Nová povinnost kybernetické bezpečnosti pro české firmy
Pokud hledáte „povinnost zajistit IT bezpečnost“, hledáte NIS 2. Od 1. listopadu 2025 z kybernetické bezpečnosti dělá zákonnou povinnost zákon č. 264/2025 Sb., o kybernetické bezpečnosti, zejména pro střední a velké podniky v regulovaných odvětvích.
NIS 2 je ta povinnost, o které jste slyšeli
Samostatný zákon o „povinnosti zajistit IT bezpečnost“ v Česku neexistuje. Existuje směrnice NIS 2 (EU 2022/2555), kterou do českého práva zapracoval zákon č. 264/2025 Sb., o kybernetické bezpečnosti, spolu s vyhláškami NÚKIB. To je předpis, který ukládá závazné povinnosti firmám, jejichž služby patří mezi regulované služby podle vyhlášky č. 408/2025 Sb.
Zákon nabyl účinnosti 1. listopadu 2025. Ukládá dotčeným firmám ohlásit službu NÚKIB (§ 6), zavádět bezpečnostní opatření (§§ 13 a 14), hlásit kybernetické bezpečnostní incidenty (§§ 15 a 16) a promítnout požadavky do smluv s dodavateli (§ 13 odst. 5). Povinnosti vedení stanoví vyhlášky: vrcholné vedení zajistí zdroje, prokazatelně se seznamuje se stavem opatření a absolvuje školení. Za škodu odpovídá společnosti podle občanského zákoníku a zákona o obchodních korporacích.
Pokud je vaše firma středním nebo velkým podnikem (zpravidla od 50 zaměstnanců, nebo s ročním obratem i bilanční sumou nad 10 milionů eur) a poskytuje některou ze služeb ve vyhlášce č. 408/2025 Sb., týkají se vás tyto povinnosti. Službu jste měli ohlásit do 60 dnů ode dne, kdy jste splnili podmínky; u většiny firem to bylo do 31. prosince 2025.
Odvětví
Poskytujete službu z jednoho z odvětví v § 4 odst. 1 zákona: veřejná správa, energetika, výrobní průmysl, potravinářský průmysl, chemický průmysl, vodní hospodářství, odpadové hospodářství, doprava, digitální infrastruktura a služby (včetně řízených služeb a řízených bezpečnostních služeb), finanční trh, zdravotnictví, věda, výzkum a vzdělávání, poštovní a kurýrní služby, obranný průmysl, vesmírný průmysl. Konkrétní služby a podmínky stanoví vyhláška č. 408/2025 Sb.
Počet zaměstnanců
Máte 50 nebo více zaměstnanců. Velikost se určuje podle doporučení Komise 2003/361/ES, včetně partnerských a propojených podniků ve skupině, nejen české společnosti. Výjimka: partnerský nebo propojený podnik se nezapočítává, pokud jsou jeho technická aktiva zcela oddělena od technických aktiv, která používáte při poskytování regulované služby (§ 7 písm. c) zákona). Zaměstnanci na částečný úvazek se počítají poměrně.
Roční obrat
Váš roční obrat překračuje 10 milionů eur A ZÁROVEŇ vaše bilanční suma překračuje 10 milionů eur. Pokud překračujete práh zaměstnanců, NEBO finanční práh, jste středním nebo velkým podnikem.
Služby bez ohledu na velikost
Některé služby jsou regulované bez ohledu na velikost, například když je poskytovatel jediným poskytovatelem služby v Česku a služba je zásadní pro kritické společenské nebo ekonomické činnosti nebo pro bezpečnost, když by narušení služby mohlo způsobit závažný zásah do života více než 125 000 osob, nebo když je poskytovatel subjektem kritické infrastruktury (§ 5 zákona). Takové služby registruje NÚKIB z moci úřední (§ 6 odst. 3) a jejich poskytovatel je v režimu vyšších povinností (§ 8 odst. 3).
