Často kladené otázky k NIS2

Bude Evropská unie směrnici NIS 2 ještě měnit nebo upravovat?

Směrnice NIS 2 (EU) 2022/2555 je platným právem EU od ledna 2023 a stanoví závazný rámec. Upřesnění přicházejí prostřednictvím prováděcích aktů, jako je prováděcí nařízení (EU) 2024/2690, které pro poskytovatele digitálních služeb (například cloud, datová centra nebo řízené služby) rozvádí technická opatření podle článku 21. Evropská komise v lednu 2026 navrhla změny směrnice; dokud je Evropský parlament a Rada nepřijmou, platí současné znění. V Česku směrnici provádí zákon č. 264/2025 Sb., o kybernetické bezpečnosti, účinný od 1. listopadu 2025, spolu s vyhláškami NÚKIB. Poskytovatelé digitálních služeb uvedení v § 18 odst. 1 zákona postupují přímo podle prováděcího nařízení. Pro firmy to znamená: nečekejte na změny a plňte povinnosti podle platného českého zákona.

Bude existovat státní podpora pro zavádění NIS 2 ve firmách?

Zákon č. 264/2025 Sb. žádnou dotaci na zavádění bezpečnostních opatření nezakládá. Obecné programy na digitalizaci nebo kybernetickou bezpečnost mohou jednotlivá opatření spolufinancovat podle svých podmínek; ověřte to přímo u poskytovatele dotace. Náklady pomáhá omezit sám zákon: opatření zavádíte jen pro aktiva související s regulovanou službou (stanovený rozsah, § 12) a v míře nezbytné pro její kybernetickou bezpečnost (§ 13 odst. 2). Vyhláška č. 410/2025 Sb. pro režim nižších povinností je navíc výrazně stručnější než vyhláška č. 409/2025 Sb. pro vyšší režim, takže střední podnik nepotřebuje řešení velké skupiny. Plánujte proto zavedení z vlastních zdrojů; dotace zaručena není.

Jaký je stav českého zákona o kybernetické bezpečnosti a od kdy platí?

Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, je ze dne 11. června 2025 a účinnosti nabyl 1. listopadu 2025 (§ 73). Nahradil dosavadní zákon č. 181/2014 Sb. (§ 72). Ke stejnému dni nabyly účinnosti vyhlášky NÚKIB: č. 408/2025 Sb. o regulovaných službách, č. 409/2025 Sb. a č. 410/2025 Sb. o bezpečnostních opatřeních pro vyšší a nižší režim a č. 334/2025 Sb. o Portálu NÚKIB. Kdo splňuje podmínky pro registraci regulované služby, musí ji ohlásit NÚKIB do 60 dnů ode dne, kdy podmínky splnil (§ 6 odst. 1). U většiny firem to bylo 1. listopadu 2025, lhůta tedy uplynula 31. prosince 2025. Pokud jste službu dosud neohlásili, udělejte to bez odkladu přes Portál NÚKIB (viz Registrace).

Kde najdu zákon č. 264/2025 Sb. a související vyhlášky?

Zákon i vyhlášky najdete v platném znění v e-Sbírce: zákon č. 264/2025 Sb., vyhláška č. 408/2025 Sb. o regulovaných službách, vyhláška č. 409/2025 Sb. pro režim vyšších povinností, vyhláška č. 410/2025 Sb. pro režim nižších povinností a vyhláška č. 334/2025 Sb. o Portálu NÚKIB. Směrnici NIS 2 (EU) 2022/2555 najdete v plném znění na EUR-Lex (Úřední věstník L 333 ze dne 27. prosince 2022), stejně jako prováděcí nařízení (EU) 2024/2690. Výklad, návody a FAQ zveřejňuje NÚKIB na Portálu NÚKIB. Pro každodenní praxi stačí zákon a vyhláška pro váš režim.

Jak se liší zákon č. 264/2025 Sb. od vyhlášek NÚKIB?

Zákon je základní předpis: určuje, kdo je poskytovatelem regulované služby, jaké má povinnosti (ohlášení služby, hlášení údajů, stanovený rozsah, bezpečnostní opatření, hlášení incidentů, protiopatření), jaké pravomoci má NÚKIB a jaké hrozí sankce. Podrobnosti zákon svěřuje vyhláškám NÚKIB: seznam služeb a jejich zařazení do režimů stanoví vyhláška č. 408/2025 Sb. (§ 4 odst. 2 a § 8 odst. 2 zákona), obsah bezpečnostních opatření vyhlášky č. 409/2025 Sb. a č. 410/2025 Sb. (§ 13 odst. 3) a formát ohlášení a hlášení incidentů vyhláška č. 334/2025 Sb. (§ 6 odst. 1, § 16 odst. 5). Vyhlášky jsou pro vás závazné. Stručně: co máte dělat, říká zákon; jak přesně, říká vyhláška pro váš režim.

Může být firma regulována, i když dotčené služby neposkytuje v Česku?

Ano. Rozhoduje, kde je firma usazena, nikoli kde službu poskytuje: zákon č. 264/2025 Sb. se vztahuje na osoby usazené v Česku, i když mají zákazníky v zahraničí (§ 1 odst. 2; čl. 26 směrnice NIS 2). Bez ohledu na místo usazení se vztahuje i na každého, kdo v Česku zajišťuje sítě nebo poskytuje služby elektronických komunikací. Zvláštní pravidlo platí pro poskytovatele digitálních služeb uvedených v § 18 odst. 1 kromě služeb vytvářejících důvěru (například DNS, cloud, datová centra nebo řízené služby): u nich rozhoduje hlavní provozovna v EU, tedy stát, kde se převážně přijímají rozhodnutí o řízení kybernetických rizik (§ 54 odst. 5). Mají-li ji v jiném členském státě, plní v Česku jen povinnosti podle § 18 odst. 1 a NÚKIB je kontroluje jen na žádost tohoto státu (§ 18 odst. 3, § 54 odst. 3). Kdo z nich nemá hlavní provozovnu v EU ani zástupce v jiném členském státě, musí si ustanovit zástupce v Česku (§ 67). Podrobněji na stránce o sídle mimo EU.

Lze při posuzování, zda firma spadá pod zákon, pominout okrajovou (zanedbatelnou) činnost?

Obecné pravidlo o zanedbatelných činnostech český zákon nemá. Rozhoduje, zda poskytujete službu uvedenou ve vyhlášce č. 408/2025 Sb. a splňujete podmínky u ní uvedené. U některých služeb vyhláška sama stanoví podíl na obratu: provozování vodovodu nebo kanalizace pro veřejnou potřebu (body 10.1 a 10.2) a služby odpadového hospodářství (body 11.1 až 11.4) se počítají, jen pokud příjmy z nich tvořily alespoň 5 % obratu za poslední účetní období. U ostatních služeb takový práh není. Pokud je firma regulována, zabezpečuje jen aktiva související s regulovanou službou (stanovený rozsah, § 12 zákona), ne celou firmu. V případě pochybností své posouzení zdokumentujte, ověřte si ho kalkulačkou na Portálu NÚKIB a postupujte spíše opatrně.

Jsou obce a jejich organizace (například obchodní společnosti nebo příspěvkové organizace) dotčeny NIS 2?

Ne automaticky. Z veřejné správy reguluje vyhláška č. 408/2025 Sb., bod 1.1, jen vyjmenované úřady: ve vyšším režimu mimo jiné kraje a hlavní město Prahu, v nižším obce s rozšířenou působností a městské části Praha 1 až Praha 22. Ostatní obce na tomto základě regulovány nejsou a územní samosprávný celek se ani nepovažuje za podnik (§ 7 písm. b) zákona). Organizace obce se posuzuje podle své skutečné činnosti a velikosti jako každý jiný podnik: například provozování vodovodu nebo kanalizace (body 10.1 a 10.2) nebo nakládání s odpady (body 11.1 až 11.4), pokud tato služba tvoří alespoň 5 % jejího obratu a organizace je středním nebo velkým podnikem. Rozhoduje tedy konkrétní činnost, nikoli právní forma. U vodárenství a odpadového hospodářství pomohou testy, například obecní vodárenský podnik nebo provozovatel kanalizace.

Spadá moje firma pod zákon č. 264/2025 Sb.?

To závisí na třech otázkách. Zaprvé: poskytujete službu uvedenou ve vyhlášce č. 408/2025 Sb. v některém z 15 odvětví podle § 4 odst. 1 písm. a) zákona? Seznam se podobá přílohám I a II směrnice NIS 2, ale není shodný: přidává například obranný průmysl a u vody a odpadů podíl na obratu. Zadruhé: jste středním nebo velkým podnikem podle doporučení 2003/361/ES (zpravidla od 50 zaměstnanců, nebo při ročním obratu i bilanční sumě nad 10 milionů EUR) s odchylkami podle § 7, nebo splňujete zvláštní podmínku u služby? U telekomunikací, DNS a služeb vytvářejících důvěru například velikost nerozhoduje. Zatřetí: zvláštní případy podle § 5, například subjekty kritické infrastruktury nebo služby, jejichž narušení by mohlo závažně zasáhnout život více než 125 000 osob; ty registruje NÚKIB z moci úřední (§ 6 odst. 3). Nejde jen o sebezařazení: splňujete-li podmínky, službu ohlásíte (§ 6 odst. 1) a NÚKIB rozhodne o registraci (§ 6 odst. 2). Svůj režim pak vidíte na Portálu NÚKIB. Orientačně pomůže kalkulačka NÚKIB, kompletní test najdete na Kdo je dotčen.

Jak se pojmy základní a důležitý subjekt promítají do českých režimů povinností?

Směrnice NIS 2 zná dvě třídy: základní subjekty a důležité subjekty (čl. 3). Český zákon místo nich rozlišuje režim vyšších a režim nižších povinností (§ 8 odst. 1); zařazení jednotlivých služeb stanoví vyhláška č. 408/2025 Sb. Vyšší režim zpravidla odpovídá základním a nižší důležitým subjektům, ale s výjimkami: například výrobce elektřiny s výrobnou od 100 MW je ve vyšším režimu i jako střední podnik a sériová výroba osobních automobilů je ve vyšším režimu, ačkoli ji směrnice řadí mezi důležité subjekty. Rozdíl nespočívá jen v dozoru, ale i v povinnostech: vyšší režim zavádí 25 opatření podle vyhlášky č. 409/2025 Sb. a hlásí NÚKIB každý incident z kybernetického prostoru, u něhož nelze vyloučit úmyslné zavinění; nižší režim zavádí 13 opatření podle vyhlášky č. 410/2025 Sb. a hlásí Národnímu CERT jen incidenty s významným dopadem (§ 14 a 15 zákona). Liší se i horní hranice pokut (§ 59 odst. 4). Poskytovatelé digitálních služeb podle § 18 odst. 1 se ve vyšším režimu řídí pravidly prováděcího nařízení (EU) 2024/2690 pro základní subjekty, v nižším pro důležité (§ 18 odst. 4). Svůj režim vidíte na Portálu NÚKIB; v rozhodnutí o registraci uveden není.

Jak se posuzuje, zda je poskytovatel velkým podnikem, a tedy zpravidla v režimu vyšších povinností?

U většiny služeb v energetice, dopravě, digitální infrastruktuře, finančním trhu a zdravotnictví je velký podnik v režimu vyšších povinností a střední v nižším (například vyhláška č. 408/2025 Sb., body 2.4, 12.1, 16.8, 17.1 a 18.1). Velkým podnikem je podnik, který přesahuje hodnoty středního podniku podle doporučení 2003/361/ES: má 250 a více zaměstnanců, nebo roční obrat nad 50 milionů EUR a zároveň roční bilanční sumu nad 43 milionů EUR. Částky v eurech se přepočítávají kurzem ČNB k poslednímu dni před posuzovaným kalendářním rokem (vyhláška č. 408/2025 Sb., § 2 odst. 2). Do výpočtu se zahrnují propojené a partnerské podniky, s odchylkami podle § 7 zákona. Ve výrobním průmyslu, potravinářství, chemickém průmyslu a odpadovém hospodářství je poskytovatel zpravidla v nižším režimu i jako velký podnik; naopak některé služby jsou ve vyšším režimu bez ohledu na velikost. Rozhoduje vždy řádek vyhlášky pro vaši službu.

Na čem jsou založeny prahy pro počet zaměstnanců, roční obrat a roční bilanční sumu, které se používají ke klasifikaci kategorií podniků v čl. 2 odst. 1 směrnice NIS 2, zejména s ohledem na odkaz na článek 2 přílohy doporučení 2003/361/ES?

