§§ 13 a 14 zákona č. 264/2025 Sb.: bezpečnostní opatření
Krátká odpověď: §§ 13 a 14 zákona č. 264/2025 Sb., o kybernetické bezpečnosti, jsou českou úpravou čl. 21 NIS 2. Poskytovatel regulované služby zavádí a provádí bezpečnostní opatření ze seznamu v § 14, od řízení rizik přes řízení dodavatelů po vícefaktorovou autentizaci, „v míře nezbytné“ pro kybernetickou bezpečnost regulované služby (§ 13 odst. 2). Obsah opatření stanoví vyhláška č. 409/2025 Sb. (režim vyšších povinností) a č. 410/2025 Sb. (režim nižších povinností).
Co §§ 13 a 14 vyžadují
§§ 13 a 14 jsou jádrem české úpravy NIS 2. Bezpečnostními opatřeními zákon rozumí organizační a technická opatření, jejichž účelem je zajištění řádného poskytování regulované služby a kybernetické bezpečnosti aktiv (§ 13 odst. 1). Poskytovatel regulované služby je zavádí a provádí v rámci stanoveného rozsahu (§ 13 odst. 2).
Zákon zapracovává směrnici NIS 2 (směrnice (EU) 2022/2555) do českého práva (§ 1 odst. 3). Podstata čl. 21 odst. 2 je v celé Unii stejná, český seznam je ale členěn jinak: § 14 odst. 1 uvádí 25 opatření pro režim vyšších povinností (14 organizačních a 11 technických), § 14 odst. 2 uvádí 13 opatření pro režim nižších povinností. Všech deset písmen a) až j) čl. 21 odst. 2 v nich najdete.
Zákon je účinný od 1. listopadu 2025. Opatření musíte začít zavádět a provádět pro každou regulovanou službu nejpozději do 1 roku ode dne doručení rozhodnutí o registraci (§ 13 odst. 4).
Písm. a): politika analýzy rizik a bezpečnosti informačních systémů
Politika analýzy rizik a politika bezpečnosti informačních systémů. Odpovídá čl. 21 odst. 2 písm. a) NIS 2. V zákoně: § 14 odst. 1 písm. a) body 4 a 6 (řízení bezpečnostní politiky a bezpečnostní dokumentace, řízení rizik), § 14 odst. 2 písm. d) (řízení rizik). Pro digitální poskytovatele podle § 18 zákona ji upřesňuje prováděcí nařízení (EU) 2024/2690, příloha, oddíly 1 a 2.
Písm. b): řešení incidentů
Detekce, reakce, omezení dopadů, obnova a vyhodnocení po incidentu. Odpovídá čl. 21 odst. 2 písm. b) NIS 2. V zákoně: § 14 odst. 1 písm. a) bod 12 a písm. b) body 5 až 7, § 14 odst. 2 písm. i) a j). Navazuje na povinnost hlásit incidenty podle §§ 15 až 17 zákona.
Písm. c): řízení kontinuity činností
Správa záloh, obnova po havárii a krizové řízení. Odpovídá čl. 21 odst. 2 písm. c) NIS 2. V zákoně: § 14 odst. 1 písm. a) bod 13 a písm. b) bod 10, § 14 odst. 2 písm. f). Patří sem i výpadek cloudu u vašeho poskytovatele.
Písm. d): bezpečnost dodavatelského řetězce
Bezpečnost dodavatelského řetězce včetně bezpečnostních aspektů vztahů s přímými dodavateli a poskytovateli služeb. Odpovídá čl. 21 odst. 2 písm. d) NIS 2. V zákoně: § 14 odst. 1 písm. a) bod 7 (řízení dodavatelů) a v obou režimech § 13 odst. 5: zavádíte-li opatření prostřednictvím dodavatele, vybíráte ho podle požadavků opatření a tyto požadavky zahrnete do smlouvy. V režimu nižších povinností uvádí smluvní požadavky vyhláška č. 410/2025 Sb., příloha č. 2.
Písm. e): bezpečnost při pořizování, vývoji a údržbě
Bezpečnost při pořizování, vývoji a údržbě sítí a informačních systémů, včetně řešení a zveřejňování zranitelností. Odpovídá čl. 21 odst. 2 písm. e) NIS 2. V zákoně: § 14 odst. 1 písm. a) bod 10 a písm. b) bod 8, § 14 odst. 2 písm. l). U produktů s digitálními prvky se překrývá s povinnostmi podle aktu o kybernetické odolnosti (Cyber Resilience Act).
Písm. f): posouzení účinnosti
Politiky a postupy pro posouzení účinnosti opatření. Odpovídá čl. 21 odst. 2 písm. f) NIS 2. V zákoně: § 14 odst. 1 písm. a) body 1 a 14 (systém řízení bezpečnosti informací, audit kybernetické bezpečnosti), § 14 odst. 2 písm. a) (systém zajišťování minimální kybernetické bezpečnosti). V režimu nižších povinností aktualizujete přehled bezpečnostních opatření včetně vyhodnocení jejich účinnosti alespoň jednou ročně (vyhláška č. 410/2025 Sb., § 3 odst. 2 písm. b)). Opatření nestačí zavést, je třeba ověřit, že fungují.
