čl. 23 NIS 2 · §§ 15 až 17 zákona č. 264/2025 Sb.

Hlášení incidentů podle NIS 2: kdy a jak hlásit NÚKIB nebo Národnímu CERT

Kybernetický bezpečnostní incident hlásíte ve třech krocích: prvotní hlášení do 24 hodin, u incidentu s významným dopadem oznámení do 72 hodin a závěrečnou zprávu do 30 dnů od oznámení (§ 16 zákona č. 264/2025 Sb.). Lhůta běží od zjištění. V režimu vyšších povinností hlásíte NÚKIB, v režimu nižších povinností Národnímu CERT, vždy přes Portál NÚKIB.

Vyzkoušet 30 dní, peníze zpět

Domluvit hovor

Rozhoduje někdo jiný? Jedna stránka pro vaše vedení Bezplatné školení pro vašeho jednatele

Simon Orzel·Průběžně kontrolováno

Programy a členství

Které incidenty hlásit

Kybernetickým bezpečnostním incidentem je narušení bezpečnosti informací v kybernetickém prostoru, tedy jejich důvěrnosti, integrity nebo dostupnosti (§ 2 odst. 2 písm. b) a f) zákona). Co hlásíte, záleží na režimu: v režimu vyšších povinností každý incident ve stanoveném rozsahu, který má původ v kybernetickém prostoru a u něhož nelze do 24 hodin vyloučit úmyslné zavinění (§ 15 odst. 1); v režimu nižších povinností jen takový incident s významným dopadem (§ 15 odst. 2).

Incident má významný dopad, pokud způsobil nebo může způsobit jednu ze dvou věcí (§ 15 odst. 3 zákona, čl. 23 odst. 3 NIS 2): závažné provozní narušení služeb nebo finanční ztráty pro vaši firmu, nebo značnou újmu jiným osobám. Pro určité digitální poskytovatele stanoví přesné prahy prováděcí nařízení (EU) 2024/2690. V režimu nižších povinností si práh stanovíte sami: únosnou míru újmy a oblasti posouzení. Dopad je významný, když incident tuto míru přesáhne a současně je některá oblast posouzena jako významná (vyhláška č. 410/2025 Sb., § 14).

Závažné narušení provozu

Incident vážně narušuje poskytování vaší regulované služby, nebo k tomu může vést.

Finanční ztráta

Incident způsobuje vaší firmě finanční ztrátu, nebo ji může způsobit. Pro digitální poskytovatele, na které se prováděcí nařízení vztahuje, je prahem přímá finanční ztráta nad 500 000 EUR nebo 5 % celkového ročního obratu za předchozí účetní období, podle toho, která částka je nižší (čl. 3 odst. 1 písm. a)).

Újma jiným

Incident způsobuje jiným osobám nebo firmám značnou újmu, nebo ji může způsobit.

Únik dat

Únik dat má významný dopad jen tehdy, pokud splňuje jedno z obou kritérií, například protože jiným způsobí značnou újmu. Hlášení podle zákona o kybernetické bezpečnosti stojí vedle ohlášení podle čl. 33 a 34 GDPR. Obojí může platit pro tentýž incident.

Doba trvání

Doba trvání není samostatné kritérium. Pro digitální poskytovatele, na které se prováděcí nařízení vztahuje, platí časové limity pro jednotlivé služby, například služba cloud computingu zcela nedostupná déle než 30 minut (čl. 7 písm. a)). V režimu nižších povinností zohledníte čas a zdroje potřebné k obnově služby v oblastech posouzení (vyhláška č. 410/2025 Sb., § 14 odst. 1 písm. b) bod 3).

V případě pochybností hlaste včas. Prvotní hlášení je určené právě pro chvíli, kdy ještě mnoho nevíte; upřesnění doplníte v oznámení a dalších zprávách. NÚKIB přijímá i dobrovolná hlášení (§ 15 odst. 5).

Více k tomu

Lhůty

Tři hlášení s pevnými lhůtami a k tomu dvě, která přicházejí jen v určitých případech. Lhůty jsou maximální: hlásíte bez zbytečného odkladu.

Lhůta začíná běžet zjištěním incidentu (§ 16 odst. 1). Zákon okamžik zjištění blíže nevymezuje. Zaznamenejte si datum a čas, kdy se o incidentu ve firmě dozvěděli; formulář na Portálu NÚKIB se na ně ptá.