Směrnice NIS 2 velikostní kategorie sama nedefinuje, ale odkazuje na definici malých a středních podniků v článku 2 přílohy doporučení 2003/361/ES. Podle ní má střední podnik méně než 250 zaměstnanců a roční obrat nejvýše 50 milionů EUR nebo roční bilanční sumu nejvýše 43 milionů EUR; malý podnik má méně než 50 zaměstnanců a roční obrat nebo bilanční sumu nejvýše 10 milionů EUR. Český zákon na stejné doporučení odkazuje v § 4 odst. 1 písm. b): regulováni jsou zásadně střední a velcí poskytovatelé, tedy od 50 zaměstnanců nebo při obratu i bilanční sumě nad 10 milionů EUR. Při výpočtu platí pravidla doporučení o partnerských a propojených podnicích s odchylkami podle § 7 zákona: čl. 3 odst. 4 přílohy doporučení se neuplatní, za podnik se nepovažují organizační složky státu, územní samosprávné celky a Česká národní banka a za partnerský nebo propojený podnik se nepovažuje osoba, jejíž technická aktiva jsou zcela oddělena od aktiv použitých pro regulovanou službu. NÚKIB k počítání velikosti zveřejnil podpůrný materiál.

Vztahuje se počet zaměstnanců a výše obratu na jednotlivý (pobočkový) provoz, nebo případně na celou firmu?

Rozhoduje celý podnik, nikoli jednotlivá pobočka nebo provozovna. Počet zaměstnanců, obrat a bilanční suma se zjišťují za podnik jako celek, včetně partnerských a propojených podniků podle doporučení 2003/361/ES (§ 4 odst. 1 písm. b) zákona). Pobočku tedy nelze posuzovat samostatně, ale jako součást celku. Odchylka podle § 7 písm. c) se týká jen partnerských a propojených podniků, jejichž technická aktiva jsou zcela oddělena od aktiv používaných pro regulovanou službu, nikoli částí téže firmy. Pokud jste regulováni, zabezpečujete ale jen aktiva související s regulovanou službou (stanovený rozsah, § 12), ne celou firmu.

Musí být do výpočtu velikosti zahrnuty i propojené podniky, které nepůsobí v Česku nebo v EU?

Ano. Do výpočtu prahů se zahrnují partnerské a propojené podniky podle doporučení 2003/361/ES bez ohledu na to, zda sídlí v Česku, v jiném členském státě EU nebo mimo EU (§ 4 odst. 1 písm. b) zákona). Zaměstnanci, obrat a bilanční suma propojených firem se připočítávají v celosvětovém rozsahu, poměrně nebo v plné výši. Zeměpisná poloha mateřské nebo sesterské společnosti na tom nic nemění. Výjimkou je jen osoba, jejíž technická aktiva jsou zcela oddělena od aktiv, která používáte pro regulovanou službu (§ 7 písm. c)). Zda vaše firma skutečně podléhá českému dozoru, se posuzuje zvlášť podle usazení (§ 1 odst. 2; čl. 26 směrnice NIS 2).

Pokud mateřská a dceřiná firma se sdíleným IT mají být každá přiřazena k jednomu z pokrytých typů subjektů a (společně) splňují pravidlo velikostní hranice, jsou pak pokryty obě firmy, nebo postačí, pokud požadavky splňuje mateřská skupina?

Pokryty jsou obě. Povinnosti nese každá právnická osoba, která poskytuje regulovanou službu: splňují-li podmínky mateřská i dceřiná společnost, je každá poskytovatelem regulované služby s vlastními povinnostmi podle § 6 a § 11 až 17 zákona č. 264/2025 Sb. Společně využívané IT na tom nic nemění a dceřinou společnost nevyjímá; naopak brání tomu, aby se propojený podnik při výpočtu velikosti vynechal (§ 7 písm. c)). Podle FAQ NÚKIB mohou firmy sdílet politiky, části dokumentace, některá opatření, například zálohování, nebo i osobu odpovědnou za kybernetickou bezpečnost; za plnění povinností ale odpovídá každá sama. Ohlášení služby a plnění povinností proto zajistěte pro každou dotčenou firmu zvlášť.

Na koho se lze obrátit, pokud i po kalkulačce NÚKIB zůstávají otázky k dotčenosti v konkrétním případě?

NÚKIB zveřejňuje na Portálu NÚKIB kalkulačku, která ukáže, zda se vás nová regulace pravděpodobně týká a do jakého režimu byste spadali, a podpůrný materiál k počítání velikosti podniku. Výsledek kalkulačky ale není rozhodnutím. Pokud pochybnosti zůstávají, můžete se obrátit na NÚKIB, který poskytuje konzultace v oblasti kybernetické bezpečnosti (§ 42 odst. 5 písm. g) zákona), nebo na právníka či poradce specializovaného na NIS 2. Splňujete-li podmínky, službu ohlaste; o registraci pak rozhodne NÚKIB (§ 6 odst. 2) a proti rozhodnutí lze podat rozklad (§ 152 správního řádu), který ale nemá odkladný účinek (§ 6 odst. 4 zákona). Své posouzení a podkladová čísla srozumitelně zdokumentujte. Jak na to, ukazuje stránka o sebezařazení.

Rád bych požádal o výjimku z NIS 2. Je to možné?

Ne. Řízení na žádost, kterým by se poskytovatel nechal ze zákona vyjmout, neexistuje. Výjimky stanoví přímo zákon: nevztahuje se na systémy nakládající s utajovanými informacemi (§ 1 odst. 4), zpravodajské služby nejsou poskytovateli regulované služby (§ 69 odst. 1) a odvětvové předpisy EU se srovnatelným účinkem, například DORA, mají přednost u bezpečnostních opatření a hlášení incidentů (§ 70). Pokud služba podmínky pro registraci přestane splňovat, například už nedosahujete velikosti nebo službu neposkytujete, požádejte o zrušení registrace; NÚKIB rozhodne podle § 10. Pokud jste nic neohlásili, protože podmínky nesplňujete, zdokumentujte čisté posouzení, které to prokazuje.

Poskytovatelé regulovaných služeb musí mimo jiné hlásit své veřejné rozsahy IP adres. Jaké informace je zde třeba uvést?

Do 30 dnů od doručení rozhodnutí o registraci hlásíte kromě kontaktních údajů i doplňující údaje (§ 11 odst. 1 zákona), mimo jiné doménová jména a rozsahy IP adres, které jsou využívány k poskytování regulované služby (vyhláška č. 334/2025 Sb., § 3 odst. 4 písm. a)). Podle FAQ NÚKIB se hlásí veřejné IP adresy a rozsahy a domény, které výlučně využívá vaše organizace a které souvisejí s regulovanou službou, bez ohledu na to, kdo je vlastní, platí nebo provozuje, a to i rozsahy mimo Česko. Nehlásí se neveřejné (lokální) rozsahy jako 10.x.x.x, 172.16.x.x nebo 192.168.x.x ani adresy, které prodáváte, přeprodáváte nebo pronajímáte zákazníkům. U domén se hlásí nejvyšší řád přímo vázaný na organizaci (například nukib.gov.cz). Změny hlásíte do 14 dnů (§ 11 odst. 2). Postup a lhůty: Registrace.

Jak jsou definovány digitální služby?

Směrnice NIS 2 nezavádí jediný zastřešující pojem „digitální služba“, ale v článku 6 vymezuje tři konkrétní typy: on-line tržiště, internetový vyhledávač a platformu služeb sociálních sítí. V Česku jsou to regulované služby podle vyhlášky č. 408/2025 Sb., body 16.15 až 16.17: on-line tržiště podle zákona o ochraně spotřebitele, internetový vyhledávač podle nařízení (EU) 2019/1150 a platforma sociální sítě podle § 2 odst. 3 písm. f) zákona č. 264/2025 Sb. Jejich poskytovatel je v režimu nižších povinností, pokud je středním nebo velkým podnikem. Cloud computing, datová centra, CDN a obdobné služby jsou samostatné služby digitální infrastruktury (body 16.8 až 16.10), nikoli součást tohoto pojmu. Svůj případ ověřte v úplném testu.

Jaké strategie jsou nutné k tomu, aby se případně rozdílné právní požadavky na zavedení NIS 2, jaké existují v Česku a jinde v Evropě, integrovaly do jediného systému řízení bezpečnosti informací (ISMS) v souladu s právem a aby to bylo trvale zajištěno?

Postavte ISMS na společném základu EU: povinnosti podle článku 21 směrnice NIS 2 a u poskytovatelů digitálních služeb prováděcí nařízení (EU) 2024/2690 tvoří jádro. Na něj přidejte národní vrstvu každé země, v níž jste usazeni. V Česku je to zákon č. 264/2025 Sb. a vyhláška pro váš režim (č. 409/2025 Sb., nebo č. 410/2025 Sb.), které jdou v řadě bodů podrobněji než směrnice, například u smluvních ujednání s dodavateli, ročního přehledu bezpečnostních opatření nebo hlášení incidentů NÚKIB a Národnímu CERT. NÚKIB zveřejnil mapovací tabulky mezi prováděcím nařízením a oběma vyhláškami, které ukazují, kde se požadavky liší. V praxi to znamená jeden soubor opatření a důkazů a k tomu registr, který pro každou zemi zaznamenává odchylku a příslušný orgán. Kde jsou země různě přísné, splňte ve skupině nejvyšší úroveň. Společný rámec poskytují uznávané standardy jako ISO/IEC 27001 nebo německá metodika IT-Grundschutz (BSI); žádný z nich ale sám o sobě českou vyhlášku nenahrazuje.

Co znamená „stav techniky“? Existuje pro to definice?

Pevná právní definice neexistuje, a to záměrně: stav techniky popisuje, co se v praxi aktuálně osvědčuje jako účinné bezpečnostní opatření, a v čase se vyvíjí. Čl. 21 odst. 1 směrnice NIS 2 vyžaduje opatření přijímat s ohledem na nejnovější technický vývoj, případně na příslušné evropské a mezinárodní normy a na náklady na provádění. Český zákon tento pojem nepoužívá: opatření stanoví vyhláška pro váš režim a zavádějí se v míře nezbytné pro zajištění kybernetické bezpečnosti regulované služby (§ 13 odst. 2 zákona), přiměřeně bezpečnostním potřebám (vyhláška č. 410/2025 Sb., § 3 odst. 1 písm. a)). Ve vyšším režimu audit posuzuje soulad opatření i s nejlepší praxí (vyhláška č. 409/2025 Sb., § 16 odst. 2 písm. b)). Měřítkem jsou tedy uznávané standardy jako ISO/IEC 27001, německý IT-Grundschutz (BSI), pokyny ENISA a doporučení NÚKIB, ne to, co je na trhu nejnovější. Orientujte se podle aktuálních standardů a zdokumentujte, proč vaše volba odpovídá riziku.

Otázky ke klasifikaci skupinových firem a IT služeb, které poskytují, v souvislosti s klasifikací jako poskytovatel řízených služeb (MSP)

Řízenou službou je podle § 2 odst. 3 písm. g) zákona služba související s instalací, správou, provozem nebo údržbou technických aktiv, a to prostřednictvím asistence nebo aktivní správy, v prostorách zákazníka nebo na dálku (obdobně čl. 6 bod 39 směrnice NIS 2). Regulovanou službou je podle vyhlášky č. 408/2025 Sb., bod 16.13, jen tehdy, je-li poskytována zákazníkům, kteří nejsou spotřebiteli, a poskytovatel je středním (nižší režim) nebo velkým podnikem (vyšší režim). Rozhoduje skutečná činnost, nikoli příslušnost ke skupině: centrální IT firma, která aktivně spravuje systémy sesterských firem, tak může být sama poskytovatelem řízené služby. Výjimku pro služby uvnitř skupiny zákon ani vyhláška neobsahují; v hraničním případě se obraťte na NÚKIB. Holding, který jen řídí podnikání a cizí technická aktiva nespravuje, poskytovatelem řízené služby není. Pro každou firmu ve skupině zvlášť zjistěte, kdo které služby skutečně provozuje: Jsem MSP?.

Zůstávají firmy, které byly regulovány podle dosavadního zákona č. 181/2014 Sb. a mají sídlo v zahraničí, regulovány i podle nového zákona?

Rozhoduje, zda jsou usazeny v Česku. Zákon č. 264/2025 Sb. se vztahuje na osoby usazené v Česku a bez ohledu na usazení na každého, kdo zde zajišťuje sítě nebo poskytuje služby elektronických komunikací (§ 1 odst. 2). Česká dceřiná společnost zahraniční skupiny je usazena v Česku a plní povinnosti sama. U české pobočky (odštěpného závodu) dopadají povinnosti podle metodiky NÚKIB přímo na zahraniční společnost, jejíž je pobočka součástí. Kdo byl regulován podle zákona č. 181/2014 Sb. a jeho služba splňuje podmínky nového zákona, plní do uplynutí nových lhůt alespoň dosavadní povinnosti (§ 71 odst. 1). Subjekt kritické infrastruktury je vždy v režimu vyšších povinností (§ 5 písm. d), § 8 odst. 3). Pro poskytovatele digitálních služeb podle § 18 odst. 1 kromě služeb vytvářejících důvěru platí zvláštní pravidlo hlavní provozovny (§ 18 odst. 3, § 54 odst. 5). Více k sídlu na sídlo mimo EU.

Provozuji soukromě DNS server. Musím službu ohlásit na Portálu NÚKIB a hlásit incidenty?

