Subjekty kritické infrastruktury podle zákona o kybernetické bezpečnosti
Subjekt kritické infrastruktury si nevybírá. Služba odpovídající jeho prvku kritické infrastruktury je regulovanou službou (§ 5 písm. d) zákona č. 264/2025 Sb.) a on sám je v režimu vyšších povinností (§ 8 odst. 3). Opatření podle čl. 21 NIS 2 jsou základ, vyhláška č. 409/2025 Sb. stanoví jejich podrobný obsah. NÚKIB vše posuzuje ze stejné evidence.
Stručná verze
Které subjekty jsou kritickou infrastrukturou, určují v Česku příslušná ministerstva, jiné ústřední správní úřady a Česká národní banka podle předpisů o krizovém řízení a kritické infrastruktuře; o určení prvků kritické infrastruktury a o důvodech informují NÚKIB (§ 64 odst. 3 zákona č. 264/2025 Sb.). Tyto subjekty nestojí ve vlastním odděleném světě. Zákon o kybernetické bezpečnosti je zahrnuje jako poskytovatele regulované služby, a to bez ohledu na velikost (§ 5 písm. d)).
Základ pochází z čl. 21 směrnice NIS 2: deset oblastí opatření k řízení rizik, přiměřených riziku. Česko ho provádí přes § 14 zákona a dvě vyhlášky. Pro subjekt kritické infrastruktury platí vždy ta podrobnější, vyhláška č. 409/2025 Sb. pro vyšší režim: čtyři bezpečnostní role, výbor pro řízení kybernetické bezpečnosti, hodnocení rizik nejméně jednou ročně a audit nejméně jednou za 2 roky. K tomu vyšší sankční pásmo, až 250 milionů Kč nebo 2 % celosvětového ročního obratu (§ 59 odst. 4 písm. a)).
Kybernetickou část vede jeden úřad. NÚKIB službu registruje, přijímá hlášení incidentů, vykonává kontrolu a projednává přestupky. Stejná evidence slouží všem vrstvám. Tato stránka rozkládá právní strukturu, co vyšší režim přidává, dvě zásady rozhodující hraniční případy a tři časté omyly.
Čl. 21 odst. 1 směrnice NIS 2 (EU) 2022/2555
Členské státy zajistí, aby základní a důležité subjekty přijaly vhodná a přiměřená technická, provozní a organizační opatření k řízení bezpečnostních rizik, jimž čelí sítě a informační systémy, jež tyto subjekty používají pro svůj provoz nebo poskytování svých služeb, a k předcházení incidentům nebo minimalizaci jejich dopadů na příjemce jejich služeb a na další služby. S ohledem na nejnovější technický vývoj a případně na příslušné evropské a mezinárodní normy a na náklady na provádění musí opatření uvedená v prvním pododstavci zajišťovat úroveň bezpečnosti sítí a informačních systémů odpovídající existující míře rizika.
Čl. 21 odst. 1 stanoví přiměřenost: hloubka opatření má odpovídat riziku. Subjekt kritické infrastruktury je na vrcholu této škály: velká oblast zásobování, závislost veřejnosti, řetězové dopady. Česko to řeší pevně: takový subjekt je vždy ve vyšším režimu, takže pro něj platí podrobnější vyhláška č. 409/2025 Sb., ne vyhláška pro nižší režim.
§ 5 písm. d) a § 8 odst. 3 zákona č. 264/2025 Sb.
Je-li regulovaná služba registrována rozhodnutím Úřadu na základě splnění podmínek pro registraci podle § 5, je její poskytovatel v režimu vyšších povinností.
Zákon skládá povinnosti do jednoho předpisu. Podle § 5 písm. d) je regulovanou službou „služba odpovídající prvku kritické infrastruktury určenému u tohoto subjektu“. Řízení o registraci takové služby lze zahájit jen z moci úřední (§ 6 odst. 3). § 8 odst. 3 dává vyšší režim. §§ 15 a 16 stanoví hlášení: prvotní hlášení do 24 hodin, při významném dopadu oznámení do 72 hodin a závěrečnou zprávu do 30 dnů od oznámení. § 59 odst. 4 písm. a) stanoví pokutu až 250 milionů Kč nebo 2 % celosvětového ročního obratu.
Vyhláška č. 409/2025 Sb., § 16 odst. 4 (audit)
Audit kybernetické bezpečnosti podle odstavce 2 je prováděn a) při významných změnách, a to v rámci jejich rozsahu, b) v pravidelných intervalech alespoň jednou za 2 roky a c) v souladu s plánem auditu kybernetické bezpečnosti.
Pravidelný audit je povinností každého poskytovatele ve vyšším režimu, tedy i subjektu kritické infrastruktury. Provádí ho osoba, která nezávisle hodnotí správnost a účinnost opatření (§ 16 odst. 6). V odůvodněných případech lze audit rozložit po celcích tak, aby celý rozsah proběhl alespoň jednou za 5 let (§ 16 odst. 5). Výsledky jdou do řízení rizik a vrcholné vedení se s nimi prokazatelně seznamuje (§ 16 odst. 3, § 4 odst. 2). Audit se NÚKIB pravidelně nepředkládá; NÚKIB ho uvidí při kontrole.