Ohlaste službu NÚKIB
Ohlášení podáte na Portálu NÚKIB (portal.nukib.gov.cz) v sekci Chci vyřídit, s přihlášením přes Identitu občana (NIA). Je to zákonná povinnost do 60 dnů ode dne, kdy jste splnili podmínky (§ 6 odst. 1). Její nesplnění je přestupek s pokutou až 250 milionů Kč nebo 2 % čistého celosvětového ročního obratu (§ 60 odst. 1 písm. a), odst. 7 písm. a)). Do 30 dnů od doručení rozhodnutí o registraci pak nahlásíte kontaktní a doplňující údaje (§ 11). Pokud jste lhůtu zmeškali, ohlaste službu hned.
Proveďte posouzení rizik
Určete svá primární aktiva, posuďte, která souvisejí s regulovanou službou, a určete k nim podpůrná aktiva (§ 12 zákona). Posuďte rizika a zdokumentujte, jak s nimi naložíte. Opatření zavádíte v míře nezbytné pro kybernetickou bezpečnost regulované služby (§ 13 odst. 2); bez evidence aktiv a posouzení rizik tuto míru neurčíte.
Zaveďte bezpečnostní opatření
§ 14 zákona vyjmenovává opatření: 13 v režimu nižších povinností (odst. 2) a 25 v režimu vyšších povinností (odst. 1). V nižším režimu jsou to: systém zajišťování minimální kybernetické bezpečnosti, požadavky na vrcholné vedení, řízení aktiv, řízení rizik, bezpečnost lidských zdrojů, řízení kontinuity činností, řízení přístupu, řízení identit a jejich oprávnění, detekce a zaznamenávání kybernetických bezpečnostních událostí, řešení kybernetických bezpečnostních incidentů, bezpečnost komunikačních sítí, aplikační bezpečnost a kryptografické algoritmy. Obsah stanoví vyhláška č. 410/2025 Sb., pro vyšší režim vyhláška č. 409/2025 Sb. Každé opatření potřebuje doložená pravidla a doklad o zavedení.
Nastavte hlášení incidentů
Kybernetické bezpečnostní incidenty hlásíte přes Portál NÚKIB: prvotní hlášení do 24 hodin po zjištění, u incidentu s významným dopadem oznámení do 72 hodin a závěrečnou zprávu do 30 dnů od oznámení (§ 16). V režimu vyšších povinností hlásíte NÚKIB, v režimu nižších Národnímu CERT. V nižším režimu si předem stanovte, kdy má incident významný dopad (vyhláška č. 410/2025 Sb., § 14), a dřív, než se něco stane, určete jasný řetězec hlášení.
Udržujte průběžnou shodu
NIS 2 není jednorázový projekt. Udržujte evidenci aktiv a posouzení rizik aktuální, když se věci mění (§ 12 odst. 5), školte vedení pravidelně (vyhlášky požadují vstupní a pravidelná školení vedení, interval nestanoví), v nižším režimu alespoň jednou ročně aktualizujte přehled bezpečnostních opatření (vyhláška č. 410/2025 Sb., § 3 odst. 2 písm. b)), přezkoumávejte dodavatele a průběžně sledujte incidenty.
Za nezavedení bezpečnostních opatření nebo nenahlášení incidentu hrozí poskytovateli v režimu vyšších povinností pokuta až 250 milionů Kč nebo 2 % čistého celosvětového ročního obratu, v režimu nižších povinností až 175 milionů Kč nebo 1,4 %, podle toho, která částka je vyšší (§ 59 odst. 4). Za neohlášení služby hrozí až 250 milionů Kč nebo 2 % (§ 60 odst. 7 písm. a)). Přestupky projednává NÚKIB (§ 62 odst. 1). NÚKIB může uložit nápravné opatření (§ 56). Neplní-li je poskytovatel v režimu vyšších povinností, může NÚKIB členovi statutárního orgánu dočasně zakázat výkon funkce, nejméně na 6 měsíců (§ 58).