Ne. Poskytování služby systému překladu doménových jmen je regulovanou službou podle vyhlášky č. 408/2025 Sb., bod 16.4, jen tehdy, když poskytovatel aktivně poskytuje veřejně dostupné služby rekurzivního překladu koncovým uživatelům internetu, nebo poskytuje autoritativní překlad pro třetí strany pro více než 10 000 domén druhého řádu. Pak je v režimu vyšších povinností bez ohledu na velikost. Soukromě provozovaný DNS server pro vlastní potřebu tyto podmínky nesplňuje, takže nic neohlašujete a incidenty nehlásíte. Pokud z toho uděláte službu pro třetí strany a podmínky splníte, ohlaste ji do 60 dnů (§ 6 odst. 1 zákona).

Je firma, která v zásadě podléhá NIS 2, ale v krátké době zaniká v likvidaci a již nevykonává žádnou významnou podnikatelskou činnost, stále poskytovatelem regulované služby?

Dokud firma právně existuje a regulovanou službu stále poskytuje, zůstává jejím poskytovatelem, i v likvidaci. Regulovanou službou je služba, o jejíž registraci rozhodl NÚKIB (§ 3 zákona), a povinnosti trvají, dokud registrace trvá. Jakmile služba podmínky pro registraci nesplňuje, například protože jste ji trvale ukončili, požádejte přes Portál NÚKIB o zrušení registrace; NÚKIB o něm rozhodne, a to i z moci úřední (§ 10 odst. 1 a 2). Pouze oznámený, ale dosud neprovedený konec provozu nestačí. Dokud systémy služby běží, platí stanovený rozsah, bezpečnostní opatření i hlášení incidentů.

Mají se samostatně nabízené služby SaaS považovat za službu cloud computingu ve smyslu zákona, pokud běží na infrastruktuře externích poskytovatelů cloudu a poskytovatel SaaS výpočetní prostředky sám neprovozuje?

Rozhoduje definice v § 2 odst. 3 písm. c) zákona (obdobně čl. 6 bod 30 směrnice NIS 2): služba cloud computingu je služba informační společnosti, „která umožňuje samoobslužnou správu a široký vzdálený přístup k rozšiřitelnému a pružnému seskupení sdílitelných výpočetních zdrojů, včetně těch, které jsou rozmístěny na více místech“. Záleží na tom, co nabízíte navenek, nikoli na tom, zda vám patří hardware. Nabídka SaaS může tyto znaky splnit, i když běží na cizí infrastruktuře. Je-li to naopak jasně vymezená specializovaná aplikace bez těchto znaků, službou cloud computingu není. Pokud jí je (vyhláška č. 408/2025 Sb., bod 16.8), je poskytovatel ve vyšším režimu jako velký podnik a v nižším jako střední. Znaky ověřte na Jsem poskytovatel cloudu?.

Je rozlišení mezi obchodní a provozní odpovědností, které je rozhodující pro MSP, přenositelné i na další služby v odvětví digitální infrastruktury (nebo v dalších odvětvích zákona)?

Rozlišení mezi obchodní a provozní odpovědností je užitečná pomůcka, nenahrazuje ale zákonnou definici. Pro každý typ služby platí nejprve definice v § 2 odst. 3 zákona a popis služby ve vyhlášce č. 408/2025 Sb., například u služby cloud computingu, služby datového centra nebo služby systému překladu doménových jmen. U mnoha těchto služeb je poskytovatelem ten, kdo službu skutečně poskytuje a provozuje. U služeb vymezených odkazem na jiný zákon, například v energetice, je poskytovatelem držitel licence podle energetického zákona (body 2.1 až 2.4). Pouhá smluvní odpovědnost bez vlastního provozu roli poskytovatele zpravidla nezakládá. Kritérium proto uplatňujte podle typu služby a jeho definice, ne jako paušální pravidlo.

Spadám pod definici poskytovatele služby vytvářející důvěru?

Poskytovatelé služeb vytvářejících důvěru jsou vymezeni v nařízení eIDAS (EU) č. 910/2014: poskytují elektronické služby vytvářející důvěru, jako jsou elektronické podpisy a pečetě, časová razítka, služby elektronického doporučeného doručování nebo certifikáty pro autentizaci internetových stránek. Pokud takovou službu poskytujete, jde o regulovanou službu podle vyhlášky č. 408/2025 Sb., bod 16.12, a to bez ohledu na velikost: kvalifikovaný poskytovatel je vždy v režimu vyšších povinností, nekvalifikovaný ve vyšším jako velký podnik a jinak v nižším. Oznámení o incidentu s významným dopadem podávají poskytovatelé těchto služeb do 24 hodin místo 72 (§ 16 odst. 3 písm. a) zákona). Kdo podpisy nebo certifikáty jen interně používá, aniž by je nabízel jako službu, poskytovatelem není. Podrobně: Jsem poskytovatel služby vytvářející důvěru?.

Spadá v odvětví „výroba, zpracování a obchod s chemickými látkami“ s ohledem na „obchod s chemickými látkami“ do působnosti jakýkoli obchod s konečnými výrobky tvořenými chemickými látkami?

Ne, ne každý obchod s výrobky obsahujícími chemikálie. Vyhláška č. 408/2025 Sb. v chemickém průmyslu reguluje výrobu chemických látek podléhajících registraci podle nařízení REACH (ES) č. 1907/2006 (bod 9.1), jejich uvádění na trh distributorem (bod 9.2) a výrobu předmětů podléhajících registraci nebo oznámení podle REACH (bod 9.3), vždy u středního nebo velkého podniku v režimu nižších povinností. Míní se tedy látky jako takové, nikoli každý konečný výrobek, který byl kdysi z chemikálií vyroben. Kdo obchoduje s hotovými výrobky (například s nábytkem nebo elektronikou), chemické látky ve smyslu bodu 9.2 na trh neuvádí. Zvláštním případem je objekt podle zákona o prevenci závažných havárií (bod 9.4): provozovatel objektu skupiny B je ve vyšším režimu.

Jak určím kód NACE své firmy?

Kód CZ-NACE určíte podle své hlavní ekonomické činnosti, tedy činnosti, z níž plyne největší podíl přidané hodnoty nebo obratu. Klasifikaci CZ-NACE vydává Český statistický úřad (aktuálně sdělení č. 400/2024 Sb.); kódy, které o vás úřady vedou, najdete orientačně ve veřejných rejstřících, například v ARES. Pokud vykonáváte více činností, přiřaďte každou do příslušné třídy a každou posuďte zvlášť. V českém předpisu má kód CZ-NACE přímý význam ve výrobním průmyslu: vyhláška č. 408/2025 Sb. vymezuje služby v bodech 7.1 až 7.5 jako výrobu ve smyslu oddílů 26 až 30 klasifikace CZ-NACE. Rozhoduje ale to, co skutečně děláte, nikoli samotný evidovaný kód.

Jakou roli hrají kódy NACE při určování, zda subjekt spadá do působnosti?

Kódy NACE jsou orientační pomůcka. Zda spadáte pod zákon, určuje seznam služeb a podmínek ve vyhlášce č. 408/2025 Sb., nikoli samotný kód. Většina služeb je tam vymezena odkazem na jiný předpis, například licencí podle energetického zákona nebo provozováním vodovodu podle zákona o vodovodech a kanalizacích. Výjimkou je výrobní průmysl: body 7.1 až 7.5 vymezují službu přímo jako výrobu ve smyslu oddílů 26 až 30 klasifikace CZ-NACE. I tam ale rozhoduje skutečná činnost, nikoli kód zapsaný v rejstříku. Stává se, že kód zhruba sedí, ale činnost pod definici nespadá, a naopak. Kompletní test najdete na Kdo je dotčen; orientačně pomůže i kalkulačka na Portálu NÚKIB.

Musí firmy zřídit krizový tým pro řešení incidentů?

Ne, formální krizový tým zákon ani vyhlášky nevyžadují. Zákon požaduje řízení kontinuity činností a zvládání incidentů (§ 14 odst. 1 písm. a) body 12 a 13 pro vyšší režim, § 14 odst. 2 písm. f) a j) pro nižší režim; obdobně čl. 21 odst. 2 písm. c) směrnice NIS 2), ale neurčuje, jak to uspořádáte. Záleží na tom, aby byly stanoveny a vyzkoušeny odpovědnosti, dosažitelnost a postupy pro mimořádnou situaci. Ve vyšším režimu musí vrcholné vedení zajistit testování plánů kontinuity činností, plánů obnovy a procesů zvládání incidentů (vyhláška č. 409/2025 Sb., § 4 odst. 1 písm. i)). V malé firmě může stačit krátký soubor pokynů, ve větší organizaci určený tým. Měřítkem je míra nezbytná pro kybernetickou bezpečnost služby (§ 13 odst. 2 zákona).

Vztahuje se analýza rizik požadovaná zákonem o kybernetické bezpečnosti na celou firmu, nebo konkrétně na kybernetické hrozby a jejich dopad na systémy IT?

Na rizika pro aktiva ve stanoveném rozsahu, nikoli na obecnou podnikovou analýzu rizik. Stanovený rozsah tvoří aktiva související s poskytováním regulované služby: primární aktiva (zpracovávané informace a poskytované služby) a k nim podpůrná aktiva, například zaměstnanci, dodavatelé, technická aktiva a budovy (§ 12 a § 2 odst. 1 zákona). Řízení rizik je bezpečnostním opatřením v obou režimech (§ 14 odst. 1 písm. a) bod 6 a odst. 2 písm. d)); ve vyšším režimu podrobně podle § 8 a přílohy č. 4 vyhlášky č. 409/2025 Sb. Míní se hrozby pro důvěrnost, integritu a dostupnost informací a dat (§ 2 odst. 2 písm. b)). Rozsah si můžete rozšířit na celou firmu, povinné to ale není.

Moje firma je poskytovatelem regulované služby v režimu vyšších, nebo nižších povinností. Které povinnosti musí plnit?

Hlavní povinnosti jsou v obou režimech stejné, liší se jejich rozsah. Zaprvé ohlášení služby do 60 dnů od splnění podmínek (§ 6 odst. 1) a po doručení rozhodnutí o registraci hlášení kontaktních a doplňujících údajů do 30 dnů (§ 11). Zadruhé stanovení rozsahu řízení kybernetické bezpečnosti (§ 12). Zatřetí zavádění bezpečnostních opatření podle § 13 a 14: ve vyšším režimu 14 organizačních a 11 technických opatření podle vyhlášky č. 409/2025 Sb., v nižším 13 opatření podle vyhlášky č. 410/2025 Sb. Začtvrté hlášení incidentů (§ 15 a 16): vyšší režim hlásí NÚKIB každý incident ve stanoveném rozsahu, který má původ v kybernetickém prostoru a u něhož nelze vyloučit úmyslné zavinění; nižší režim hlásí Národnímu CERT jen incidenty s významným dopadem. Prvotní hlášení podáváte do 24 hodin, u významných případů následuje oznámení do 72 hodin a závěrečná zpráva do 30 dnů od oznámení. Zapáté provádění protiopatření NÚKIB (§ 20 až 23) a informování uživatelů o významné hrozbě (§ 19 odst. 2). Poskytovatelé digitálních služeb podle § 18 odst. 1 zavádějí opatření podle prováděcího nařízení (EU) 2024/2690 a hlásí incidenty s významným dopadem (§ 18 odst. 2); poskytovatel služby vytvářející důvěru hlásí podle § 15. Opatření a hlášení incidentů musíte začít plnit nejpozději do 1 roku ode dne doručení rozhodnutí o registraci (§ 13 odst. 4, § 15 odst. 4). Svůj režim vidíte na Portálu NÚKIB. Kompletní test najdete na Kdo je dotčen.

Od kdy platí povinnosti podle zákona č. 264/2025 Sb.?

Zákon je účinný od 1. listopadu 2025, jednotlivé povinnosti ale běží od různých okamžiků. Službu ohlašujete do 60 dnů ode dne, kdy splníte podmínky pro registraci (§ 6 odst. 1). Kontaktní a doplňující údaje hlásíte do 30 dnů ode dne doručení rozhodnutí o registraci (§ 11 odst. 1). Bezpečnostní opatření a hlášení incidentů musíte začít plnit nejpozději do 1 roku ode dne doručení rozhodnutí o registraci (§ 13 odst. 4, § 15 odst. 4). Stanovený rozsah (§ 12) vlastní lhůtu nemá: dokud aktiva neposoudíte, platí, že do rozsahu patří (§ 12 odst. 4). Kdo byl regulován už podle zákona č. 181/2014 Sb., plní do uplynutí nových lhůt alespoň dosavadní povinnosti a incidenty hlásí novým způsobem už od doručení rozhodnutí (§ 71 odst. 1). Více: Registrace.

Bude existovat přechodné období?