Základ NIS 2 (čl. 21 / § 14 zákona)
Deset oblastí opatření podle čl. 21 odst. 2: analýza rizik a bezpečnost informačních systémů, zvládání incidentů, kontinuita činností, dodavatelský řetězec, bezpečné pořizování, vývoj a údržba včetně řešení zranitelností, posuzování účinnosti opatření, kybernetická hygiena a školení, kryptografie, bezpečnost lidských zdrojů s řízením přístupu a správou aktiv, vícefaktorové ověření a zabezpečená komunikace. V českém zákoně je vyjmenovává § 14. Subjekt kritické infrastruktury začíná zde, ne někde jinde.
Podrobná opatření a audit podle vyhlášky č. 409/2025 Sb.
Vyhláška pro vyšší režim stanoví například čtyři bezpečnostní role (manažer, architekt, garant aktiva a auditor kybernetické bezpečnosti) a výbor pro řízení kybernetické bezpečnosti, který jedná alespoň jednou ročně (§ 4 odst. 3 a 4), hodnocení rizik alespoň jednou ročně, prohlášení o aplikovatelnosti a plán zvládání rizik (§ 8) a audit alespoň jednou za 2 roky (§ 16 odst. 4). Hlásí se každý incident ve stanoveném rozsahu s původem v kybernetickém prostoru, u kterého nelze do 24 hodin vyloučit úmyslné zavinění (§ 15 odst. 1 zákona).
Vyšší sankční pásmo a zákaz výkonu funkce
Ve vyšším režimu hrozí pokuta až 250 milionů Kč nebo 2 % celosvětového ročního obratu, v nižším až 175 milionů Kč nebo 1,4 % (§ 59 odst. 4). Jen ve vyšším režimu může NÚKIB dočasně zakázat výkon funkce členovi statutárního orgánu, který opakovaně nebo závažně zmaří nápravné opatření (§ 58). Opatření se i zde zavádějí v míře nezbytné (§ 13 odst. 2); u služby, na které závisí stovky tisíc lidí, je ale nezbytného víc.
Jeden úřad, jedna evidence, dvě vrstvy
Kybernetickou bezpečnost subjektu kritické infrastruktury posuzuje NÚKIB podle zákona č. 264/2025 Sb.; samotné určení prvku kritické infrastruktury je věcí jiných úřadů (§ 64 odst. 3). Doklady se nezdvojují. Audit podle vyhlášky č. 409/2025 Sb., evidence aktiv ve stanoveném rozsahu (§ 12 odst. 3) a smlouvy s dodavateli (§ 13 odst. 5) jsou tytéž doklady, které NÚKIB uvidí při kontrole. Vyšší režim jen žádá prověřovat je v pevném cyklu, s vyšším sankčním pásmem v záloze.
Kritická infrastruktura přidává, nenahrazuje
Častý omyl: „jsme kritická infrastruktura, máme svá pravidla, zákon o kybernetické bezpečnosti se nás netýká.“ Opačně. § 5 písm. d) dělá ze služby odpovídající prvku kritické infrastruktury regulovanou službu a § 8 odst. 3 ji řadí do vyššího režimu. Stanovený rozsah (§ 12), opatření (§§ 13 a 14), hlášení incidentů (§§ 15 a 16) i údaje pro NÚKIB (§ 11) platí naplno. Kdo je vynechá, porušuje zákon č. 264/2025 Sb. i čl. 21 směrnice.
NÚKIB pro kybernetickou bezpečnost
Národní úřad pro kybernetickou a informační bezpečnost registruje regulované služby, přijímá hlášení incidentů ve vyšším režimu, vykonává kontrolu (§ 55) a projednává přestupky (§ 62 odst. 1). Incidenty v nižším režimu přijímá Národní CERT. Tentýž úřad řeší střední výrobní firmu v nižším režimu i velkého distributora elektřiny. Jiné měřítko, stejný úřad, stejný zákon.
Odvětvová úprava EU může mít přednost
Ukládá-li přímo použitelný předpis EU nebo jiný zákon zapracovávající předpis EU povinnosti k bezpečnostním opatřením nebo k hlášení incidentů alespoň se srovnatelným účinkem, příslušná ustanovení zákona o kybernetické bezpečnosti se neuplatní, včetně dozoru nad nimi (§ 70). Příkladem je nařízení DORA ve finančním sektoru. Prvky kritické infrastruktury určují ministerstva, jiné ústřední správní úřady a ČNB a informují o tom NÚKIB (§ 64 odst. 3).
