Řízení o přestupku podle zákona o kybernetické bezpečnosti krok za krokem
Čl. 34 NIS 2 stanoví strop. Zákon č. 264/2025 Sb. stanoví přestupky a pokuty. Zákon č. 250/2016 Sb., o odpovědnosti za přestupky a řízení o nich, stanoví postup.
Co tento článek popisuje
NIS 2 ukládá členským státům zavést správní pokuty vůči subjektům, které neplní povinnosti v oblasti řízení kybernetických bezpečnostních rizik nebo oznamování incidentů. Čl. 34 NIS 2 stanoví maximální částky a odkazuje na kritéria v čl. 32 odst. 7. Každý členský stát tento rámec zapojí do vlastního práva o přestupcích.
V Česku stanoví přestupky a pokuty §§ 59 až 61 zákona č. 264/2025 Sb. Přestupky projednává NÚKIB (§ 62 odst. 1). Postup se řídí zákonem č. 250/2016 Sb., o odpovědnosti za přestupky a řízení o nich, s výjimkami podle § 62 odst. 2 zákona o kybernetické bezpečnosti. Proti rozhodnutí NÚKIB jako ústředního správního úřadu se podává rozklad (§ 152 správního řádu).
Tato stránka popisuje, jak řízení vypadá zvenčí. Neradí, jak reagovat. Konkrétní obhajoba v řízení o přestupku vyžaduje advokáta se zkušeností ze správního trestání.
Vrstva EU: čl. 34 NIS 2
Členské státy zajistí, aby správní pokuty ukládané základním a důležitým subjektům podle tohoto článku za porušení této směrnice byly účinné, přiměřené a odrazující, přičemž zohlední okolnosti každého jednotlivého případu.
Čl. 34 odst. 4 stanoví u základních subjektů maximum nejméně 10 000 000 EUR nebo alespoň 2 % celkového celosvětového ročního obratu v předchozím rozpočtovém roce, čl. 34 odst. 5 u důležitých subjektů nejméně 7 000 000 EUR nebo alespoň 1,4 %, podle toho, co je vyšší.
Národní vrstva: § 59 odst. 4 zákona č. 264/2025 Sb. (Česko)
Za přestupek lze uložit pokutu do a) 250 000 000 Kč nebo až do výše 2 % čistého celosvětového ročního obratu dosaženého podnikem podle čl. 101 a 102 Smlouvy o fungování Evropské unie, jehož je obviněný součástí, za bezprostředně předcházející účetní období, podle toho, která z daných částek je vyšší, jde-li o přestupek podle odstavce 1 písm. a), c) až m) a o), nebo odstavce 3 písm. a), b), f) nebo g), b) 175 000 000 Kč nebo až do výše 1,4 % čistého celosvětového ročního obratu dosaženého podnikem podle čl. 101 a 102 Smlouvy o fungování Evropské unie, jehož je obviněný součástí, za bezprostředně předcházející účetní období, podle toho, která z daných částek je vyšší, jde-li o přestupek podle odstavce 2 písm. a), c) až m) nebo o), …
Odstavec 1 platí pro režim vyšších povinností, odstavec 2 pro režim nižších. Výčet přestupků v § 59 zahrnuje mimo jiné nezavedení bezpečnostních opatření (písm. f)), nepředložení prvotního hlášení incidentu (písm. h)) a neohlášení kontaktních údajů (písm. b)); za neohlášení kontaktních nebo doplňujících údajů je horní hranice nižší, 100 mil. Kč, v režimu nižších povinností 50 mil. Kč (§ 59 odst. 4 písm. c) a d)). Neohlášení služby je přestupkem podle § 60 odst. 1 písm. a) se stejnou horní hranicí 250 mil. Kč nebo 2 % (§ 60 odst. 7 písm. a)).
Procesní předpis: zákon č. 250/2016 Sb. a správní řád
Přestupky podle tohoto zákona projednává Úřad. (§ 62 odst. 1 zákona č. 264/2025 Sb.)
