. Rozhodnutí o registraci vydává NÚKIB na základě vašeho ohlášení.

Je hlášení incidentu NÚKIB a ÚOOÚ totéž?

Ne. Jde o dvě různé povinnosti podle dvou předpisů s různými kritérii. Jeden incident může vyžadovat obě hlášení, jedno, nebo žádné.

Mohu se spolehnout na poskytovatele, že vše nahlásí?

Ne. Povinnost hlásit má poskytovatel regulované služby, resp. správce osobních údajů – tedy vaše firma. Poskytovatel služby vám pomáhá s podklady.

Zdroje

Národní úřad pro kybernetickou a informační bezpečnost – zákon, Portál NÚKIB, metodiky
Úřad pro ochranu osobních údajů – GDPR, ohlášení porušení zabezpečení
e-Sbírka – úplná znění předpisů
Zákony pro lidi – konsolidovaná znění
Policie České republiky – oznámení trestného činu