Pokuty podle NIS 2: co stanoví zákon o kybernetické bezpečnosti

Kdy platí procento z obratu

U velkých podniků může být pokuta vyšší: až 2 % (režim vyšších povinností) nebo 1,4 % (režim nižších povinností) čistého celosvětového ročního obratu, je-li tato částka vyšší než pevná hranice. Procento převýší pevnou hranici až u obratu nad 12,5 miliardy Kč (2 % z 12,5 miliardy Kč je 250 mil. Kč, 1,4 % je 175 mil. Kč).

Počítá se obrat podniku podle čl. 101 a 102 Smlouvy o fungování EU, jehož je obviněný součástí, za bezprostředně předcházející účetní období. U skupiny tak může jít o obrat celé skupiny, ne jen české firmy.

Směrnice EU stanoví vyšší z obou hodnot, pevné částky a procenta (čl. 34 odst. 4 a 5 NIS 2). Český zákon to převzal bez dalšího prahu: rozhoduje vždy vyšší z obou částek.

§ 59 odst. 4 písm. a) a b) zákona · čl. 34 odst. 4 a 5 NIS 2

Kdo rozhoduje, a jak

Pokuty podle zákona ukládá NÚKIB; přestupky projednává sám (§ 62 odst. 1). Řízení se řídí zákonem č. 250/2016 Sb., o odpovědnosti za přestupky a řízení o nich, s výjimkami podle § 62 odst. 2.

Částky jsou horní hranice. Výši v konkrétním případě určí NÚKIB podle zákona č. 250/2016 Sb.: přihlédne zejména k povaze a závažnosti přestupku a k přitěžujícím a polehčujícím okolnostem (§§ 37 až 40). Směrnice k tomu jmenuje mimo jiné závažnost a délku porušení, dřívější porušení, způsobenou újmu, úmysl nebo nedbalost a spolupráci s úřadem (čl. 32 odst. 7 NIS 2).

Pokud za stejné porušení už uložil pokutu úřad pro ochranu osobních údajů podle GDPR, nesmí za ně příslušný orgán uložit pokutu podle čl. 34 NIS 2 (čl. 35 odst. 2 NIS 2). NÚKIB a Úřad pro ochranu osobních údajů si k tomu vyměňují informace, aby se zabránilo dvojímu trestání (§ 64 odst. 5 zákona).

NÚKIB na konferenci ISSS 19. května 2026 uvedl, že předání k přestupkovému řízení u organizací, které neohlásily službu, teprve chystá. Uloženou pokutu podle nového zákona jsme do 14. října 2026 nenašli.

§ 62 a § 64 odst. 5 zákona · §§ 37 až 40 zákona č. 250/2016 Sb. · čl. 32 odst. 7, čl. 34 a čl. 35 odst. 2 NIS 2

A vedení?

Zákon o kybernetické bezpečnosti zvláštní ustanovení o osobní odpovědnosti vedení nemá. Vyhlášky ukládají vrcholnému vedení povinnosti, například prokazatelně absolvovat školení a prokazatelně se seznamovat se stavem opatření (vyhláška č. 410/2025 Sb., § 4; č. 409/2025 Sb., § 4). Za škodu způsobenou porušením péče řádného hospodáře odpovídá člen statutárního orgánu firmě podle § 159 občanského zákoníku a §§ 51 až 53 zákona o obchodních korporacích.

V režimu vyšších povinností může NÚKIB jako krajní prostředek dočasně zakázat výkon funkce členovi statutárního orgánu, který při plnění nápravného opatření opakovaně nebo závažně porušil své povinnosti a zmařil tím jeho řádné splnění, a to do odstranění nedostatků, nejméně na 6 měsíců (§ 58 zákona).

Co to znamená pro firmu s 50 až 150 zaměstnanci

Firma s 50 až 249 zaměstnanci je zpravidla středním podnikem a bývá v režimu nižších povinností. Ve vyšším režimu je, pokud to pro její službu stanoví vyhláška č. 408/2025 Sb., pokud je její služba registrována jako služba subjektu kritické infrastruktury (§ 5 písm. d), § 8 odst. 3), nebo pokud má jakoukoli službu ve vyšším režimu: jedna organizace má jeden režim.

V režimu nižších povinností je tedy horní hranice u opatření a hlášení 175 mil. Kč. Procento z obratu se uplatní až u obratu nad 12,5 miliardy Kč. Za neohlášení služby platí hranice 250 mil. Kč nebo 2 % pro všechny.

Povinnosti s nejvyššími hranicemi jsou ty, které vás čekají tak jako tak: ohlásit službu, zavést opatření a hlásit incidenty.