NIS 2 a kritická infrastruktura: co se v Česku skutečně změnilo
Zákon č. 264/2025 Sb. nahradil zákon č. 181/2014 Sb. Vztahuje se na střední a velké podniky v 15 odvětvích a dělí je do režimu vyšších a nižších povinností. Subjekt kritické infrastruktury je regulován bez ohledu na velikost a vždy v režimu vyšších povinností.
Co se změnilo a pro koho
Pokud byla vaše firma regulována už podle dosavadního zákona č. 181/2014 Sb., například jako správce informačního a komunikačního systému kritické informační infrastruktury nebo informačního systému základní služby, regulaci kybernetické bezpečnosti znáte. Vaše dosavadní práce není ztracena: do uplynutí nových lhůt plníte alespoň dosavadní povinnosti a incidenty hlásíte novým způsobem už od doručení rozhodnutí o registraci (§ 71 odst. 1 zákona č. 264/2025 Sb.). Nový zákon ale přidává povinnosti, které je třeba doplnit.
Pokud vaše firma regulována nebyla, je to pravděpodobně vaše první setkání s povinnou regulací kybernetické bezpečnosti. Zákon č. 264/2025 Sb. se vztahuje na střední a velké podniky, které poskytují službu ze seznamu ve vyhlášce č. 408/2025 Sb. v jednom z 15 odvětví (§ 4 odst. 1). Subjekty kritické infrastruktury zahrnuje bez ohledu na velikost a vždy ve vyšším režimu (§ 5 písm. d), § 8 odst. 3).
| Aspekt | Subjekt kritické infrastruktury | Ostatní poskytovatelé regulované služby |
|---|---|---|
| Rozsah | Služba odpovídající prvku kritické infrastruktury, který byl u subjektu určen podle předpisů o krizovém řízení a kritické infrastruktuře (§ 5 písm. d)) | Služba ze seznamu ve vyhlášce č. 408/2025 Sb. v jednom z 15 odvětví, kterou poskytuje střední nebo velký podnik (§ 4 odst. 1). Režim vyšších, nebo nižších povinností podle vyhlášky |
| Model prahových hodnot | Velikost nerozhoduje. Rozhoduje určení prvku kritické infrastruktury, o kterém ministerstva, jiné ústřední správní úřady a ČNB informují NÚKIB (§ 64 odst. 3) | Velikost podle doporučení 2003/361/ES (střední podnik: 50+ zaměstnanců, nebo obrat i bilanční suma nad 10 mil. EUR) s českými odchylkami (§ 7). U některých služeb další podmínky, například alespoň 5 % obratu u vodárenství a odpadů |
| Registrace | Řízení o registraci lze zahájit jen z moci úřední (§ 6 odst. 3). Po doručení rozhodnutí kontaktní a doplňující údaje do 30 dnů (§ 11) | Firma sama ohlásí službu přes Portál NÚKIB do 60 dnů od splnění podmínek (§ 6 odst. 1). Po doručení rozhodnutí kontaktní a doplňující údaje do 30 dnů, například doménová jména a rozsahy IP adres (§ 11; vyhláška č. 334/2025 Sb., § 3). Neohlášení je přestupek (§ 60 odst. 1 písm. a)) |
| Hlášení incidentů | Vyšší režim: hlásí se NÚKIB, a to každý incident ve stanoveném rozsahu s původem v kybernetickém prostoru, u kterého nelze do 24 hodin vyloučit úmyslné zavinění (§ 15 odst. 1). Prvotní hlášení do 24 hodin, při významném dopadu oznámení do 72 hodin a závěrečná zpráva do 30 dnů od oznámení (§ 16) | Podle režimu. Vyšší režim jako vlevo. Nižší režim hlásí jen incidenty s významným dopadem na poskytování služby, a to Národnímu CERT, ve stejných lhůtách (§ 15 odst. 2, § 16) |
| Sankce | Pokuta až 250 mil. Kč nebo 2 % celosvětového ročního obratu, podle toho, co je vyšší (§ 59 odst. 4 písm. a)) | Vyšší režim jako vlevo. Nižší režim až 175 mil. Kč nebo 1,4 % celosvětového ročního obratu (§ 59 odst. 4 písm. b)). Přestupky projednává NÚKIB (§ 62 odst. 1) |