Řízení o přestupku vede NÚKIB podle zákona č. 250/2016 Sb., o odpovědnosti za přestupky a řízení o nich; některá jeho ustanovení se podle § 62 odst. 2 zákona o kybernetické bezpečnosti nepoužijí. K zajištění průběhu řízení může NÚKIB uložit pořádkovou pokutu až 100 000 Kč, opakovaně celkem nejvýše 10 000 000 Kč nebo 1 % obratu, podle toho, co je vyšší (§ 63 odst. 1). Proti rozhodnutí o přestupku lze podat rozklad (§ 152 správního řádu).
Zahájení
Řízení o přestupku typicky předchází zjištění: nezavedená bezpečnostní opatření odhalená při kontrole NÚKIB (§ 55), nepředložené nebo neúplné hlášení incidentu (prvotní hlášení do 24 hodin, oznámení do 72 hodin, závěrečná zpráva do 30 dnů od oznámení, § 16), nesplněné nápravné opatření (§ 56) nebo neohlášená služba (§ 6 odst. 1). U organizací, které službu neohlásily, chystá NÚKIB podle svých slov předání k přestupkovému řízení (stav k 19. květnu 2026).
Vyjádření a obhajoba
Směrnice ukládá úřadům dodržovat práva na obhajobu, oznámit předběžná zjištění a dát přiměřenou dobu na připomínky (čl. 32 odst. 7 a 8 NIS 2). Ve správním řízení musí mít účastník zpravidla možnost vyjádřit se k podkladům rozhodnutí (§ 36 odst. 3 správního řádu). Výzva k vyjádření je procesní krok, ne rozsudek. Mlčení řízení nezastaví; NÚKIB rozhodne podle podkladů, které má.
Rozhodnutí o přestupku
Dospěje-li NÚKIB k závěru, že se přestupek stal, vydá rozhodnutí s pokutou nejvýše do hranice podle § 59 odst. 4 nebo § 60 odst. 7. Výši určuje podle zákona č. 250/2016 Sb.: přihlédne zejména k povaze a závažnosti přestupku a k přitěžujícím a polehčujícím okolnostem (§§ 37 až 40). Směrnice k tomu jmenuje kritéria čl. 32 odst. 7 NIS 2, na který odkazuje čl. 34 odst. 3: závažnost, doba trvání, předchozí porušení, způsobená újma, úmysl nebo nedbalost, opatření přijatá ke zmírnění újmy, dodržování kodexů a certifikací a úroveň spolupráce. Rozhodnutí obsahuje poučení o rozkladu; lhůta je 15 dnů od oznámení (§ 152 odst. 5 a § 83 odst. 1 správního řádu).
Účinné, přiměřené, odrazující
Čl. 34 odst. 1 NIS 2 váže úřad k přiměřenosti. Strop 250 mil. Kč nebo 2 % je maximum, ne sazebník. Čl. 32 odst. 7 NIS 2 žádá zohlednit okolnosti každého jednotlivého případu. Výše se tak může pohybovat oběma směry: nahoru za závažnost a opakování, dolů za skutečnou spolupráci a prokazatelná opatření přijatá předem.
Spolupráce je faktorem výpočtu
Čl. 32 odst. 7 písm. h) NIS 2 uvádí úroveň spolupráce s příslušnými orgány jako kritérium. V českém přestupkovém právu je polehčující okolností mimo jiné, že pachatel napomáhal k odstranění škodlivého následku nebo přestupek oznámil a při jeho objasňování účinně napomáhal (§ 39 písm. c) a d) zákona č. 250/2016 Sb.). Dobrovolné oznámení porušení, doklady o nápravných opatřeních a plné zpřístupnění podkladů úřadu se tak promítají do posouzení. Opatření přijatá ke zmírnění újmy (čl. 32 odst. 7 písm. f)) se posuzují proti stejnému základu: co bylo podle §§ 13 a 14 zákona zavedeno a kdy.
Národní úřad pro kybernetickou a informační bezpečnost
NÚKIB je ústředním správním úřadem pro kybernetickou bezpečnost (§ 42 odst. 1) a všechny přestupky podle zákona projednává sám (§ 62 odst. 1). Patří k nim i přestupky subjektů kritické infrastruktury, které jsou v režimu vyšších povinností. Rozhodnutí i korespondence k rozkladu jdou přes NÚKIB.
