Změna ve vedení: bezpečné předání odpovědnosti za NIS 2
Když jednatel nebo člen představenstva odejde, povinnosti vrcholného vedení podle vyhlášek NÚKIB s ním neodejdou. Při předání se musí stát tři věci, jinak nový člen převezme odpovědnost za stav, který nezná.
Proč je předání nejvíce přehlíženým okamžikem NIS 2
Většina firem se připravuje na den, kdy se na ně NIS 2 poprvé vztáhne. Málokdo se připravuje na den, kdy osoba, která zavádění vede, odejde. V tu chvíli zastarávají údaje a pověření zástupců na Portálu NÚKIB a podepsaná přijetí rizik ztrácejí svého autora.
Podle čl. 20 NIS 2 musí členské státy zajistit, aby řídicí orgány mohly nést odpovědnost za porušení. Český zákon k tomu zvláštní ustanovení nemá; platí obecné právo. Člen voleného orgánu vykonává funkci „s nezbytnou loajalitou i s potřebnými znalostmi a pečlivostí“ (§ 159 odst. 1 občanského zákoníku) a ve sporu o péči řádného hospodáře nese důkazní břemeno (§ 52 odst. 2 zákona o obchodních korporacích). Nastupující člen tak odpovídá za to, jak s převzatým stavem naloží, i u rizik, o kterých nikdo nemluvil. Protokol o předání existuje proto, aby se o nich dozvěděl prokazatelně.
Zvláštní předpis o předání neexistuje. Povinnosti pocházejí ze tří míst: změny kontaktních údajů hlásíte NÚKIB do 14 dnů (§ 11 odst. 2 zákona č. 264/2025 Sb.), vrcholné vedení absolvuje vstupní a pravidelná školení (vyhláška č. 410/2025 Sb., § 5 odst. 2 písm. a); č. 409/2025 Sb., § 10 odst. 3 písm. a)) a prokazatelně se seznamuje se stavem bezpečnostních opatření (vyhláška č. 410/2025 Sb., § 4 písm. d); č. 409/2025 Sb., § 4 odst. 2).
Čl. 20 NIS 2 + vyhláška č. 410/2025 Sb., § 4 písm. b) (školení)
Členské státy zajistí, aby řídící orgány základních a důležitých subjektů schválily opatření k řízení kybernetických bezpečnostních rizik přijatá těmito subjekty za účelem dosažení souladu s článkem 21, dohlížely nad jeho uplatňováním a mohly nést odpovědnost, poruší-li subjekty uvedený článek. […] Členské státy zajistí, aby členové řídících orgánů základních a důležitých subjektů museli absolvovat školení […]
Povinnosti vrcholného vedení se váží k funkci: nový člen statutárního orgánu je má ode dne, kdy funkci přijme, ne od pohodlnějšího pozdějšího data. Vyhlášky pro školení vedení pevnou lhůtu nestanoví, ale mluví o vstupních školeních; naplánujte je hned.
§ 11 odst. 2 zákona č. 264/2025 Sb. + čl. 3 odst. 4 NIS 2 (aktualizace údajů)
Poskytovatel regulované služby je povinen hlásit změny pouze těch údajů podle odstavce 1, které nejsou referenčními údaji vedenými v základních registrech, a to nejpozději do 14 dnů ode dne, kdy došlo k jejich změně.
Lhůta 14 dnů. Kontaktními údaji jsou identifikační údaje osob oprávněných jednat za firmu ve věcech zákona (§ 11 odst. 1 písm. a)), k nim funkce, telefon a e-mail (vyhláška č. 334/2025 Sb., § 3 odst. 3). Zastaralý kontakt znamená, že NÚKIB jedná s někým, kdo už ve firmě není. Na Portálu NÚKIB zkontrolujte i pověřené zástupce a pověření osoby, která odchází, zrušte; zástupce pověřuje a mění statutární orgán.
Vyhláška č. 410/2025 Sb., § 4 písm. d) (kontinuita seznamování)
Statutární orgán povinné osoby nebo jiná osoba anebo skupina osob v obdobném řídícím postavení povinné osoby (dále jen „vrcholné vedení“) s ohledem na zajišťování minimální kybernetické bezpečnosti … d) se prokazatelně seznamuje se stavem plnění bezpečnostních opatření uvedeným v přehledu bezpečnostních opatření podle § 3 odst. 2 písm. a)
Seznamování je trvalá povinnost. Ve vyšším režimu se vrcholné vedení prokazatelně seznamuje se zprávou o hodnocení rizik, s plánem zvládání rizik, s výsledky analýzy dopadů a auditů (vyhláška č. 409/2025 Sb., § 4 odst. 2). Rozhodnutí podepsaná odcházejícím členem firmu dál zavazují, nový člen se s nimi ale musí seznámit hned. Směrnice EU k tomu mluví o schvalování a dohledu (čl. 20 odst. 1 NIS 2).
Záznamy o školení vedení (odcházející)
Doklad o školení odcházejícího člena vedení; firma vede přehledy o školeních a seznamy školených osob (vyhláška č. 410/2025 Sb., § 5 odst. 3; č. 409/2025 Sb., § 10 odst. 5). Vstupní školení nového člena zajistěte samostatně a hned.
Podepsaná přijetí rizik
Každé riziko, které odcházející člen vedení přijal místo snížení, zůstává ve firmě. Ve vyšším režimu musí být riziko nad hranicí akceptovatelnosti řešeno opatřeními, sníženo nebo odstraněno (vyhláška č. 409/2025 Sb., příloha č. 4 odst. 6). Projděte je při předání, ne až při kontrole.