| Odpovědnost vedení | Zákon nemá ustanovení o osobní odpovědnosti vedení. NÚKIB může dočasně zakázat výkon funkce členovi statutárního orgánu, který opakovaně nebo závažně zmaří nápravné opatření (§ 58, jen vyšší režim) | § 58 jen ve vyšším režimu. Jinak obecné právo: péče řádného hospodáře (§ 159 občanského zákoníku, §§ 51 až 53 zákona o obchodních korporacích). Povinnosti vrcholného vedení stanoví vyhlášky (§ 4 vyhlášky č. 410/2025 Sb., nebo č. 409/2025 Sb.) |
| Požadavky na audit | Vyhláška č. 409/2025 Sb.: audit kybernetické bezpečnosti při významných změnách a nejméně jednou za 2 roky, provádí nezávislá osoba (§ 16 odst. 4 a 6). Kontrola NÚKIB (§ 55) | Vyšší režim jako vlevo. Nižší režim: audit předepsán není, přehled bezpečnostních opatření se aktualizuje nejméně jednou ročně a uchovává 4 roky (vyhláška č. 410/2025 Sb., § 3 odst. 2). Kontrola NÚKIB (§ 55) |
| Bezpečnost dodavatelského řetězce | Bezpečnostní požadavky ve smlouvách s dodavateli (§ 13 odst. 5). Vyhláška č. 409/2025 Sb.: identifikovat významné dodavatele a do smluv s nimi zahrnout relevantní ujednání z přílohy č. 5 (§ 9) | § 13 odst. 5 platí pro všechny. Nižší režim: smlouvy s dodavateli ve stanoveném rozsahu obsahují relevantní ujednání z přílohy č. 2 vyhlášky č. 410/2025 Sb. (§ 3 odst. 5). Vyšší režim jako vlevo |
Nakládání s odpady
Provoz zařízení k nakládání s odpady, obchod s odpady, zprostředkování a přeprava odpadu (vyhláška č. 408/2025 Sb., body 11.1 až 11.4). Česká podmínka navíc: služba tvoří alespoň 5 % obratu a firma je střední nebo velký podnik. Režim nižších povinností.
Výroba a distribuce potravin
Průmyslová výroba a zpracování potravin a jejich velkoobchodní distribuce (body 8.1 až 8.3), u středního i velkého podniku v režimu nižších povinností. Přesahuje maloobchod: zahrnuje výrobní provozy, logistiku chladicího řetězce a systémy bezpečnosti potravin.
Výroba kritických produktů
Výroba počítačů, elektroniky a optiky, elektrických zařízení, strojů, motorových vozidel a dalších dopravních prostředků (body 7.1 až 7.5) a zdravotnických prostředků (body 18.7 a 18.8). Většinou v režimu nižších povinností; sériový výrobce osobních automobilů je ve vyšším (bod 7.4).
Poštovní a kurýrní služby
Provozovatelé poštovních služeb a služeb dodávání balíků (body 20.1 a 20.2), u středního i velkého podniku v režimu nižších povinností. Zahrnuje doručování balíků, třídění zásilek a logistiku poslední míle.
Výroba a distribuce chemikálií
Výroba a uvádění na trh chemických látek podléhajících registraci a výroba předmětů (body 9.1 až 9.3), v režimu nižších povinností. Provozovatel objektu podle zákona o prevenci závažných havárií má vlastní bod 9.4: objekt skupiny B je ve vyšším režimu, skupiny A v nižším.
Výzkumné organizace
Veřejné výzkumné instituce, výzkumné organizace, vysoké školy a výzkumné instituce, jejichž hlavním cílem je aplikovaný výzkum pro komerční využití (bod 19.1). Rozhoduje obor aplikovaného výzkumu alespoň 2 roky z posledních 5 let: vojenský materiál, pokročilé polovodiče, umělá inteligence, kvantové technologie nebo biotechnologie znamenají vyšší režim, další vyjmenované obory nižší. Výzkumná instituce, která je středním nebo velkým podnikem, je v nižším režimu.
Digitální infrastruktura a služby
Rozšířený rozsah pro digitální poskytovatele: řízené služby a řízené bezpečnostní služby, on-line tržiště, vyhledávače, sociální sítě, cloud a datová centra (body 16.8 až 16.10 a 16.12 až 16.17). Opatření se u nich řídí prováděcím nařízením (EU) 2024/2690, ve vyšším režimu podle pravidel pro základní subjekty, v nižším pro důležité (§ 18 odst. 1 a 4 zákona).