Svým způsobem ano. Bezpečnostní opatření a hlášení incidentů musíte začít plnit nejpozději do 1 roku ode dne doručení rozhodnutí o registraci (§ 13 odst. 4, § 15 odst. 4 zákona). Rozhoduje datum doručení vašeho rozhodnutí, nikoli jednotné datum pro všechny. NÚKIB ve svém FAQ uvádí, že zákon a vyhlášky nepředpokládají zavedení všech opatření v této lhůtě: odůvodněný posun není při kontrole problém, pokud je zaznamenán v plánu zvládání rizik (vyšší režim) nebo v přehledu bezpečnostních opatření (nižší režim). Bez přechodného období jsou ohlášení služby (§ 6 odst. 1) a hlášení údajů (§ 11). Při přechodu z nižšího do vyššího režimu běží lhůty znovu (§ 9 odst. 2). Kdo byl regulován podle zákona č. 181/2014 Sb., plní mezitím dosavadní povinnosti (§ 71 odst. 1).

Jaké požadavky jsou kladeny na dosažitelnost poskytovatelů regulovaných služeb?

Do 30 dnů od doručení rozhodnutí o registraci hlásíte NÚKIB kontaktní údaje, tedy údaje osob oprávněných za vás jednat ve věcech zákona včetně funkce, telefonu a e-mailu, a jejich změny do 14 dnů (§ 11 zákona; vyhláška č. 334/2025 Sb., § 3 odst. 3). Údaje vedené v základních registrech, například o statutárním orgánu, se aktualizují samy. Na Portálu NÚKIB se rozlišuje zástupce organizace, kterého pověřuje statutární orgán a který může ohlašovat služby i hlásit incidenty, a kontaktní osoba ke konkrétní službě, která slouží ke komunikaci při zjištěném problému, zranitelnosti nebo hrozbě, za organizaci ale jednat nemůže. Zákon pro tyto osoby nepředepisuje žádnou kvalifikaci. Záleží na tom, aby byly skutečně dosažitelné a aby šlo prvotní hlášení podat do 24 hodin od zjištění incidentu (§ 16 odst. 1); NÚKIB nebo Národní CERT vám do 24 hodin od prvotního hlášení pošle své vyjádření (§ 17 odst. 1). Pro zastupitelnost je vhodné pověřit alespoň dva zástupce.

Naše IT jsme plně svěřili externím poskytovatelům. Které povinnosti pak jako poskytovatel regulované služby vůbec ještě musíme plnit?

Provoz lze svěřit dodavateli, odpovědnost ne. Povinnosti podle zákona č. 264/2025 Sb. má poskytovatel regulované služby, tedy vy. Pokud opatření zavádíte nebo provádíte prostřednictvím dodavatele, musíte ho vybírat v souladu s požadavky bezpečnostních opatření a tyto požadavky zahrnout do smluv (§ 13 odst. 5). V nižším režimu obsahují smlouvy s dodavateli do stanoveného rozsahu relevantní ujednání z přílohy č. 2 vyhlášky č. 410/2025 Sb. (§ 3 odst. 5), ve vyšším režimu smlouvy s významnými dodavateli relevantní ustanovení z přílohy č. 5 vyhlášky č. 409/2025 Sb. (§ 9 odst. 1). Ohlášení služby, hlášení údajů, hlášení incidentů a povinnosti vrcholného vedení (vyhláška č. 410/2025 Sb., § 4, nebo vyhláška č. 409/2025 Sb., § 4) zůstávají u vás. Smluvně si zajistěte, aby vám dodavatel incidenty hlásil včas. Více na Jsem zákazník MSP.

Od kdy se fotovoltaická elektrárna na střeše firmy počítá jako kritická infrastruktura nebo regulovaná služba?

Střešní elektrárna pro vlastní spotřebu zpravidla není ani jedno. Výroba elektřiny je regulovanou službou podle vyhlášky č. 408/2025 Sb., bod 2.1, jen u držitele licence na výrobu elektřiny a s výjimkou výroben z obnovitelných zdrojů o celkovém instalovaném elektrickém výkonu do 1 MW. Držitel licence je v nižším režimu jako střední podnik a ve vyšším jako velký podnik nebo při výrobně s instalovaným výkonem nejméně 100 MW. Subjektem kritické infrastruktury je jen ten, koho za něj označí předpis o krizovém řízení a kritické infrastruktuře; regulovanou službou je pak služba odpovídající prvku kritické infrastruktury, který byl u něj určen (§ 5 písm. d) zákona), a takový poskytovatel je vždy v režimu vyšších povinností (§ 8 odst. 3). Typická střešní elektrárna leží o řády níže.

Musí firmy prokazovat soulad s požadavky?

Ano, provedení opatření musíte umět doložit; forma se liší podle režimu. V nižším režimu vedete přehled bezpečnostních opatření podle přílohy č. 1 vyhlášky č. 410/2025 Sb.: co je zavedeno, co a kdy zavedete a co nezavedete a proč. Alespoň jednou ročně ho aktualizujete včetně vyhodnocení účinnosti a uchováváte nejméně 4 roky (§ 3 odst. 2). Ve vyšším režimu vedete dokumentaci systému řízení bezpečnosti informací a provádíte audit kybernetické bezpečnosti alespoň jednou za 2 roky (vyhláška č. 409/2025 Sb., § 16 odst. 4). Pravidelná certifikace povinná není a NÚKIB nic pravidelně nepředkládáte. NÚKIB ale může plnění povinností kontrolovat (§ 55 zákona; kontrolní řád, zákon č. 255/2012 Sb.) a uložit nápravná opatření (§ 56). Dokumentaci proto veďte tak, abyste ji mohli kdykoli předložit.

Jsem v režimu vyšších povinností. Kdy musím provést audit kybernetické bezpečnosti?

Pravidelné předkládání důkazů úřadu český zákon nezná. Ve vyšším režimu ale provádíte audit kybernetické bezpečnosti: při významných změnách v jejich rozsahu, pravidelně alespoň jednou za 2 roky a podle plánu auditu (vyhláška č. 409/2025 Sb., § 16 odst. 4). Není-li to v odůvodněných případech možné v celém rozsahu, lze audit provádět průběžně po systematických celcích tak, aby byl celý rozsah pokryt alespoň jednou za 5 let (§ 16 odst. 5). Audit provádí auditor kybernetické bezpečnosti s alespoň 3 lety praxe, který zaručuje nestrannost a nezastává jinou bezpečnostní roli (§ 5 odst. 4, § 16 odst. 6). S výsledky auditů se vrcholné vedení prokazatelně seznamuje (§ 4 odst. 2 písm. e)). Lhůta pro zahájení plnění opatření je nejpozději 1 rok od doručení rozhodnutí o registraci (§ 13 odst. 4 zákona). V nižším režimu audit povinný není; místo něj alespoň jednou ročně aktualizujete přehled bezpečnostních opatření.

Jak mohu prokázat, že moje firma zavádí požadovaná opatření?

Důkazy poskytujete vlastní dokumentací: stanovený rozsah a evidence aktiv (§ 12 zákona), bezpečnostní politika a dokumentace, přijatá technická a organizační opatření a doklady, že fungují (konfigurace, záznamy o školeních, výsledky testů). V nižším režimu je jádrem přehled bezpečnostních opatření podle přílohy č. 1 vyhlášky č. 410/2025 Sb. (§ 3 odst. 2). Ve vyšším režimu je to dokumentace systému řízení bezpečnosti informací, mimo jiné zpráva o hodnocení rizik, prohlášení o aplikovatelnosti, plán zvládání rizik a výsledky auditů (vyhláška č. 409/2025 Sb., § 8 a § 16). Certifikát od externího orgánu může dokumentaci podpořit, nenahrazuje ji: NÚKIB podle svého FAQ kontroluje plnění vyhlášky bez ohledu na certifikace. Důkazy předkládáte NÚKIB při kontrole (§ 55 zákona); pravidelná povinnost předkládání neexistuje.

Je pro poskytovatele regulovaných služeb povinná konkrétní metodika, například ISO 27001 nebo německý IT-Grundschutz?

Ne. Zákon č. 264/2025 Sb. a vyhlášky č. 409/2025 Sb. a č. 410/2025 Sb. stanoví, která opatření musíte zavést, ale nepředepisují konkrétní standard ani certifikaci. Vyhláška pro vyšší režim podle NÚKIB v zásadě vychází z norem řady ISO 27000. Německý IT-Grundschutz (metodika úřadu BSI) můžete použít jako pracovní metodu; v Česku ale nezakládá domněnku splnění, takové pravidlo český zákon nemá. V nižším režimu vyhláška nepředepisuje stupnici hodnocení aktiv ani metodu hodnocení rizik. Ve vyšším režimu můžete použít jiný počet úrovní hodnocení aktiv, dodržíte-li jednoznačné vazby na úrovně vyhlášky (příloha č. 1 vyhlášky č. 409/2025 Sb.), a jiný způsob hodnocení rizik, zajistí-li stejnou nebo vyšší úroveň a odpovídá-li odstavci 5 přílohy č. 4 (§ 8 odst. 3). Rozhoduje, aby opatření požadovaná vyhláškou pro váš režim byla skutečně zavedena a zdokumentována.

Postačí ke splnění českého zákona certifikace podle ISO 27001, IT-Grundschutz nebo VdS 10000?

Sama o sobě ne. Žádný certifikát, ani ISO 27001, německý IT-Grundschutz (BSI) nebo VdS 10000 (německý standard pro menší firmy), není paušálním důkazem souladu s vyhláškou č. 409/2025 Sb. nebo č. 410/2025 Sb. NÚKIB ve svém FAQ uvádí, že certifikát nemůže být jediným podkladem kontroly a že plnění vyhlášky kontroluje bez ohledu na certifikace. Rozhoduje, zda vaše opatření pokrývají požadavky vyhlášky pro váš režim úplně a přiměřeně riziku. Certifikát proto použijte jako jeden stavební kámen a porovnejte ho s vyhláškou bod po bodu. Mezery bývají například ve smlouvách s dodavateli (příloha č. 2 vyhlášky č. 410/2025 Sb., příloha č. 5 vyhlášky č. 409/2025 Sb.), v hlášení incidentů NÚKIB nebo Národnímu CERT a v povinnostech vrcholného vedení.

Pokud certifikace ISO 27001 ke splnění českého zákona nestačí, jak mohu zákazníky ujistit, že je moje firma v souladu s NIS 2? Musím kvůli tomu zveřejnit celý ISMS?

Ne, celý ISMS zveřejňovat nemusíte. Vůči zákazníkům se soulad s článkem 21 směrnice NIS 2 a se zákonem č. 264/2025 Sb. obvykle dokládá cílenými podklady: certifikátem ISO 27001 s odpovídajícím prohlášením o aplikovatelnosti, vlastním prohlášením o plnění požadavků, vyplněnými dodavatelskými dotazníky nebo shrnutími auditů. Záleží na tom, aby podklady odrážely opatření relevantní pro daný obchodní vztah, nikoli celý interní soubor pravidel. Zákazníci, kteří sami poskytují regulovanou službu, po vás budou chtít smluvní ujednání podle vyhlášky pro jejich režim (§ 13 odst. 5 zákona). Vůči NÚKIB předkládáte podklady jen při kontrole (§ 55 zákona); vůči zákazníkům platí, co si smluvně dohodnete.

Existují povinné certifikační požadavky pro poradenství firmám v souvislosti s NIS 2 a jak je to s audity, které mají plnění doložit?

Pro samotné poradenství zákon č. 264/2025 Sb. ani směrnice NIS 2 žádnou certifikaci nepředepisují: radit může kdokoli a akreditace poradců zákonem vyžadována není. Jiné je to u auditu kybernetické bezpečnosti v režimu vyšších povinností. Provádí ho auditor kybernetické bezpečnosti, který je pro tuto činnost vyškolen, prokáže alespoň 3 roky praxe s audity kybernetické bezpečnosti nebo systému řízení bezpečnosti informací, zaručuje nestrannost a nezastává jinou bezpečnostní roli (vyhláška č. 409/2025 Sb., § 5 odst. 4, § 16 odst. 6). Obdobné požadavky na praxi platí pro manažera a architekta kybernetické bezpečnosti (§ 5 odst. 1 a 2). V nižším režimu povinný audit není; osoba pověřená kybernetickou bezpečností absolvuje odborné školení nebo prokáže odbornou znalost (vyhláška č. 410/2025 Sb., § 4 písm. a)). Kvalifikaci tedy sledujte tam, kde ji vyhláška vyžaduje, ne už u pouhého poradenství.

Lze požadavek na bezpečnost dodavatelského řetězce splnit tím, že od přímých dodavatelů nebo poskytovatelů služeb vyžadujete certifikáty (ISO 27001, TISAX atd.)?