1

Prvotní hlášení

24 hodin

Bez zbytečného odkladu, nejpozději 24 hodin po zjištění incidentu. V režimu vyšších povinností NÚKIB, v režimu nižších povinností Národnímu CERT.

Vaše identifikační údaje
Základní údaje o incidentu
Zda se domníváte, že incident způsobil nezákonný zásah
Zda by mohl mít přeshraniční dopad

2

Oznámení

72 hodin

Jen u incidentu s významným dopadem, nejpozději 72 hodin po zjištění. Aktualizuje prvotní hlášení. V režimu vyšších povinností ho podáváte, když vám NÚKIB do 24 hodin od prvotního hlášení sdělí, že incident má významný dopad na kybernetický prostor státu (§ 16 odst. 2 a 3).

Aktualizace údajů z prvotního hlášení
Prvotní posouzení incidentu
Dopad incidentu
Indikátory kompromitace, pokud jsou k dispozici

3

Průběžná zpráva

Na vyžádání

Jen pokud o ni NÚKIB nebo Národní CERT požádá: podstatné změny stavu zvládání incidentu (§ 16 odst. 3 písm. b)).

Stav omezení a odstranění incidentu
Nová zjištění o příčině, rozsahu nebo dopadech

4

Závěrečná zpráva

30 dnů od oznámení

Nejpozději do 30 dnů ode dne předložení oznámení: zpráva o vyřešení incidentu (§ 16 odst. 3 písm. c) zákona). Body níže vycházejí z čl. 23 odst. 4 písm. d) NIS 2; náležitosti stanoví vyhláška NÚKIB a formulář na Portálu NÚKIB vás jimi provede.

Podrobný popis incidentu včetně závažnosti a dopadu
Druh hrozby nebo základní příčina
Učiněná a probíhající opatření ke zmírnění následků
Případný přeshraniční dopad

5

Průběžná zpráva o aktuálním stavu

Pokud incident stále trvá

Trvá-li incident po uplynutí 30 dnů stále, podáte bez zbytečného odkladu průběžnou zprávu o aktuálním stavu zvládání incidentu a závěrečnou zprávu nejpozději do 30 dnů ode dne, kdy byl incident vyřešen (§ 16 odst. 3 písm. c)).

Aktuální stav
Co jste dosud omezili

Příklad

Smyšlená firma. Pondělí, 9:00: účetní oddělení oznámí IT, že soubory na serveru jsou zašifrované. Příjem objednávek stojí.

Pondělí, 9:30: IT potvrdí útok. Podle plánu pro incidenty rozhoduje jednatel. Firma je v režimu nižších povinností; provoz je vážně narušen nad únosnou míru újmy, kterou si stanovila, takže incident má významný dopad.

Pondělí, 14:00: prvotní hlášení Národnímu CERT přes Portál NÚKIB. Uvádí, co je známo, a že firma předpokládá nezákonný zásah. Lhůta by běžela do úterý 9:00.

Nejpozději ve čtvrtek v 9:00: oznámení s prvotním posouzením incidentu, jeho dopadem a indikátory kompromitace.

Do 30 dnů od oznámení: závěrečná zpráva o vyřešení incidentu s příčinou a nápravou. Pokud incident tehdy ještě trvá, nejdřív průběžná zpráva o aktuálním stavu.

Souběžně firma ověří, zda jsou dotčeny osobní údaje. Pokud ano, platí navíc ohlašovací povinnost vůči Úřadu pro ochranu osobních údajů podle čl. 33 GDPR.

Co připravit pro prvotní hlášení

Zákon požaduje identifikační údaje, základní údaje o incidentu a dvě vaše domněnky (§ 16 odst. 1). Formulář na Portálu NÚKIB se ptá například na datum a čas zjištění a popis incidentu. Mějte připraveno:

Identifikační údaje firmy a dotčené regulované služby
Předběžný popis: narušení, dopad, očekávaná doba trvání a předpokládaná příčina
Kdy incident nastal a kdy jste ho zjistili
Které služby a aktiva jsou zasaženy
Zda se domníváte, že jde o nezákonný zásah, a zda by incident mohl mít přeshraniční dopad
Co jste dosud udělali a zda je incident pod kontrolou
Jak se NÚKIB nebo Národní CERT spojí s osobou, která hlásí

Rychlost má přednost před úplností: zákon žádá prvotní hlášení „bez zbytečného odkladu“ a podrobnosti až v oznámení a závěrečné zprávě. Co se později ukáže jinak, upřesníte v dalším hlášení.