Na úrovni EU: směrnice CER
Směrnice NIS 2 sama zvláštní režim kritické infrastruktury nemá. Nejbližší je směrnice CER (2022/2557) o odolnosti kritických subjektů, která se týká fyzické odolnosti, ne kybernetické bezpečnosti. NIS 2 se na kritické subjekty podle CER vztahuje bez ohledu na jejich velikost (čl. 2 odst. 3 NIS 2); český § 5 písm. d) na to navazuje. Zákon č. 264/2025 Sb. se vztahuje na osoby usazené v Česku (§ 1 odst. 2).
Jsme kritická infrastruktura, takže zákon o kybernetické bezpečnosti se na nás nevztahuje.
Opačně. Služba odpovídající prvku kritické infrastruktury je regulovanou službou (§ 5 písm. d)) a její poskytovatel je v režimu vyšších povinností (§ 8 odst. 3). Stanovený rozsah, opatření podle vyhlášky č. 409/2025 Sb., hlášení incidentů NÚKIB a údaje podle § 11 platí naplno. Kdo je vynechá s tím, že „kritická infrastruktura to už pokrývá“, porušuje zákon č. 264/2025 Sb. i čl. 21 směrnice.
Nejsme kritická infrastruktura, takže se nás NIS 2 netýká.
Kritická infrastruktura je jen jedna cesta do zákona. Hlavní cesta je § 4 odst. 1: služba z vyhlášky č. 408/2025 Sb. a střední nebo velký podnik. Městská společnost, která provozuje vodovod pro 80 000 obyvatel, kritickou infrastrukturou být nemusí, a přesto je regulovaná, pokud jí vodovod přináší alespoň 5 % obratu: jako střední podnik v režimu nižších povinností, jako velký ve vyšším (bod 10.1). Službu ohlásí sama do 60 dnů (§ 6 odst. 1).
Právě jsme prošli auditem kybernetické bezpečnosti, takže máme hotovo.
Audit podle § 16 vyhlášky č. 409/2025 Sb. prověří stav k určitému okamžiku. Nevypíná zbytek zákona. Hlášení incidentů (prvotní hlášení do 24 hodin, § 16 zákona) běží nepřetržitě. Změny kontaktních a doplňujících údajů hlásíte do 14 dnů (§ 11 odst. 2). Hodnocení rizik provádíte nejméně jednou ročně a při významných změnách (vyhláška č. 409/2025 Sb., § 8 odst. 1 písm. c)). Audit je snímek, zbytek zákona je provoz.
Vezměte smyšlenou městskou společnost Příklad Město a.s. se 400 zaměstnanci ve městě s 200 000 obyvateli: vodovod a kanalizace, teplárna s rozvodem tepla, městská hromadná doprava a dceřiná společnost pro optickou síť. Položte vyhlášku č. 408/2025 Sb. vedle organizační struktury. Regulované služby jsou vodovod a kanalizace (body 10.1 a 10.2, pokud tvoří alespoň 5 % obratu) a výroba a rozvod tepla (body 5.1 a 5.2). Jako velký podnik je u nich společnost ve vyšším režimu. Městskou hromadnou dopravu autobusy a tramvajemi vyhláška mezi regulovanými službami neuvádí.
Výsledkem je jedna firma v jednom režimu. NÚKIB uvádí princip „jedna organizace = jeden režim“: je-li firma u jedné služby ve vyšším režimu, vztahuje se tento režim na všechny její regulované služby. Pokud ministerstvo určí u vodovodu prvek kritické infrastruktury, je služba registrována i podle § 5 písm. d) a vyšší režim plyne také z § 8 odst. 3. Dceřiná společnost pro optickou síť je samostatnou osobou a posuzuje se podle bodů 16.1 a 16.2 vyhlášky; do její velikosti se ale započítává mateřská společnost, nejsou-li jejich technická aktiva zcela oddělena (§ 7 písm. c) zákona). Stanovený rozsah pokrývá aktiva všech regulovaných služeb.
- Směrnice (EU) 2022/2555 (NIS 2), čl. 2 odst. 3 (kritické subjekty), čl. 21 odst. 1 a 2: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 5 písm. d), § 6 odst. 3, § 8 odst. 3, §§ 15 a 16, §§ 58 a 59, § 64 odst. 3, § 70: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_5
- Vyhláška č. 408/2025 Sb., o regulovaných službách (body 5.1, 5.2, 10.1, 10.2, 16.1, 16.2): https://e-sbirka.gov.cz/sb/2025/408/2025-11-01
- Vyhláška č. 409/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností, § 4, § 8, § 16: https://e-sbirka.gov.cz/sb/2025/409/2025-11-01#par_16
- NÚKIB, Průvodce novým zákonem o kybernetické bezpečnosti (jedna organizace = jeden režim): https://portal.nukib.gov.cz/pruvodce-novym-zakonem-o-kyberneticke-bezpecnosti
- Směrnice (EU) 2022/2557 (CER) o odolnosti kritických subjektů (fyzická odolnost, odlišná od NIS 2): https://eur-lex.europa.eu/eli/dir/2022/2557/oj
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