Ne, certifikát sám o sobě nestačí. Pokud opatření zavádíte prostřednictvím dodavatele, musíte ho vybírat podle požadavků bezpečnostních opatření a tyto požadavky zahrnout do smlouvy (§ 13 odst. 5 zákona č. 264/2025 Sb.; obdobně čl. 21 odst. 2 písm. d) směrnice NIS 2). V nižším režimu při uzavírání smlouvy s dodavatelem do stanoveného rozsahu zohledníte hrozby a zranitelnosti spojené s dodavatelem a kvalitu jeho produktů a postupů a zajistíte, aby smlouva obsahovala relevantní ujednání z přílohy č. 2 (vyhláška č. 410/2025 Sb., § 3 odst. 5). Ve vyšším režimu řídíte rizika dodavatelů, evidujete významné dodavatele a písemně je o tom informujete, do smluv s nimi zahrnete relevantní ustanovení z přílohy č. 5 a jejich plnění pravidelně přezkoumáváte (vyhláška č. 409/2025 Sb., § 9). Certifikát ISO 27001 nebo TISAX je užitečný podklad pro posouzení, nenahrazuje ale vaše vlastní hodnocení ani smluvní ujednání, protože často pokrývá jen část dodavatele. Ověřte proto, co přesně je certifikováno, a zdokumentujte, proč to pro odebíranou službu stačí.

Co doporučujete poskytovatelům regulovaných služeb požadovat od výrobců softwaru a poskytovatelů služeb?

Stanovte konkrétní, ověřitelné bezpečnostní požadavky a zapište je do smluv, místo abyste spoléhali na obecná ujištění. Výchozí seznam dává přímo vyhláška: příloha č. 2 vyhlášky č. 410/2025 Sb. pro nižší režim a příloha č. 5 vyhlášky č. 409/2025 Sb. pro významné dodavatele ve vyšším režimu. Rozumné body jsou: ověřitelné údaje výrobce o bezpečnosti produktu (strategie záplatování, řešení zranitelností, doba podpory), povinnost dodavatele hlásit vám bezpečnostní incidenty tak rychle, abyste stihli vlastní prvotní hlášení do 24 hodin (§ 16 odst. 1 zákona), a vyplněný standardizovaný dodavatelský dotazník. U silně propojených dodavatelů, jako jsou poskytovatelé řízených služeb, platí další požadavky (viz Jsem MSP?).

Jak a kdy se ohlašuje regulovaná služba na Portálu NÚKIB a jak funguje hlášení incidentů?

Službu ohlašujete nejpozději do 60 dnů ode dne, kdy splníte podmínky pro registraci (§ 6 odst. 1 zákona č. 264/2025 Sb.), a to výlučně elektronicky formulářem na Portálu NÚKIB; jinak provedený úkon je neúčinný (§ 45 odst. 2). Do formulářů v sekci Chci vyřídit se přihlašuje statutární orgán nebo jím pověřený zástupce přes Národní identitní autoritu (NIA), například BankID nebo eObčankou. NÚKIB pak rozhodne o registraci (§ 6 odst. 2) a do 30 dnů od doručení rozhodnutí hlásíte kontaktní a doplňující údaje (§ 11). Incidenty hlásíte rovněž přes Portál NÚKIB (§ 16 odst. 4): prvotní hlášení do 24 hodin od zjištění, u incidentů s významným dopadem oznámení do 72 hodin a závěrečnou zprávu do 30 dnů od oznámení (§ 16 odst. 1 a 3). Vyšší režim hlásí NÚKIB, nižší režim Národnímu CERT (§ 15). Nelze-li Portál použít, posíláte hlášení e-mailem nebo do datové schránky (§ 16 odst. 4). Postup krok za krokem: Registrace.

Co dělá NÚKIB pro firmy, které službu dosud neohlásily?

NÚKIB zveřejňuje na Portálu NÚKIB kalkulačku, FAQ, podpůrné materiály a návody (například Jak ohlásit regulovanou službu), aby firmy mohly samy posoudit a splnit povinnost ohlášení (§ 6 odst. 1 zákona). K posouzení si může vyžádat informace od každého, u koho lze důvodně předpokládat splnění podmínek (§ 64 odst. 2), a údaje ze správy daní od Generálního finančního ředitelství (§ 64 odst. 4). Neohlášení služby je přestupkem (§ 60 odst. 1 písm. a)) s pokutou do 250 mil. Kč nebo 2 % čistého celosvětového ročního obratu (§ 60 odst. 7 písm. a)). Pokud jste ohlášení zmeškali, podejte ho co nejdříve; lhůty pro opatření a hlášení incidentů běží až od doručení rozhodnutí o registraci. Zda jste vůbec dotčeni, si nejprve ověřte podle služby a velikosti: Kdo je dotčen.

Musí firma hlásit kritické komponenty nebo své dodavatele?

Povinnost registrovat kritické komponenty, jak ji zná Německo, český zákon nemá. Nejbližší je prověřování dodavatelů strategicky významných služeb (§ 25 až 33 zákona): poskytovatel strategicky významné služby zjišťuje a eviduje informace o dodavatelích bezpečnostně významných dodávek a hlásí je NÚKIB do 10 dnů od jejich zjištění (§ 31 odst. 1), poprvé nejpozději do 1 roku ode dne, kdy se jeho služba stala strategicky významnou (§ 31 odst. 2). Které služby jsou strategicky významné, stanoví nařízení vlády (§ 25), které podle NÚKIB zatím schváleno nebylo. Týká se to jen malého okruhu poskytovatelů ve vyšším režimu. Pro ostatní firmy platí běžné povinnosti k dodavatelům podle § 13 odst. 5 a vyhlášky pro jejich režim.

Lze službu ohlásit na Portálu NÚKIB i za firmu, jejíž statutární orgán nemá českou elektronickou identitu?

Ano. Do formulářů na Portálu NÚKIB se lze přihlásit jen přes Národní identitní autoritu (NIA). Statutární orgán, který se přes Identitu občana přihlásit nemůže, typicky cizinec, pověří zástupce prostřednictvím datové schránky; zástupce pak po přihlášení přes NIA činí za organizaci všechny úkony, včetně ohlášení služby a hlášení incidentů. Zástupce bez českého dokladu totožnosti se přes NIA přihlásí volbou IIG (International ID Gateway), tedy elektronickou identitou své země. Zahraniční společnost, která není v českých základních registrech (například s českou pobočkou), podává podle metodiky NÚKIB přes zástupce s plnou mocí. Pokud nemáte hlavní provozovnu v EU ani zástupce v jiném členském státě a poskytujete v Česku některou z digitálních služeb podle § 67 odst. 1 zákona, musíte si ustanovit zástupce: Sídlo mimo EU.

Při hlášení údajů na Portálu NÚKIB uvádíte geografické rozšíření a přeshraniční poskytování služby. Co se tím míní?

Doplňující údaje zahrnují informace o geografickém rozšíření regulované služby a o jejím přeshraničním poskytování (§ 11 odst. 1 písm. b) zákona; vyhláška č. 334/2025 Sb., § 3 odst. 4 písm. b)). Míní se služba, kvůli které jste regulováni, tedy vaše regulovaná služba podle vyhlášky č. 408/2025 Sb., nikoli každá vedlejší činnost a ne každé místo, kde se jen používají vaše výrobky. Uvádíte, kde ji skutečně poskytujete a zda ji poskytujete i do jiných členských států. Registrační údaje navíc obsahují případně adresu hlavní provozovny a dalších provozoven v jiných členských státech (vyhláška č. 334/2025 Sb., § 3 odst. 2 písm. a)). Pokud působíte ve více zemích, pomůže Sebezařazení.

Mohou mezinárodně působící firmy provést ohlášení a hlášení incidentů centrálně u NÚKIB a splnit tím zároveň své povinnosti ve všech členských státech EU?

Jen výjimečně. Zásada hlavní provozovny platí jen pro úzký okruh digitálních služeb: systém překladu doménových jmen, registr domény nejvyšší úrovně, cloud computing, datová centra, sítě pro doručování obsahu, řízené a řízené bezpečnostní služby, on-line tržiště, internetové vyhledávače a platformy sociálních sítí (§ 18 odst. 1 a 3, § 54 odst. 3 až 5 zákona; čl. 26 a 27 směrnice NIS 2). Hlavní provozovnou je místo, kde se převážně přijímají rozhodnutí o řízení kybernetických rizik (§ 54 odst. 5). Všechny ostatní subjekty podléhají dozoru každého členského státu, v němž jsou usazeny, a ohlašují a hlásí v každém z nich zvlášť; český zákon se vztahuje na osoby usazené v Česku (§ 1 odst. 2). Ohlášení u NÚKIB proto vaše povinnosti v jiných zemích zpravidla nepokrývá.

Mám otázky k Portálu NÚKIB a k ohlášení. Poskytuje k tomu NÚKIB informace?

Ano. NÚKIB vede FAQ k Portálu NÚKIB i k zákonu o kybernetické bezpečnosti, včetně formulářů pro ohlášení služby a pověření zástupce, a zveřejňuje návody v sekcích Podpůrné materiály a Návody a školení: FAQ NÚKIB. Dotazy k Portálu lze poslat na portal@nukib.gov.cz. Přihlášení probíhá přes Národní identitní autoritu (NIA). Postup ohlášení shrnujeme na Registrace.

Jako subjekt regulovaný nařízením DORA, musím službu ohlásit NÚKIB?

Ano. Finanční služby jsou v seznamu regulovaných služeb (vyhláška č. 408/2025 Sb., body 17.1 až 17.5) a povinnost ohlásit službu (§ 6 odst. 1 zákona) i hlásit údaje (§ 11) se na ně vztahuje. DORA (nařízení (EU) 2022/2554) je však odvětvovým předpisem s alespoň srovnatelným účinkem, takže ustanovení zákona o bezpečnostních opatřeních a hlášení incidentů se na vás neuplatní, a to včetně dozoru nad nimi (§ 70 zákona; čl. 4 směrnice NIS 2). § 70 se ohlášení a hlášení údajů netýká. Incidenty hlásíte podle DORA, ohlášení na Portálu NÚKIB ale provést musíte.

Jaký cíl NÚKIB ohlašovací povinností sleduje? Co nejrychlejší hlášení s rizikem, že incident nakonec nevedl ke skutečné hrozbě, nebo skutečně jen hlášení incidentů, u nichž se hrozba naplnila? Jak jsou pro ohlašovací povinnost definovány pojmy zjištění a kybernetický bezpečnostní incident?

Cílem je rychlost před úplností. Prvotní hlášení podáváte bez zbytečného odkladu, nejpozději do 24 hodin po zjištění incidentu (§ 16 odst. 1 zákona); NÚKIB nebo Národní CERT vám do 24 hodin pošle své vyjádření (§ 17 odst. 1). Oznámení do 72 hodin a závěrečná zpráva do 30 dnů od oznámení následují jen u incidentů s významným dopadem (§ 16 odst. 3). Kybernetickým bezpečnostním incidentem je narušení bezpečnosti informací v kybernetickém prostoru (§ 2 odst. 2 písm. f)). Vyšší režim hlásí NÚKIB každý takový incident ve stanoveném rozsahu, který má původ v kybernetickém prostoru a u něhož nelze do 24 hodin vyloučit úmyslné zavinění (§ 15 odst. 1). Nižší režim hlásí Národnímu CERT jen incidenty, které navíc mají významný dopad na poskytování služby, tedy způsobily nebo mohou způsobit závažné provozní narušení služeb nebo finanční ztráty, nebo značnou újmu jiným osobám (§ 15 odst. 2 a 3); jak to vyhodnotit, stanoví vyhláška č. 410/2025 Sb., § 14. Pojem zjištění zákon blíže nedefinuje. Rozumný výklad je okamžik, kdy incident rozpoznáte, nikoli až dokončení analýzy příčin. Raději hlaste dříve a s nejistotou než pozdě.

Bude možné podávat dobrovolná oznámení o bezpečnostních incidentech?

Ano. NÚKIB přijímá dobrovolná hlášení kybernetických bezpečnostních incidentů, událostí a hrozeb; hlásit lze i zranitelnosti (§ 15 odst. 5 zákona; obdobně čl. 30 směrnice NIS 2). Mohou se týkat i incidentů pod prahem povinného hlášení. Poskytovatelé regulovaných služeb je podávají rovněž přes Portál NÚKIB (§ 16 odst. 4) a i na ně NÚKIB nebo Národní CERT pošle vyjádření a na žádost poskytne metodickou podporu (§ 17 odst. 5). Dobrovolné oznámení nesmí vést k tomu, že by vám byly uloženy další povinnosti, které byste jinak neměli (čl. 30 odst. 2 směrnice NIS 2). Varování, z něhož by šlo poznat, kdo hrozbu nahlásil, NÚKIB nezveřejní (§ 22 odst. 2).

Lze hlášení incidentů podávat v angličtině?

Zákon o kybernetické bezpečnosti jazyk hlášení výslovně neupravuje. Portál NÚKIB je ale jen v češtině a pro řízení před NÚKIB platí správní řád: jedná se a písemnosti se vyhotovují v češtině (nebo slovenštině) a cizojazyčné písemnosti se předkládají s úředně ověřeným překladem, pokud úřad nesdělí, že ho nevyžaduje (§ 16 odst. 1 a 2 zákona č. 500/2004 Sb.). Počítejte proto s hlášením v češtině. Rozhodující je lhůta 24 hodin (§ 16 odst. 1 zákona č. 264/2025 Sb.): mějte proto připraveného někoho, kdo hlášení česky podá, nebo české šablony. Zda NÚKIB v naléhavém případě přijme prvotní hlášení v angličtině, zákon neříká.