Písm. g): kybernetická hygiena a školení
Základní postupy kybernetické hygieny a školení v oblasti kybernetické bezpečnosti. Odpovídá čl. 21 odst. 2 písm. g) NIS 2. V zákoně: § 14 odst. 1 písm. a) bod 8, § 14 odst. 2 písm. e) (bezpečnost lidských zdrojů). Platí pro všechny zaměstnance, s odborným školením pro administrátory. Školení vrcholného vedení upravují vyhlášky zvlášť (vyhláška č. 410/2025 Sb., § 4 písm. b); vyhláška č. 409/2025 Sb., § 4 odst. 1 písm. a)).
Písm. h): kryptografie a šifrování
Politiky a postupy pro používání kryptografie a případně šifrování. Odpovídá čl. 21 odst. 2 písm. h) NIS 2. V zákoně: § 14 odst. 1 písm. b) bod 9, § 14 odst. 2 písm. m) (kryptografické algoritmy). Obě vyhlášky žádají zohledňovat doporučení a metodiky NÚKIB v oblasti kryptografických algoritmů (vyhláška č. 410/2025 Sb., § 13 odst. 1 písm. c); vyhláška č. 409/2025 Sb., § 25 odst. 1 písm. c)). „Případně“ připouští rozlišení podle rizika, ne plošnou výjimku.
Písm. i): bezpečnost lidských zdrojů, řízení přístupu, správa aktiv
Bezpečnost lidských zdrojů, řízení přístupu a správa aktiv. Odpovídá čl. 21 odst. 2 písm. i) NIS 2. V zákoně: § 14 odst. 1 písm. a) body 5, 8 a 11 a písm. b) bod 4, § 14 odst. 2 písm. c), e), g) a h). Pokrývá nástup a odchod zaměstnanců, přidělování přístupu jen v nezbytném rozsahu a evidenci aktiv (§ 12 zákona).
Písm. j): vícefaktorová autentizace a zabezpečená komunikace
Vícefaktorová nebo kontinuální autentizace, zabezpečená hlasová, obrazová a textová komunikace a případně zabezpečené systémy nouzové komunikace uvnitř subjektu. Odpovídá čl. 21 odst. 2 písm. j) NIS 2. V zákoně: § 14 odst. 1 písm. b) body 2 a 3, § 14 odst. 2 písm. h) a k). Vyhlášky žádají vícefaktorovou autentizaci s alespoň dvěma různými typy faktorů nebo kontinuální autentizaci (vyhláška č. 410/2025 Sb., § 8 odst. 2; vyhláška č. 409/2025 Sb., § 19 odst. 2).
§ 13 odst. 2 ukládá zavádět a provádět opatření „v míře nezbytné pro zajištění kybernetické bezpečnosti regulované služby“. O nákladech zákon mlčí; náklady na provádění zmiňuje jen čl. 21 odst. 1 NIS 2. V režimu nižších povinností zavádíte opatření „přiměřená bezpečnostním potřebám“ a vždy alespoň ta podle § 3 odst. 2 až 6, §§ 4 až 6 a § 10 vyhlášky č. 410/2025 Sb. (§ 3 odst. 1). V režimu vyšších povinností vycházíte z řízení rizik (vyhláška č. 409/2025 Sb., § 3 písm. c)).
Přiměřenost není povolení opatření vynechat. Opatření, které v režimu nižších povinností nezavedete, uvedete v přehledu bezpečnostních opatření s odůvodněním (vyhláška č. 410/2025 Sb., § 3 odst. 2 písm. a) bod 3). V režimu vyšších povinností je přenesení nebo sdílení rizika jednou z metod, riziko nad hranicí akceptovatelnosti ale musíte snížit nebo eliminovat (vyhláška č. 409/2025 Sb., příloha č. 4 odst. 6). Přiměřené tedy znamená: ne každé opatření v maximální hloubce, ale přizpůsobené konkrétní situaci a písemně doložené.
Čl. 21 odst. 2 NIS 2 je základ na úrovni EU. Deset písmen a) až j) je závazných. Znění zůstalo otevřené, aby je členské státy mohly zasadit do svých dozorových struktur. Český zákon je nepřebírá po písmenech, ale rozkládá do vlastního seznamu v § 14 a do dvou vyhlášek podle režimu.
Pro poskytovatele DNS, registry domén nejvyšší úrovně, služby cloud computingu, datová centra, sítě pro doručování obsahu, řízené služby, řízené bezpečnostní služby, on-line tržiště, internetové vyhledávače, platformy sociálních sítí a služby vytvářející důvěru upřesňuje opatření prováděcí nařízení Komise (EU) 2024/2690 ve své příloze. Nařízení platí přímo. Zákon na ně odkazuje v § 18 odst. 1 a pro tyto služby se § 13 odst. 2 nepoužije.