ENISA a skupina pro spolupráci
ENISA neukládá pokuty. Vytváří pokyny a podílí se na práci skupiny pro spolupráci podle čl. 14 NIS 2. Výstupy ENISA (taxonomie incidentů, odvětvové pokyny) ovlivňují, co se považuje za stav techniky podle čl. 21 NIS 2, a tím i posouzení podle čl. 32 odst. 7.
Odvětvové předpisy
Kde přímo použitelný předpis EU nebo zákon, který ho zapracovává, stanoví povinnosti k bezpečnostním opatřením nebo hlášení incidentů s alespoň srovnatelným účinkem, příslušná ustanovení zákona o kybernetické bezpečnosti se neuplatní, včetně dozoru nad nimi (§ 70 odst. 1). Týká se to například finančního trhu a nařízení DORA. Povinnost ohlásit službu (§ 6 zákona, čl. 3 odst. 4 NIS 2) tím dotčena není.
Strop 2 procenta se počítá z obratu české firmy.
§ 59 odst. 4 zákona počítá procento z čistého celosvětového ročního obratu podniku podle čl. 101 a 102 Smlouvy o fungování EU, jehož je obviněný součástí, za bezprostředně předcházející účetní období. U dceřiné společnosti ve větší skupině tak může strop výrazně převýšit místní obrat.
Když výzvu k vyjádření ignorujeme, věc zmizí.
Vyjádřit se je vaše právo, ne povinnost. Když ho nevyužijete, řízení se nezastaví a NÚKIB rozhodne podle podkladů ve spisu. Kvůli mlčení se řízení nezpomalí.
Plné zpřístupnění každého provozního detailu pokutu minimalizuje.
Čl. 32 odst. 7 písm. h) NIS 2 zohledňuje spolupráci s příslušným orgánem. Nevyžaduje, aby subjekt sestavil případ za úřad. Hranice mezi spoluprací a sebeobviněním je bodem, kde má vstoupit advokát. Přiznání učiněná bez advokáta se obtížně berou zpět.
Lhůta k rozkladu je 15 dnů od oznámení rozhodnutí (§ 83 odst. 1 ve spojení s § 152 odst. 5 správního řádu). Je zákonná, ne předmětem vyjednávání. Po jejím marném uplynutí nabude rozhodnutí právní moci (§ 73 odst. 1) a zbývají jen úzké cesty, například navrácení v předešlý stav, nejpozději do jednoho roku (§ 41). Pro vyjádření v průběhu řízení zákon pevnou lhůtu nestanoví; určí ji NÚKIB v dopise.
Konkrétní obhajoba v řízení o přestupku vyžaduje advokáta. Tento článek popisuje řízení a právní kotvy. Neříká, jak reagovat na konkrétní výzvu nebo rozhodnutí. Cokoli, co se dotýká podstaty bezpečnostních opatření (§§ 13 a 14 zákona), historie hlášení incidentů (§§ 15 a 16) nebo opatření podle čl. 21 NIS 2, projednejte s advokátem dřív, než to opustí firmu.
- Směrnice (EU) 2022/2555 (NIS 2), čl. 32 odst. 7 a 8 a čl. 34: obecné podmínky ukládání správních pokut základním a důležitým subjektům: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, §§ 59 až 63: přestupky, pokuty a jejich projednání: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_59
- Zákon č. 264/2025 Sb., § 6, §§ 13 až 16, §§ 55, 56 a 70: ohlášení, bezpečnostní opatření, hlášení incidentů, kontrola, odvětvové předpisy: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01
- Zákon č. 250/2016 Sb., o odpovědnosti za přestupky a řízení o nich, §§ 37 až 40: https://e-sbirka.gov.cz/sb/2016/250/2025-07-01#par_37; zákon č. 500/2004 Sb., správní řád, §§ 36, 41, 73, 83 a 152: https://e-sbirka.gov.cz/sb/2004/500
- ENISA, výstupy skupiny pro spolupráci NIS 2 a technické prováděcí pokyny.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