Jak postupovat při bezpečnostním incidentu s možnými dopady na provozovny v několika členských státech EU, když je hlavní provozovna firmy v Česku? Musí být kromě NÚKIB informovány i příslušné orgány ostatních dotčených států?

Z Česka hlásíte incident jednou, NÚKIB (vyšší režim) nebo Národnímu CERT (nižší režim). V prvotním hlášení uvedete, zda by incident mohl mít přeshraniční dopad (§ 16 odst. 1 zákona). Informování ostatních států zajišťují úřady: NÚKIB předává informace o incidentech s významným dopadem na dva nebo více členských států dotčeným státům a agentuře ENISA a zachovává přitom důvěrnost a obchodní zájmy ohlašovatele (§ 42 odst. 5 písm. k)); Národní CERT informuje příslušný orgán jiného státu bez uvedení vaší identity (§ 43 odst. 1 písm. f)). Pokud vás ale reguluje i právo jiného státu, například přes tamní dceřinou společnost nebo pobočku, hlásíte i tam podle tamních pravidel (čl. 26 směrnice NIS 2). Výjimku mají poskytovatelé digitálních služeb podle § 18 odst. 1 kromě služeb vytvářejících důvěru, kteří podléhají státu své hlavní provozovny.

Pokud jsou části mé firmy dotčeny DORA a jiné části NIS 2, musí můj poskytovatel IT služeb hlásit bezpečnostní incidenty dvakrát?

Ne, dvojí hlášení není třeba. DORA je vůči zákonu o kybernetické bezpečnosti odvětvovým předpisem s alespoň srovnatelným účinkem; ustanovení zákona o hlášení incidentů se proto v jejím rozsahu neuplatní (§ 70 zákona; čl. 4 směrnice NIS 2). Incidenty, které NÚKIB oznámí jiný dozorový orgán podle odvětvového předpisu, řeší NÚKIB obdobně jako hlášení podle zákona (§ 17 odst. 5). Rozhoduje, které pravidlo pokrývá dotčenou službu, nikoli firma jako celek: služby mimo oblast DORA hlásíte podle zákona. Se svým poskytovatelem IT služeb si předem smluvně vyjasněte, podle kterého pravidla a komu hlásí který incident.

Plánuje se do budoucna evropské řešení pro registraci a oznamování?

Někteří poskytovatelé digitálních služeb (například poskytovatelé služby systému překladu doménových jmen, cloudu, datových center nebo on-line tržišť) jsou podle čl. 27 směrnice NIS 2 zapsáni v celounijním registru, který vede agentura ENISA; NÚKIB jí jejich údaje předává, pokud mají hlavní provozovnu nebo zástupce v Česku (§ 65 odst. 1 písm. d) zákona). Pro všechny ostatní zůstává ohlášení i hlášení incidentů národní, v Česku přes Portál NÚKIB (§ 45 odst. 2, § 16 odst. 4). Jednotná evropská platforma pro všechny subjekty nad tento rámec zatím rozhodnuta není. Rozhodující tedy zůstává národní kanál.

Jak je zajištěno, že údaje, které NÚKIB podle zákona o kybernetické bezpečnosti shromažďuje, zůstanou důvěrné a chráněné před neoprávněným přístupem?

Důvěrnost chrání přímo zákon. Zaměstnanci NÚKIB jsou vázáni mlčenlivostí o údajích z evidence incidentů, událostí, hrozeb a zranitelností, evidence dodavatelů, koordinovaného zveřejňování zranitelností a penetračních testů, a to i po skončení pracovního poměru (§ 46 odst. 4 zákona); porušení je přestupkem (§ 60 odst. 2). Jiným orgánům veřejné moci NÚKIB poskytuje údaje jen v odůvodněných případech, na žádost a pro uvedený účel (§ 46 odst. 2). Při předávání informací do jiných členských států a agentuře ENISA zachovává důvěrnost a obchodní zájmy ohlašovatele (§ 42 odst. 5 písm. k), § 65 odst. 2) a Národní CERT informuje cizí orgány bez vaší identity (§ 43 odst. 1 písm. f)). Varování, z něhož by šlo poznat, kdo hrozbu nahlásil, NÚKIB nezveřejní (§ 22 odst. 2). Obdobnou ochranu předepisuje čl. 23 odst. 6 směrnice NIS 2.

Co se stane, pokud povinná firma ohlásí incident příslušnému orgánu pozdě nebo vůbec? Kdo kontroluje, zda byly ohlašovatelné incidenty řádně ohlášeny?

Ohlašovací povinnost vyplývá z § 15 a 16 zákona č. 264/2025 Sb. (čl. 23 směrnice NIS 2): prvotní hlášení do 24 hodin, u incidentů s významným dopadem oznámení do 72 hodin a závěrečná zpráva do 30 dnů od oznámení. Kdo prvotní hlášení nepředloží nebo nedoplní údaje podle § 16 odst. 3, dopouští se přestupku (§ 59 odst. 1 písm. h) pro vyšší režim, § 59 odst. 2 písm. h) pro nižší režim). Pokuta může dosáhnout 250 mil. Kč nebo 2 % čistého celosvětového ročního obratu ve vyšším režimu a 175 mil. Kč nebo 1,4 % v nižším režimu, podle toho, co je vyšší (§ 59 odst. 4 písm. a) a b)). Přestupky projednává NÚKIB (§ 62 odst. 1). Zda bylo hlášeno řádně, posuzuje NÚKIB z podaných hlášení, z údajů od Národního CERT (§ 43 odst. 1 písm. e)) a při kontrole (§ 55); zjištěné nedostatky vám může uložit odstranit nápravným opatřením (§ 56). Povinnost hlásit začíná nejpozději 1 rok od doručení rozhodnutí o registraci (§ 15 odst. 4). Nejbezpečnější cestou je včasné a úplné hlášení přes Portál NÚKIB. Postup krok za krokem: Registrace a ohlašovací povinnost.

Jaké povinnosti má vedení podle NIS 2?

Podle čl. 20 směrnice NIS 2 mají řídící orgány schvalovat opatření k řízení rizik, dohlížet na jejich uplatňování a absolvovat školení. V Česku tyto povinnosti upravují vyhlášky jako požadavky na vrcholné vedení, tedy statutární orgán nebo jinou osobu či skupinu osob v obdobném řídícím postavení. V nižším režimu vedení určí osobu pověřenou kybernetickou bezpečností, prokazatelně absolvuje školení, zajistí potřebné zdroje, prokazatelně se seznamuje se stavem plnění opatření v přehledu bezpečnostních opatření, prosazuje neustálé zlepšování a stanoví prioritu obnovy primárních aktiv (vyhláška č. 410/2025 Sb., § 4). Ve vyšším režimu má vedení 14 povinností, mimo jiné zajistit bezpečnostní politiku, zdroje a testování plánů kontinuity; dále zřídí výbor pro řízení kybernetické bezpečnosti, určí bezpečnostní role a prokazatelně se seznamuje se zprávou o přezkoumání systému, hodnocením rizik, plánem zvládání rizik a výsledky auditů (vyhláška č. 409/2025 Sb., § 4). Provozní zavedení můžete delegovat, tyto povinnosti ale zůstávají vedení. Zda jste vůbec v působnosti, si nejprve ověřte úplným testem.

Co znamená schvalovací a dohledová povinnost vedení?

Směrnice NIS 2 v čl. 20 odst. 1 mluví o schválení a dohledu. České vyhlášky schválení opatření vedením nežádají: vedení se se stavem opatření „prokazatelně seznamuje“ (vyhláška č. 410/2025 Sb., § 4 písm. d)), ve vyšším režimu se zprávou o přezkoumání systému řízení bezpečnosti informací, zprávou o hodnocení rizik, plánem zvládání rizik, výsledky analýzy dopadů a výsledky auditů (vyhláška č. 409/2025 Sb., § 4 odst. 2). Prakticky to znamená: vedení dokumenty věcně projde, rozumí jim a seznámení doloží, například podpisem s datem. Dohled znamená, že opatření jednou projednané a už nikdy nepřezkoumané povinnost nesplňuje: přehled opatření se aktualizuje alespoň jednou ročně (vyhláška č. 410/2025 Sb., § 3 odst. 2 písm. b)) a ve vyšším režimu se alespoň jednou ročně vyhodnocuje účinnost systému (vyhláška č. 409/2025 Sb., § 3 písm. f)). Pomáhají pravidelné zprávy o stavu, klíčové ukazatele a jasná eskalační cesta. Tyto povinnosti nese vedení samo a nemůže je nikomu předat.

Musí vedení absolvovat školení?

Ano. Vrcholné vedení prokazatelně absolvuje školení (vyhláška č. 410/2025 Sb., § 4 písm. b); vyhláška č. 409/2025 Sb., § 4 odst. 1 písm. a)). Jde o poučení o jeho povinnostech a o bezpečnostní politice formou vstupních a pravidelných školení (vyhláška č. 410/2025 Sb., § 5 odst. 2 písm. a)); ve vyšším režimu zejména v oblasti systému řízení bezpečnosti informací, řízení rizik a řízení kontinuity činností (vyhláška č. 409/2025 Sb., § 10 odst. 3 písm. a)). Cílem je, aby vedení dokázalo rozpoznat rizika a posoudit zvolené postupy a jejich dopad na službu. Minimální počet hodin ani pevný interval vyhlášky nestanoví; interval si určete a zdokumentujte. NÚKIB uznává certifikát svého on-line kurzu pro vrcholné vedení (pro nižší i vyšší režim) jako doklad o splnění požadavků zákona na poučení vrcholného vedení. O školeních vedete přehledy a seznamy proškolených osob (vyhláška č. 410/2025 Sb., § 5 odst. 3; vyhláška č. 409/2025 Sb., § 10 odst. 5). Povinnost se týká statutárního orgánu nebo jiné osoby či skupiny v obdobném řídícím postavení a nelze ji delegovat.

Může vedení delegovat svou povinnost školení?

Ne. Školení absolvuje vrcholné vedení samo (vyhláška č. 410/2025 Sb., § 4 písm. b); vyhláška č. 409/2025 Sb., § 4 odst. 1 písm. a)) a nelze ho přenést na zaměstnance ani na externí dodavatele (obdobně čl. 20 odst. 2 směrnice NIS 2). Osobu pověřenou kybernetickou bezpečností, ve vyšším režimu manažera kybernetické bezpečnosti, vedení určit musí (vyhláška č. 410/2025 Sb., § 4 písm. a); vyhláška č. 409/2025 Sb., § 4 odst. 4) a provozní zavedení můžete rozdělit, absolvovat školení ale zůstává úkolem vedení. Zdokumentujte, kdo se zúčastnil, kdy a s jakým obsahem: přehledy o školeních a seznamy proškolených osob vyžadují obě vyhlášky (vyhláška č. 410/2025 Sb., § 5 odst. 3; vyhláška č. 409/2025 Sb., § 10 odst. 5), abyste je mohli NÚKIB při kontrole předložit.

Odpovídá vedení osobně za porušení?

Zákon č. 264/2025 Sb. vlastní ustanovení o osobní odpovědnosti vedení nemá; odpovědnost se řídí obecným právem. Člen voleného orgánu vykonává funkci s nezbytnou loajalitou i s potřebnými znalostmi a pečlivostí (péče řádného hospodáře, § 159 odst. 1 občanského zákoníku). Nenahradí-li společnosti škodu, kterou jí porušením povinnosti způsobil, ručí věřiteli společnosti za její dluh v rozsahu, v jakém škodu nenahradil, pokud se věřitel plnění na společnosti nemůže domoci (§ 159 odst. 3). V soudním sporu nese důkazní břemeno, že jednal s péčí řádného hospodáře, zpravidla sám člen orgánu (§ 52 odst. 2 zákona o obchodních korporacích), a k právním jednáním společnosti, která jeho odpovědnost omezují, se nepřihlíží (§ 53 odst. 2). Ochranu dává pravidlo podnikatelského úsudku: pečlivě jedná ten, kdo mohl při podnikatelském rozhodování v dobré víře rozumně předpokládat, že jedná informovaně a v obhajitelném zájmu společnosti, pokud rozhodoval s nezbytnou loajalitou (§ 51 odst. 1). Zákon o kybernetické bezpečnosti navíc umožňuje NÚKIB dočasně zakázat výkon funkce členu statutárního orgánu poskytovatele ve vyšším režimu, který opakovaně nebo závažně porušil své povinnosti, a tím zmařil řádné splnění nápravného opatření (§ 58). Nejlepší ochranou je prokazatelně splněný soubor povinností: zdokumentované seznámení s opatřeními, kontroly a záznamy o školeních.

Nabízí NÚKIB k zákonu školení nebo kurzy?