Jak to probíhá v průvodci

Na hlášení vás připraví dva kroky v průvodci na nisd2.eu.

„Naplánujte, co se stane při incidentu“: z vašich odpovědí vznikne váš plán reakce na incidenty. Říká, kdo rozhoduje a jak hlásíte.

„Vědět, jak nahlásit incident“: krok ukazuje tři lhůty a příklad prvotního hlášení.

Zaznamenáte, zda se dokážete přihlásit na Portál NÚKIB a podat hlášení.

Na konci vedení schválí plán reakce na incidenty v aplikaci.

Sepsat plán pro incidenty v průvodci

Kde a kdo hlásí

V režimu vyšších povinností hlásíte NÚKIB, v režimu nižších povinností Národnímu CERT, v obou případech přes Portál NÚKIB.

Hlášení podle § 15 zákona podáváte přes Portál NÚKIB (§ 16 odst. 4); v režimu vyšších povinností míří NÚKIB, v režimu nižších povinností Národnímu CERT. Nelze-li portál použít, pošlete hlášení e-mailem na adresu určenou pro hlášení incidentů nebo do datové schránky příjemce. Povinnost hlásit začíná nejpozději 1 rok ode dne doručení rozhodnutí o registraci (§ 15 odst. 4); dobrovolná hlášení přijímá NÚKIB i dříve (§ 15 odst. 5).

Na Portál NÚKIB se přihlašuje statutární orgán nebo jím pověřený zástupce přes Identitu občana (NIA). Zástupce může hlásit incidenty stejně jako statutární orgán; pověřuje se v sekci Chci vyřídit jménem a číslem dokladu. S obsahem hlášení vám může pomoci poskytovatel služeb. Odpovědnost za hlášení zůstává na vás.

Platí-li pro vaši službu odvětvový předpis EU se srovnatelným účinkem, typicky ve finančním sektoru nařízení DORA, hlásíte podle něj a ustanovení zákona o hlášení se neuplatní (§ 70). Jsou-li dotčeny osobní údaje, může být navíc potřeba ohlásit porušení zabezpečení Úřadu pro ochranu osobních údajů.

Po hlášení

NÚKIB nebo Národní CERT se k incidentu vyjádří bez zbytečného odkladu, nejpozději do 24 hodin od prvotního hlášení. Na vaši žádost poskytne metodickou podporu ke zmírňujícím opatřením a případně další technickou podporu (§ 17 odst. 1 a 2).
NÚKIB vám může uložit povinnost nebo zákaz informovat uživatele služby o incidentu s významným dopadem (§ 19 odst. 1). Sami jim ho oznámíte, pokud to považujete za vhodné.
Počítejte s doplňujícími dotazy. Na výzvu NÚKIB musíte poskytnout nezbytné informace a součinnost při zvládání incidentu (§ 17 odst. 3). Zajistěte, aby vás zastihli i mimo pracovní dobu.

Co si připravit předem

Kdo rozhoduje, zda je incident významný, a kdo hlásí.
Přístup na Portál NÚKIB pro tyto osoby: přihlášení přes Identitu občana a pověření zástupce statutárním orgánem.
Telefonní čísla na IT, poskytovatele služeb a vedení, i na papíře.
Plán pro incidenty, který lidé najdou, i když servery nefungují.

Zdroje

Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 2, §§ 15 až 19 a § 70: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_15
Směrnice (EU) 2022/2555 (NIS 2), čl. 23: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
Prováděcí nařízení Komise (EU) 2024/2690, čl. 3 a 7: https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
Vyhláška č. 410/2025 Sb., § 14 (významnost dopadu v režimu nižších povinností): https://e-sbirka.gov.cz/sb/2025/410/2025-11-01#par_14
NÚKIB, podpůrný materiál Hlášení kybernetických bezpečnostních incidentů: https://portal.nukib.gov.cz/informacni-servis/podpurne-materialy/68f623fab8929270020d7f68
Nařízení (EU) 2016/679 (GDPR), čl. 33 a 34: https://eur-lex.europa.eu/eli/reg/2016/679/oj

V praxi

Kde se to objevuje v průvodci

Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.

Řešení incidentů
Naplánujte, co se stane při incidentu
Kdo rozhoduje, komu voláte, jak se spojíte.
Řešení incidentů
Vědět, jak nahlásit incident
Až tři hlášení s pevnými lhůtami, přes Portál NÚKIB.