Kromě pokut je tu odpovědnost vedení. Vrcholné vedení musí zajistit zdroje, prokazatelně se seznamovat se stavem opatření a absolvovat školení (vyhláška č. 409/2025 Sb. a č. 410/2025 Sb., vždy § 4). Za škodu, kterou porušením péče řádného hospodáře způsobí, odpovídá vlastní společnosti (§ 159 občanského zákoníku, §§ 51 až 53 zákona o obchodních korporacích).
Často kladené otázky
Je NIS 2 totéž co povinnost zajistit IT bezpečnost, o které stále slyším?
Ano. Samostatný zákon o „povinnosti zajistit IT bezpečnost“ neexistuje. NIS 2 je směrnice EU, kterou Česko zapracovalo zákonem č. 264/2025 Sb., o kybernetické bezpečnosti. Když se mluví o nových povinnostech kybernetické bezpečnosti pro české firmy, myslí se tento zákon. Je účinný od 1. listopadu 2025.
Jsme výrobní firma s 60 zaměstnanci. Týká se nás to opravdu?
Velmi pravděpodobně ano, pokud vaše výroba patří mezi služby výrobního průmyslu ve vyhlášce č. 408/2025 Sb., například výroba počítačů a elektroniky, elektrických zařízení, strojů, motorových vozidel nebo jiných dopravních prostředků (oddíly 26 až 30 CZ-NACE). Se 60 zaměstnanci jste středním podnikem. Takový výrobce je podle vyhlášky v režimu nižších povinností; výjimkou je sériová výroba osobních automobilů. Aktuální režim vám ukáže Portál NÚKIB (Chci vyřídit, Přehled podání).
Lhůta pro ohlášení uplynula. Co máme dělat?
Ohlaste službu hned na Portálu NÚKIB (sekce Chci vyřídit, přihlášení přes Identitu občana). Pozdní ohlášení je lepší než žádné. Za neohlášení hrozí pokuta až 250 milionů Kč nebo 2 % obratu (§ 60 odst. 7 písm. a)). NÚKIB ho řadí mezi vážnější přestupky, protože lhůty pro další povinnosti se odvíjejí až od doručení rozhodnutí o registraci.
Může za nás shodu s NIS2 zajistit náš externí poskytovatel IT?
Může pomoci se zavedením technických opatření, ale zákonná povinnost zůstává na vaší firmě, i když máte IT zcela outsourcované. Zavádíte-li opatření prostřednictvím dodavatele, musíte ho vybírat podle požadavků opatření a zahrnout je do smlouvy (§ 13 odst. 5). NÚKIB ve svém FAQ připomíná, že z hlediska odpovědnosti za plnění zákonných povinností je každá organizace samostatným subjektem. Vaše vedení dál odpovídá za zdroje a za seznámení se stavem opatření (vyhlášky, § 4). Zdokumentujte, co poskytovatel dělá, ověřte jeho bezpečnostní opatření a zahrňte ho do řízení dodavatelů.
Kolik stojí plnění NIS 2 pro středně velkou firmu?
Záleží na tom, co už máte. Zákon žádá opatření v míře nezbytné pro kybernetickou bezpečnost regulované služby (§ 13 odst. 2); o nákladech mlčí. Náklady na provádění zmiňuje mezi tím, co se zvažuje, jen směrnice (čl. 21 odst. 1 NIS 2).
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Řízení rizik
Stanovte, jak hodnotíte rizika
Doporučujeme hotovou metodiku hodnocení rizik.
Řešení incidentů
Vědět, jak nahlásit incident
Až tři hlášení s pevnými lhůtami, přes Portál NÚKIB.
Posouzení účinnosti
Zapište přezkoumání vedením
Vedení kontroluje, zda opatření fungují, a schvaluje vaše dokumenty.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