- Příslušným úřadem je NÚKIB a ohlášení, údaje i hlášení incidentů jdou přes Portál NÚKIB (§ 16 odst. 4, § 45 odst. 2)
- Žádná metodika není předepsaná jako jediná: vyhláška č. 409/2025 Sb. připouští jinou metodu hodnocení rizik se stejnou nebo vyšší úrovní (§ 8 odst. 3) a vyhláška pro nižší režim metodu nepředepisuje. Obdobu německé zákonné domněnky souladu u IT-Grundschutz české právo nemá
- Princip přiměřenosti: opatření zavádíte jen ve stanoveném rozsahu a v míře nezbytné pro zajištění kybernetické bezpečnosti regulované služby (§ 12, § 13 odst. 2), ne vše, co je teoreticky možné
- Lhůta: bezpečnostní opatření a hlášení incidentů nejpozději do 1 roku od doručení rozhodnutí o registraci (§ 13 odst. 4, § 15 odst. 4)
Často kladené dotazy
Byli jsme regulováni podle zákona č. 181/2014 Sb. Musíme dělat něco nového?
Ano. Do uplynutí nových lhůt plníte alespoň dosavadní povinnosti, incidenty ale hlásíte novým způsobem už od doručení rozhodnutí o registraci (§ 71 odst. 1). Nový zákon navíc ukládá mimo jiné stanovit rozsah s evidencí aktiv a vyjmutých primárních aktiv (§ 12), nahlásit kontaktní a doplňující údaje do 30 dnů od doručení rozhodnutí (§ 11) a zavést opatření podle vyhlášky č. 409/2025 Sb., nebo č. 410/2025 Sb. Vaše stávající opatření pravděpodobně pokryjí velkou část technických požadavků; porovnejte je s vyhláškou pro svůj režim.
Která odvětví přinesla NIS 2?
Sedm odvětví, která první směrnice NIS nepokrývala: odpadové hospodářství, potravinářský průmysl, výrobní průmysl, poštovní a kurýrní služby, chemický průmysl, výzkum a rozšířená digitální infrastruktura a služby. V Česku je uvádí § 4 odst. 1 zákona č. 264/2025 Sb.; konkrétní služby a podmínky stanoví vyhláška č. 408/2025 Sb.
Je NIS 2 jen kritická infrastruktura pod jiným názvem?
Ne. Subjekty kritické infrastruktury jsou jen jednou skupinou: jejich služba se registruje z moci úřední a jsou vždy v režimu vyšších povinností (§ 5 písm. d), § 6 odst. 3, § 8 odst. 3). Zákon č. 264/2025 Sb. se ale vztahuje i na střední a velké podniky v 15 odvětvích, střední podniky zpravidla v režimu nižších povinností. Přidává ohlášení služby, stanovený rozsah, hlášení incidentů, požadavky na vrcholné vedení a pokuty až 250 mil. Kč.
Jaký je největší praktický rozdíl pro společnosti?
Pro subjekt kritické infrastruktury je to vyšší režim se vším, co k němu patří: čtyři bezpečnostní role, výbor pro řízení kybernetické bezpečnosti, audit nejméně jednou za 2 roky (vyhláška č. 409/2025 Sb., § 4 a § 16) a hlášení každého incidentu s původem v kybernetickém prostoru, u kterého nelze vyloučit úmyslné zavinění (§ 15 odst. 1 zákona). Pro ostatní firmy je to často první povinná regulace vůbec. Kybernetická bezpečnost se tím stává věcí vrcholného vedení: absolvuje školení, zajistí zdroje a prokazatelně se seznamuje se stavem opatření.
- Směrnice (EU) 2022/2555 (NIS 2), přílohy I a II (vymezení odvětví): https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, §§ 4 až 8 (podmínky a režimy), § 5 písm. d) (kritická infrastruktura), §§ 11 až 16, 58, 59 a 71 (přechodná ustanovení): https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_5
- Vyhláška č. 408/2025 Sb., o regulovaných službách: https://e-sbirka.gov.cz/sb/2025/408/2025-11-01
- Vyhláška č. 409/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností: https://e-sbirka.gov.cz/sb/2025/409/2025-11-01
- Vyhláška č. 410/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu nižších povinností: https://e-sbirka.gov.cz/sb/2025/410/2025-11-01
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