Ano. NÚKIB zveřejňuje návody a školení na Portálu NÚKIB (sekce Návody a školení) a on-line kurzy na svém vzdělávacím portálu osveta.nukib.gov.cz, mimo jiné kurz pro vrcholné vedení v nižším a ve vyšším režimu. Certifikát z kurzu pro vrcholné vedení NÚKIB uznává jako doklad o splnění požadavku na poučení vedení (vyhláška č. 410/2025 Sb., § 5 odst. 2 písm. a); vyhláška č. 409/2025 Sb., § 10 odst. 3 písm. a)). Ostatní informační akce jsou dobrovolné. Pro vaše povinnosti jsou rozhodující bezpečnostní opatření podle § 13 a 14 zákona č. 264/2025 Sb. a vyhlášky pro váš režim, nikoli účast na akci.

Kde najdu podpůrné materiály NÚKIB k zákonu?

Na Portálu NÚKIB v sekci Podpůrné materiály, například materiály k hlášení kybernetických bezpečnostních incidentů, ke stanovení rozsahu řízení kybernetické bezpečnosti, k počítání velikosti podniku nebo k významnosti incidentu v režimu nižších povinností. Návody k Portálu najdete v sekci Návody a školení a odpovědi na časté otázky ve FAQ NÚKIB. Formuláře pro ohlášení a hlášení jsou v sekci Chci vyřídit.

Může NÚKIB podporovat poskytovatele při zavádění NIS 2?

Ano, ale obecně, ne místo vás. NÚKIB podle zákona zajišťuje prevenci, vzdělávání a metodickou podporu (§ 42 odst. 4 písm. c) bod 4) a poskytuje konzultace v oblasti kybernetické bezpečnosti (§ 42 odst. 5 písm. g)); při incidentu poskytne na žádost metodickou a případně technickou podporu (§ 17 odst. 2). Zveřejňuje FAQ, podpůrné materiály, kalkulačku a kurzy. Zavést opatření ve vaší firmě je ale vaše povinnost (§ 13 odst. 2). Potřebujete tedy vlastní know-how, nebo kvalifikovaného dodavatele či právní poradenství; dodavatele vybíráte a smluvně zavazujete podle § 13 odst. 5. Kde začít, ukáže úplný test použitelnosti.

Vydal NÚKIB informace nebo pokyny k opatřením, která mají poskytovatelé regulovaných služeb zavést?

Ano, a jsou závazné: opatření stanoví přímo vyhlášky NÚKIB, č. 409/2025 Sb. pro režim vyšších povinností a č. 410/2025 Sb. pro režim nižších povinností (§ 13 odst. 3 zákona). Obsahově odpovídají opatřením podle článku 21 směrnice NIS 2; poskytovatelé digitálních služeb podle § 18 odst. 1 postupují podle prováděcího nařízení (EU) 2024/2690. K tomu NÚKIB zveřejňuje podpůrné materiály a mapovací tabulky mezi prováděcím nařízením a oběma vyhláškami. Pravidlo, podle něhož by se opatření považovala za splněná použitím určité metodiky (jako je německý IT-Grundschutz), český zákon nemá. Měřítkem je vždy vyhláška pro váš režim.

Pokrývá odvětví poskytovatelů zdravotní péče i zařízení dlouhodobé péče?

Jen pokud poskytují zdravotní péči. Vyhláška č. 408/2025 Sb., bod 18.1, reguluje poskytování zdravotní péče podle zákona č. 372/2011 Sb., o zdravotních službách: poskytovatel zdravotních služeb je ve vyšším režimu jako velký podnik a v nižším jako střední. Čistě sociální služby v seznamu regulovaných služeb nejsou. Pokud zařízení dlouhodobé péče zároveň poskytuje zdravotní péči jako poskytovatel zdravotních služeb a je středním nebo velkým podnikem, může spadat pod bod 18.1. Směrnice NIS 2 zde odkazuje na definici v čl. 3 písm. g) směrnice 2011/24/EU. Zkontrolujte krok za krokem: Kdo je dotčen.

Pokrývá typ subjektu „poskytovatel zdravotní péče“ i distribuci nebo dodávku zdravotnických prostředků?

Ne. Vyhláška č. 408/2025 Sb. ve zdravotnictví reguluje výrobce, nikoli distributory zdravotnických prostředků: výrobu zdravotnických prostředků podle nařízení (EU) 2017/745 (bod 18.7) a diagnostických zdravotnických prostředků in vitro podle nařízení (EU) 2017/746 (bod 18.8), obojí v nižším režimu u středního nebo velkého podniku, a výrobu prostředků ze seznamu kriticky důležitých zdravotnických prostředků (bod 18.9, velký podnik ve vyšším, střední v nižším režimu). Pouhá distribuce nebo dodávka zdravotnických prostředků není ani poskytováním zdravotní péče podle bodu 18.1. Ověřte ale, zda neposkytujete jinou službu z vyhlášky, nebo zda nejste subjektem kritické infrastruktury (§ 5 písm. d) zákona).

Jak se postupuje, když je provoz subjektem kritické infrastruktury, ale nedosahuje velikosti středního podniku?

Velikost tu nerozhoduje. Je-li poskytovatel subjektem kritické infrastruktury podle předpisu o krizovém řízení a kritické infrastruktuře, jsou podmínky pro registraci splněny bez ohledu na velikost; regulovanou službou je služba odpovídající prvku kritické infrastruktury, který byl u něj určen (§ 5 písm. d) zákona). Takový poskytovatel je vždy v režimu vyšších povinností (§ 8 odst. 3) a řízení o registraci zahajuje NÚKIB z moci úřední (§ 6 odst. 3). Velikostní prahy z doporučení 2003/361/ES tedy hrají roli jen u služeb podle § 4 odst. 1; kritická infrastruktura stojí mimo ně.

Jsou poskytovatelé sociálních služeb, například pro osoby se zdravotním postižením, dotčeni NIS 2?

Sociální služby jako takové nejsou ve vyhlášce č. 408/2025 Sb. regulovanou službou a nespadají ani pod definici zdravotní péče podle čl. 3 písm. g) směrnice 2011/24/EU. Jen kvůli sociálním službám tedy dotčeni nejste. Záleží na tom, co skutečně děláte: pokud zařízení zároveň poskytuje zdravotní péči podle zákona o zdravotních službách a je středním nebo velkým podnikem, může spadat pod bod 18.1. Pro jistotu ověřte i další služby z vyhlášky a to, zda nejste subjektem kritické infrastruktury (§ 5 písm. d) zákona).

Je zdravotnická záchranná služba dotčena NIS 2?

Ano, v Česku vždy. Poskytování zdravotnické záchranné služby podle zákona č. 374/2011 Sb., o zdravotnické záchranné službě, je regulovanou službou a její poskytovatel je v režimu vyšších povinností bez ohledu na velikost (vyhláška č. 408/2025 Sb., bod 18.2). Přeprava pacientů, která není zdravotnickou záchrannou službou, pod bod 18.2 nespadá; zda ji pokryje bod 18.1, závisí na tom, zda poskytujete zdravotní péči podle zákona o zdravotních službách a jste středním nebo velkým podnikem.

Spadají služby poradenství v oblasti bezpečnosti IT pod odvětví digitální infrastruktury, například pod typ subjektu poskytovatel řízených bezpečnostních služeb (MSSP)?

Ne, pouhé poradenství ne. Řízenou službou je služba související s instalací, správou, provozem nebo údržbou technických aktiv, a to prostřednictvím asistence nebo aktivní správy, v prostorách zákazníka nebo na dálku; řízenou bezpečnostní službou je řízená služba, která spočívá v činnostech souvisejících s řízením kybernetických bezpečnostních rizik nebo v asistenci při nich (§ 2 odst. 3 písm. g) a h) zákona; čl. 6 body 39 a 40 směrnice NIS 2). Kdo výhradně radí, audituje nebo školí a technická aktiva klientů neinstaluje, nespravuje, neprovozuje ani neudržuje, řízenou bezpečnostní službu neposkytuje. Jakmile ale bezpečnostní funkce klientů průběžně provozujete nebo spravujete (například provoz SOC, monitorování, správa záplat), může jít o řízenou bezpečnostní službu podle vyhlášky č. 408/2025 Sb., bod 16.14: u zákazníků, kteří nejsou spotřebiteli, ve vyšším režimu jako velký podnik a v nižším jako střední. V českém zákoně patří řízené služby do odvětví digitální infrastruktura a služby (§ 4 odst. 1 písm. a) bod 9).

Mají být dceřiné firmy, v nichž je organizován centrální provoz IT korporátní skupiny, považovány za poskytovatele řízených služeb (MSP) nebo poskytovatele řízených bezpečnostních služeb (MSSP)?

Výjimku pro služby uvnitř skupiny zákon ani vyhláška nestanoví. Rozhoduje, zda IT dceřiná společnost poskytuje řízenou službu (§ 2 odst. 3 písm. g) zákona) zákazníkům, kteří nejsou spotřebiteli (vyhláška č. 408/2025 Sb., bod 16.13), nebo řízenou bezpečnostní službu (bod 16.14), a zda je středním nebo velkým podnikem. Sesterské firmy spotřebiteli nejsou, takže ani čistě vnitroskupinový provoz doslovné znění nevylučuje. Výslovné stanovisko NÚKIB k této otázce jsme nenašli; v pochybnostech se obraťte přímo na NÚKIB. Obsluhuje-li dceřiná společnost i třetí strany mimo skupinu, platí zařazení tím spíše. Nezávisle na tom se pro velikost sčítají zaměstnanci a obrat propojených podniků (doporučení 2003/361/ES), ledaže jsou jejich technická aktiva zcela oddělena (§ 7 písm. c) zákona).

Spadá webhosting pod některý z typů subjektů? (Jako poskytovatel cloudu nebo MSP)

Klasický webhosting sám o sobě obvykle není ani službou cloud computingu, ani řízenou službou. Služba cloud computingu vyžaduje samoobslužnou správu a široký vzdálený přístup k rozšiřitelnému a pružnému seskupení sdílitelných výpočetních zdrojů (§ 2 odst. 3 písm. c) zákona), což čistý hosting na pevných prostředcích zpravidla nesplňuje. Řízená služba vyžaduje instalaci, správu, provoz nebo údržbu technických aktiv zákazníka (§ 2 odst. 3 písm. g)), nikoli jen poskytnutí úložiště a webového prostoru. Rozhoduje konkrétní uspořádání: pokud poskytovatel navíc nabízí pružné cloudové zdroje nebo aktivně spravuje systémy zákazníků, může jít o regulovanou službu podle vyhlášky č. 408/2025 Sb. (bod 16.8 nebo 16.13), je-li středním nebo velkým podnikem. Více: Jsem poskytovatel cloudu?.

Jsou osoby samostatně výdělečně činné, které provozují autoritativní DNS pro zákazníky webhostingu, rovněž dotčeny implementačními povinnostmi v oblasti kybernetické bezpečnosti?

Jen při větším rozsahu. Služba systému překladu doménových jmen je regulovanou službou podle vyhlášky č. 408/2025 Sb., bod 16.4, pokud poskytovatel aktivně poskytuje veřejně dostupné služby rekurzivního překladu koncovým uživatelům internetu, nebo poskytuje autoritativní překlad pro třetí strany pro více než 10 000 domén druhého řádu. Pak je v režimu vyšších povinností bez ohledu na svou velikost, takže pokryta může být i osoba samostatně výdělečně činná. Kdo provozuje autoritativní DNS pro 10 000 nebo méně domén druhého řádu svých zákazníků webhostingu, tuto regulovanou službu neposkytuje. Směrnice NIS 2 pokrývá poskytovatele služeb DNS bez ohledu na velikost; český předpis k tomu přidává vlastní práh. Pokud podmínky splníte, platí povinnosti v plném rozsahu, u této služby podle prováděcího nařízení (EU) 2024/2690 (§ 18 zákona).

Spadají všechny firmy do působnosti vnitrostátní transpozice směrnice NIS 2, pokud jsou „poskytovatelem veřejných sítí elektronických komunikací nebo veřejně dostupných služeb elektronických komunikací“?

Ano, v Česku bez ohledu na velikost. Poskytování veřejně dostupné služby elektronických komunikací a zajišťování veřejné komunikační sítě podle zákona č. 127/2005 Sb., o elektronických komunikacích, jsou regulované služby (vyhláška č. 408/2025 Sb., body 16.1 a 16.2). Malý podnik nebo mikropodnik je v režimu nižších povinností; střední a velký podnik a poskytovatel s nejméně 350 000 aktivních mobilních SIM karet nebo nejméně 100 000 aktivních pevných internetových přípojek v Česku jsou v režimu vyšších povinností. Zákon se na ně vztahuje bez ohledu na místo usazení, pokud sítě zajišťují nebo služby poskytují v Česku (§ 1 odst. 2). Pojmy se řídí zákonem o elektronických komunikacích, který provádí směrnici (EU) 2018/1972, nikoli vlastním chápáním „komunikační služby“.