Mapa závislostí na dodavatelích
Kteří dodavatelé pracují ve stanoveném rozsahu a co s nimi stojí ve smlouvách (§ 13 odst. 5 zákona); ve vyšším režimu i seznam významných dodavatelů (vyhláška č. 409/2025 Sb., § 9). Nový člen vedení potřebuje vědět, koho nelze rychle vyměnit, kdo nese smluvní odpovědnost a u koho je přezkum po termínu.
Vlastnictví reakce na incidenty
Kdo má přístup na Portál NÚKIB jako statutární orgán nebo pověřený zástupce, kdo rozhoduje o hlášení a kdo ho podává. Jména, kontakty, eskalační řetězec. Tento dokument se vytahuje ve 3:00 při incidentu.
Krok 1: Aktualizovat údaje na Portálu NÚKIB
Na Portálu NÚKIB nahlaste změnu kontaktních údajů: nová osoba oprávněná jednat, funkce, telefon a e-mail (vyhláška č. 334/2025 Sb., § 3 odst. 3). Do 14 dnů od změny, pokud nejde o referenční údaje v základních registrech (§ 11 odst. 2). Nový statutární orgán se přihlásí přes Identitu občana (NIA), zkontroluje pověřené zástupce a pověření odcházející osoby zruší.
Krok 2: Naplánovat školení vedení
Nový člen vedení prokazatelně absolvuje školení o svých povinnostech a o bezpečnostní politice, formou vstupních a pravidelných školení (vyhláška č. 410/2025 Sb., § 4 písm. b), § 5 odst. 2 písm. a); ve vyšším režimu č. 409/2025 Sb., § 10 odst. 3 písm. a)). Pevnou lhůtu vyhlášky nestanoví. Naplánujte ho v prvním čtvrtletí funkce. NÚKIB uznává certifikát svého kurzu pro vrcholné vedení jako doklad o splnění požadavků zákona na poučení vrcholného vedení.
Krok 3: Seznámit nového člena se stavem a potvrdit převzatá rozhodnutí
Projděte s novým členem přehled bezpečnostních opatření (nižší režim), nebo zprávu o hodnocení rizik a plán zvládání rizik (vyšší režim), registr rizik a mapu dodavatelů. Co chce ponechat, podepíše sám; o čem chce rozhodnout znovu, rozhodne zvlášť. Datum seznámení zaznamenejte. Pokud odcházející člen byl osobou pověřenou kybernetickou bezpečností, zastával bezpečnostní roli nebo seděl ve výboru pro řízení kybernetické bezpečnosti, určete nástupce (vyhláška č. 410/2025 Sb., § 4 písm. a); č. 409/2025 Sb., § 4 odst. 3 a 4).
Kontakt u NÚKIB nikdy neaktualizován
Čtrnáctidenní lhůta podle § 11 odst. 2 běží v pozadí rušného přechodu. Bez aktualizace jedná NÚKIB s osobou, která ve firmě už není, a pověření na Portálu NÚKIB zůstávají lidem, kteří odešli. Neohlášení změny údajů je přestupek (§ 59 odst. 1 písm. b), odst. 2 písm. b)).
Přijetí rizik zděděna naslepo
Nastupující člen vedení přijme funkci a s ní povinnost vykonávat ji s péčí řádného hospodáře (§ 159 odst. 1 občanského zákoníku), i pokud jde o rizika přijatá předchůdcem. Bez seznámení je při kontrole neobhájí. Seznámení při předání je tím mostem.
Školení vedení naplánováno „na později“
Konkrétní lhůta není, takže se odkládá. Roky plynou. Při kontrole chce NÚKIB doklad a žádný není. Naplánujte školení v prvním čtvrtletí, ne „až bude čas“.
Tři selhání se sčítají. Za prvé, údaje na Portálu NÚKIB jsou zastaralé a pověření zástupci už ve firmě nejsou. Za druhé, nový člen vedení nezná rizika, která převzal, takže je při kontrole neobhájí. Za třetí, chybí doklad o jeho školení, které vyhláška pro vrcholné vedení vyžaduje.
Každé z nich může vést ke stejné cestě: kontrola NÚKIB (§ 55), nápravné opatření (§ 56), případně pokuta za přestupek (§ 59) a ve vyšším režimu při opakovaném nebo závažném zmaření nápravy dočasný zákaz výkonu funkce člena statutárního orgánu (§ 58). Zpětné seznámení nic z toho nevrátí.
- Směrnice (EU) 2022/2555 (NIS 2), čl. 3 odst. 4, čl. 20, čl. 32: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 11, §§ 55 až 59; vyhláška č. 334/2025 Sb., § 3: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_11
- Vyhláška č. 410/2025 Sb., § 4 a § 5, a vyhláška č. 409/2025 Sb., § 4 a § 10: https://e-sbirka.gov.cz/sb/2025/410/2025-11-01#par_4, https://e-sbirka.gov.cz/sb/2025/409/2025-11-01#par_4
- Zákon č. 89/2012 Sb., občanský zákoník, § 159, a zákon č. 90/2012 Sb., o obchodních korporacích, §§ 51 až 53: https://e-sbirka.gov.cz/sb/2012/89, https://e-sbirka.gov.cz/sb/2012/90
Tato stránka poskytuje strukturovaný návod na základě veřejně dostupných zdrojů (směrnice NIS 2, zákon č. 264/2025 Sb., vyhlášky č. 409/2025 Sb. a 410/2025 Sb., občanský zákoník a zákon o obchodních korporacích). Nepředstavuje právní poradenství. Otázky osobní odpovědnosti členů statutárního orgánu posoudí advokát. Stav k 15. říjnu 2026.
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Řízení a odpovědnost
Zajistit školení vedení
Každý člen vrcholného vedení, vstupně a pak pravidelně.
Registrace a hlášení
Udržovat registraci aktuální
Když se něco změní, nahlásíte to NÚKIB.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