Opatření zavádí poskytovatel regulované služby. Regulovanou službu určují §§ 4 a 5 zákona a vyhláška č. 408/2025 Sb.: služba v jednom z 15 odvětví v § 4 odst. 1 a poskytovatel, který je středním nebo velkým podnikem podle doporučení Komise 2003/361/ES (zpravidla od 50 zaměstnanců, nebo s ročním obratem i bilanční sumou nad 10 milionů eur), případně významný podle podmínek vyhlášky. § 5 doplňuje služby regulované bez ohledu na velikost, například u subjektů kritické infrastruktury. Režim vyšších nebo nižších povinností určuje § 8 a vyhláška č. 408/2025 Sb.
Pokud si nejste jisti, začněte testem působnosti podle čl. 2 NIS 2. Dodavatelé regulovaných subjektů se s opatřeními setkají přes § 13 odst. 5: zavádí-li jejich zákazník opatření jejich prostřednictvím, požadavky se promítnou do smlouvy s nimi.
Nezavedení nebo neprovedení opatření podle § 13 odst. 2 je přestupek (§ 59 odst. 1 a 2 písm. f)). V režimu vyšších povinností hrozí pokuta až 250 milionů Kč nebo 2 % čistého celosvětového ročního obratu, v režimu nižších povinností až 175 milionů Kč nebo 1,4 %, podle toho, která částka je vyšší (§ 59 odst. 4). Přestupky projednává NÚKIB (§ 62 odst. 1).
Zákon osobní odpovědnost vedení nezakládá. Členové statutárního orgánu odpovídají společnosti za škodu podle obecných pravidel péče řádného hospodáře (§ 159 občanského zákoníku, §§ 51 až 53 zákona o obchodních korporacích); náhrada škody předpokládá škodu. U poskytovatele v režimu vyšších povinností, který neplní rozhodnutí o odstranění nedostatků, může NÚKIB členovi statutárního orgánu dočasně zakázat výkon funkce (§ 58).
Časté dotazy k §§ 13 a 14 zákona
Jsou §§ 13 a 14 zákona totéž co čl. 21 NIS 2?
Co do podstaty ano: zákon č. 264/2025 Sb. zapracovává směrnici NIS 2 a §§ 13 a 14 jsou českou úpravou jejího čl. 21. Seznam je ale členěn jinak: 25 opatření v režimu vyšších povinností, 13 v režimu nižších povinností, s obsahem ve vyhláškách č. 409/2025 Sb. a č. 410/2025 Sb. Pro práci napříč EU citujte čl. 21 NIS 2, pro vaše povinnosti v Česku zákon a vyhlášku podle režimu.
Musím zavést všechna opatření?
Opatření nejsou volitelná, volba probíhá uvnitř nich přes přiměřenost (§ 13 odst. 2). V režimu nižších povinností zavádíte vždy alespoň opatření podle § 3 odst. 2 až 6, §§ 4 až 6 a § 10 vyhlášky č. 410/2025 Sb.; opatření, které nezavedete, uvedete v přehledu bezpečnostních opatření s odůvodněním. V režimu vyšších povinností rozhoduje o hloubce řízení rizik. Hloubku lze přizpůsobit, vynechat opatření bez doloženého důvodu nelze.
Co znamená přiměřenost v praxi?
Opatření zavádíte „v míře nezbytné pro zajištění kybernetické bezpečnosti regulované služby“ (§ 13 odst. 2). Rozhodnutí musí být písemně doložené: v režimu nižších povinností v přehledu bezpečnostních opatření, v režimu vyšších povinností v dokumentaci řízení rizik. V režimu vyšších povinností plošný přenos rizika na kybernetické pojištění nebo poskytovatele služeb nestačí: riziko nad hranicí akceptovatelnosti musíte snížit nebo eliminovat (vyhláška č. 409/2025 Sb., příloha č. 4 odst. 6).
Jak doložím zavedení vůči NÚKIB?
Dokumentací. U každého opatření zaznamenejte písemně, jak jste ho zavedli, proč v této hloubce a jak ověřujete jeho účinnost. V režimu nižších povinností je ústředním dokladem přehled bezpečnostních opatření, aktualizovaný alespoň jednou ročně a uchovávaný alespoň 4 roky (vyhláška č. 410/2025 Sb., § 3 odst. 2). V režimu vyšších povinností bezpečnostní politika a dokumentace a audit kybernetické bezpečnosti alespoň jednou za 2 roky (vyhláška č. 409/2025 Sb., § 3 a § 16). Při kontrole (§ 55 zákona) NÚKIB zkoumá tyto záznamy, ne ústní vysvětlení. Nejrychlejší začátek je strukturované sebehodnocení napříč všemi opatřeními.
Stačí ISO 27001 nebo německá metodika IT-Grundschutz?
§§ 13 a 14 jsou povinnost, ISO 27001 nebo německá metodika IT-Grundschutz jsou cesty, jak ji naplnit. Český zákon žádnou metodiku nevyhlašuje za automaticky dostatečnou; obdobu německé právní domněnky pro IT-Grundschutz nemá. Můžete použít jinou metodu, v režimu vyšších povinností za podmínek vyhlášky č. 409/2025 Sb. (příloha č. 1 odst. 2, příloha č. 4 odst. 5). Doklady ale zůstávají vázány na opatření podle zákona a vyhlášky, ne na strukturu zvoleného standardu.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