Spadá pod zákon č. 264/2025 Sb. služba cloud computingu, která není automaticky škálovatelná, což je cloudový znak podle NIST [americký standard kybernetické bezpečnosti NIST SP 800]?

Rozhoduje definice v § 2 odst. 3 písm. c) zákona (obdobně čl. 6 bod 30 směrnice NIS 2), nikoli standard NIST. Služba musí umožňovat samoobslužnou správu a široký vzdálený přístup k rozšiřitelnému a pružnému seskupení sdílitelných výpočetních zdrojů. Pokud rozšiřitelnost a pružnost zcela chybí, nejde zpravidla o službu cloud computingu a bod 16.8 vyhlášky č. 408/2025 Sb. se nepoužije. To ale nutně neznamená, že nejste dotčeni vůbec: ověřte, zda neposkytujete jinou službu (například službu datového centra nebo řízenou službu, body 16.9 a 16.13) nebo službu v jiném odvětví. Podrobnosti: Jsem poskytovatel cloudu?.

Čelí finanční subjekty podléhající DORA kvůli zákonu o kybernetické bezpečnosti a DORA dvojí registraci, dvojímu hlášení incidentů, dvojímu dozoru, dvojím důkazům atd.?

Ne, dvojí regulace zamýšlena není. Pro finanční subjekty je DORA (nařízení (EU) 2022/2554) odvětvovým předpisem s alespoň srovnatelným účinkem. Ustanovení zákona o bezpečnostních opatřeních a hlášení incidentů se proto neuplatní, a to včetně dozoru nad nimi (§ 70 zákona; čl. 4 směrnice NIS 2). Zůstává ohlášení služby a hlášení údajů: finanční služby jsou v seznamu regulovaných služeb (vyhláška č. 408/2025 Sb., body 17.1 až 17.5) a § 70 se na ohlášení podle § 6 ani na hlášení údajů podle § 11 nevztahuje. Incidenty dál hlásíte podle DORA a službu navíc ohlásíte NÚKIB, aniž by vznikl druhý řetězec hlášení nebo druhá vrstva dozoru.

Jak se požadavky NIS 2 liší od technických bezpečnostních požadavků na jednotlivá zařízení, například na chytrý měřič?

Obě sady pravidel působí na různých úrovních a nevylučují se. Zákon č. 264/2025 Sb. (čl. 21 směrnice NIS 2) ukládá poskytovateli regulované služby řídit bezpečnost jako celek ve stanoveném rozsahu: procesy, odpovědnosti, dodavatele, kontinuitu (§ 12 až 14). Požadavky na bezpečnost konkrétního zařízení stanoví jiné předpisy, například nařízení (EU) 2024/2847 (akt o kybernetické odolnosti) pro produkty s digitálními prvky. Německý režim certifikace smart meter gatewayí podle technických směrnic BSI je vnitrostátní německá úprava a v Česku neplatí. Stručně: zákon o kybernetické bezpečnosti upravuje, jak zabezpečíte svou organizaci, předpisy o výrobcích upravují, jak musí být navrženo jednotlivé zařízení. Obojí platí souběžně.

Týká se českých firem německá kategorie „Digital Energy Services“?

Ne. „Digital Energy Services“ je německá kategorie (dříve agregační bod, Bündelstelle), kterou Německo vyňalo ze svého zákona o kybernetické bezpečnosti a svěřilo německému regulátorovi energetických sítí. Česká obdoba neexistuje. V Česku spadají digitální činnosti v energetice pod zákon č. 264/2025 Sb. a dozor NÚKIB, pokud je uvádí vyhláška č. 408/2025 Sb.: například činnost Elektroenergetického datového centra (bod 2.10, vždy vyšší režim), agregace elektřiny (bod 2.6) nebo odezva strany poptávky (bod 2.8); u posledních dvou je velký podnik ve vyšším a střední v nižším režimu.

Co znamená zákon pro agregátora elektřiny nebo poskytovatele flexibility?

Agregace elektřiny (vyhláška č. 408/2025 Sb., bod 2.6) a odezva strany poptávky (bod 2.8) jsou regulované služby. Agregátor nebo poskytovatel flexibility podle energetického zákona je ve vyšším režimu jako velký podnik a v nižším jako střední; malý podnik jen ve zvláštních případech podle § 5 zákona. Splňujete-li podmínky, ohlaste službu na Portálu NÚKIB do 60 dnů (§ 6 odst. 1). Po doručení rozhodnutí o registraci hlásíte do 30 dnů údaje (§ 11) a nejpozději do 1 roku začínáte plnit bezpečnostní opatření a hlásit incidenty (§ 13 odst. 4, § 15 odst. 4). Dozor vykonává NÚKIB.

Co dělat, když se moje služba v energetice změní, například výkon výrobny nebo počet odběrných míst?

Změny regulované služby, které mohou vést ke změně režimu, hlásíte NÚKIB do 60 dnů ode dne změny (§ 9 odst. 1 zákona). V energetice jsou hranice přímo ve vyhlášce č. 408/2025 Sb.: výrobce elektřiny je ve vyšším režimu mimo jiné s výrobnou o celkovém instalovaném výkonu nejméně 100 MW (bod 2.1), provozovatel regionální distribuční soustavy elektřiny s nejméně 90 000 připojenými odběrnými místy (bod 2.3) a provozovatel distribuční soustavy plynu s licencovanou přenosovou kapacitou nejméně 1 000 MW (bod 4.3). Při přechodu z nižšího do vyššího režimu běží nové lhůty pro hlášení údajů, opatření a hlášení incidentů (§ 9 odst. 2); nové rozhodnutí o registraci se nevydává. Pokud služba podmínky přestane splňovat, požádejte o zrušení registrace (§ 10).

Podle čeho se provádí audit kybernetické bezpečnosti?

Audit je povinný jen v režimu vyšších povinností a jeho obsah stanoví vyhláška č. 409/2025 Sb., § 16: posuzuje, zda byla zavedena opatření požadovaná zákonem a vyhláškou, zda jsou v souladu s právními předpisy, vnitřními předpisy, smluvními závazky a nejlepší praxí, a ověřuje dodržování bezpečnostní politiky včetně technické shody (§ 16 odst. 2). Provádí ho auditor kybernetické bezpečnosti podle § 5 odst. 4, nezávisle a podle plánu auditu (§ 16 odst. 1 a 6). Odvětvové auditní standardy, jaké zná Německo, český zákon nestanoví; ISO/IEC 27001 nebo jiný standard můžete použít jako pomůcku, měřítkem ale zůstává vyhláška. V režimu nižších povinností audit povinný není.

Jak zjistím, do kdy musím zavést opatření?

Lhůta neplyne z jednotného data, ale z vašeho rozhodnutí o registraci: bezpečnostní opatření a hlášení incidentů musíte začít plnit nejpozději do 1 roku ode dne jeho doručení (§ 13 odst. 4, § 15 odst. 4 zákona) a kontaktní a doplňující údaje hlásíte do 30 dnů od doručení (§ 11 odst. 1). Rozhodující je tedy den doručení, ne datum vydání. Při přechodu z nižšího do vyššího režimu běží lhůty znovu (§ 9 odst. 2). Ve vyšším režimu pak audit kybernetické bezpečnosti opakujete alespoň jednou za 2 roky (vyhláška č. 409/2025 Sb., § 16 odst. 4), v nižším aktualizujete přehled bezpečnostních opatření alespoň jednou ročně (vyhláška č. 410/2025 Sb., § 3 odst. 2). Na paušální datum se nespoléhejte.

Jaký dopad má nový zákon na služby, které byly regulovány už podle zákona č. 181/2014 Sb.?

Pokud vaše služba splňuje podmínky nového zákona, plníte do uplynutí nových lhůt alespoň dosavadní povinnosti podle zákona č. 181/2014 Sb.: zavádění bezpečnostních opatření, hlášení incidentů a plnění opatření NÚKIB, ve vyšším režimu v plném dosavadním rozsahu, v nižším v rozsahu povinností nižšího režimu (§ 71 odst. 1). Incidenty ale od doručení rozhodnutí o registraci hlásíte už novým způsobem. Varování a reaktivní či ochranná opatření vydaná podle starého zákona platí dál jako varování a reaktivní protiopatření podle nového (§ 71 odst. 3 a 4). Mezera tedy nevzniká: dosavadní povinnosti běží, dokud je nenahradí nové.

Musí být dokončen audit nebo řízení, které začaly podle zákona č. 181/2014 Sb.?

Řízení o splnění povinností uložených podle zákona č. 181/2014 Sb. před 1. listopadem 2025 se dokončí podle tohoto starého zákona (§ 71 odst. 2). Pokud byl audit součástí vašich dosavadních bezpečnostních opatření, plníte ho do uplynutí nových lhůt dál (§ 71 odst. 1); probíhající audit proto nepřerušujte. Jeho výsledky mohou posloužit jako podklad pro audit podle vyhlášky č. 409/2025 Sb. (§ 16), pokud budete v režimu vyšších povinností. Přesný přechod si v nejasném případě vyjasněte přímo s NÚKIB.

Musí provozovatelé distribučních soustav elektřiny nebo plynu ohlásit službu na Portálu NÚKIB?

Ano, pokud splňují podmínky vyhlášky č. 408/2025 Sb. Držitel licence na distribuci elektřiny je ve vyšším režimu jako velký podnik nebo jako provozovatel regionální distribuční soustavy s nejméně 90 000 připojenými odběrnými místy a v nižším jako střední podnik (bod 2.3). U distribuce plynu je hranicí pro vyšší režim kromě velikosti licencovaná přenosová kapacita nejméně 1 000 MW (bod 4.3). Provozovatel přenosové soustavy elektřiny a přepravní soustavy plynu je vždy ve vyšším režimu (body 2.2 a 4.2). Službu ohlásíte na Portálu NÚKIB do 60 dnů ode dne splnění podmínek (§ 6 odst. 1 zákona). Více k postupu: Registrace.

Počítají se hotelové restaurace, restaurace nebo stravovací provozy jako „důležité subjekty“?

Zpravidla ne. V potravinářství reguluje vyhláška č. 408/2025 Sb. jen průmyslovou výrobu potravin, průmyslové zpracování potravin a velkoobchodní distribuci potravin (body 8.1 až 8.3), a to u středního nebo velkého potravinářského podniku v režimu nižších povinností. Klasické stravovací služby mezi nimi nejsou. Hotelová restaurace, restaurace nebo jídelna proto pod zákon nespadá jen kvůli přípravě jídel. Svou situaci ověřte systematicky: Kdo je dotčen.

Musí potravinářská firma vykonávat výrobu, zpracování i velkoobchod zároveň, aby spadala pod zákon?

Ne. Vyhláška č. 408/2025 Sb. vede průmyslovou výrobu potravin, průmyslové zpracování potravin a velkoobchodní distribuci potravin jako tři samostatné služby (body 8.1, 8.2 a 8.3). Stačí, když vykonáváte jednu z nich. Navíc musíte být středním nebo velkým podnikem.

Spadají všichni účastníci zabezpečeného dodavatelského řetězce v ochraně civilního letectví pod zákon, i když jsou malými podniky?

Ne. Samotná účast v zabezpečeném dodavatelském řetězci podle předpisů o ochraně civilního letectví regulovanou službou není. Vyhláška č. 408/2025 Sb. v letecké dopravě reguluje obchodní leteckou dopravu (bod 12.1), provoz mezinárodního letiště s vyhrazeným bezpečnostním prostorem (bod 12.2), provoz pomocných zařízení na takovém letišti (bod 12.3) a letové navigační služby (bod 12.4); u prvních tří jen při velikosti středního nebo velkého podniku. Pokrytí tedy vyžaduje, abyste poskytovali některou z těchto služeb a splnili velikost (zpravidla od 50 zaměstnanců, nebo při ročním obratu i bilanční sumě nad 10 milionů EUR). Malý podnik může být regulován jen ve zvláštních případech podle § 5 zákona, například jako subjekt kritické infrastruktury. Kompletní test: Kdo je dotčen.

Které právní formy spadají podle NIS 2 do finančního odvětví a bankovního pododvětví?

Rozhoduje činnost, nikoli právní forma (s.r.o., a.s., družstvo nebo jiná). Vyhláška č. 408/2025 Sb., bod 17.1, reguluje činnost úvěrové instituce podle nařízení (EU) č. 575/2013, tedy podniku, jehož činností je přijímat od veřejnosti vklady nebo jiné splatné prostředky a poskytovat úvěry na vlastní účet; velká instituce je ve vyšším režimu, střední v nižším. Pro úvěrové instituce ale přednostně platí DORA (nařízení (EU) 2022/2554, použitelné od 17. ledna 2025): bezpečnostní opatření a hlášení incidentů plníte podle ní, nikoli podle zákona o kybernetické bezpečnosti (§ 70 zákona). Ohlášení služby NÚKIB zůstává. Zda jste dotčeni jako banka: Jsem banka ve smyslu NIS 2?.