Spadá naše městská společnost pod zákon o kybernetické bezpečnosti?
Městské a obecní společnosti často poskytují několik regulovaných služeb najednou: teplo, elektřinu, pitnou vodu, kanalizaci, odpady, někdy i optickou síť. Každá služba se posuzuje podle vyhlášky č. 408/2025 Sb. Velikost se počítá za společnost jako celek, ne za jednotlivé divize, a to, že společnost vlastní obec, na tom nic nemění.
Krátká verze
Typická městská společnost (s.r.o. nebo a.s., kterou vlastní obec) provozuje pod jedním IČO několik činností: výrobu a rozvod tepla, vodovod a kanalizaci, nakládání s odpady, někdy distribuci elektřiny nebo městskou optickou síť. Vyhláška č. 408/2025 Sb. vede každou z nich jako samostatnou službu, například 5.2 provoz soustavy zásobování tepelnou energií, 10.1 vodovod, 10.2 kanalizace, 11.1 zařízení pro nakládání s odpady. K regulaci stačí jedna. Každou službu ohlašujete zvlášť, ale společnost zůstává jedním poskytovatelem s jedním režimem povinností.
Základní podmínku stanoví § 4 odst. 1 zákona č. 264/2025 Sb.: služba ze seznamu ve vyhlášce a střední nebo velký podnik podle doporučení Komise 2003/361/ES (alespoň 50 zaměstnanců, nebo obrat i bilanční suma nad 10 milionů eur). U vodovodu, kanalizace a odpadů vyhláška přidává podmínku, kterou směrnice nemá: příjmy ze služby musely za poslední účetní období tvořit alespoň 5 % obratu. U tepla, elektřiny, vody a kanalizace je velký podnik zpravidla v režimu vyšších povinností a střední v režimu nižších; u odpadů je střední i velký podnik v režimu nižších povinností.
Kritická infrastruktura v Česku nepřidává k zákonu o kybernetické bezpečnosti zvláštní třetí vrstvu. Zákon zná jen dva režimy (§ 8). Je-li společnost subjektem kritické infrastruktury, registruje NÚKIB službu odpovídající prvku kritické infrastruktury z moci úřední (§ 5 písm. d), § 6 odst. 3) a společnost je v režimu vyšších povinností bez ohledu na velikost (§ 8 odst. 3). Svůj aktuální režim uvidíte na Portálu NÚKIB (Chci vyřídit, Přehled podání); rozhodnutí o registraci ho neuvádí.
Směrnice NIS 2 (2022/2555), příloha I sektory 1, 6, 7, 8
1. Energetika, a) elektřina: […] provozovatelé distribuční soustavy ve smyslu čl. 2 bodu 29 směrnice (EU) 2019/944 […]; b) dálkové vytápění a chlazení: provozovatelé dálkového vytápění nebo dálkového chlazení ve smyslu čl. 2 bodu 19 směrnice Evropského parlamentu a Rady (EU) 2018/2001. 6. Pitná voda: dodavatelé a distributoři vody určené k lidské spotřebě ve smyslu čl. 2 bodu 1 písm. a) směrnice Evropského parlamentu a Rady (EU) 2020/2184 […]. 7. Odpadní voda: podniky zajišťující odvádění, vypouštění nebo čištění městských odpadních vod, splašek nebo průmyslových odpadních vod ve smyslu čl. 2 bodů 1, 2 a 3 směrnice Rady 91/271/EHS […]. 8. Digitální infrastruktura: […] poskytovatelé veřejných sítí elektronických komunikací; poskytovatelé veřejně dostupných služeb elektronických komunikací.
Směrnice dává rámec. Pro českou společnost ale rozhoduje seznam služeb ve vyhlášce č. 408/2025 Sb., ne přílohy směrnice: vyhláška je konkrétnější a odpady vede jako samostatné odvětví odpadové hospodářství (§ 4 odst. 1 písm. a) bod 7 zákona), které směrnice řadí do přílohy II. Městská společnost s elektrickou sítí, teplem, vodou, kanalizací a optickou sítí se tak dotýká několika odvětví najednou.
§ 4 odst. 1 a § 5 písm. d) zákona č. 264/2025 Sb.
Podmínky pro registraci regulované služby jsou splněny v případě, že a) jde o službu, která je významná pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice, v některém z těchto odvětví: […] 2. energetika, […] 6. vodní hospodářství, 7. odpadové hospodářství, […] a b) poskytovatel služby je středním nebo velkým podnikem ve smyslu doporučení Komise 2003/361/ES […], nebo je významný pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice. [§ 4 odst. 1] / Podmínky pro registraci regulované služby jsou dále splněny v případě, že […] d) jde o službu, jejíž poskytovatel je subjektem kritické infrastruktury podle právního předpisu upravujícího krizové řízení a kritickou infrastrukturu; […] [§ 5]
Velikost se počítá podle doporučení Komise 2003/361/ES se zvláštními pravidly § 7 zákona: obec ani jiný územní samosprávný celek se za podnik nepovažuje a čl. 3 odst. 4 doporučení (podnik, který z 25 % a více ovládají veřejné subjekty, nemůže být malým nebo středním podnikem) se neuplatní. NÚKIB ve svých otázkách k obcím k tomu píše, že mezi společností a obcí, která ji vlastní, „nedochází ke sčítání velikostních kritérií“. Částky v eurech se přepočítávají na koruny kurzem ČNB k poslednímu dni předchozího kalendářního roku (§ 2 odst. 2 vyhlášky č. 408/2025 Sb.).
Vyhláška č. 408/2025 Sb., příloha, body 10.1 a 10.2 (Česko)
Provozovatel vodovodu podle zákona o vodovodech a kanalizacích, jehož příjmy spojené s touto službou tvořily alespoň 5 % jeho obratu za poslední účetní období, je I. poskytovatelem regulované služby v režimu vyšších povinností v případě, že je velkým podnikem, nebo II. poskytovatelem regulované služby v režimu nižších povinností v případě, že je středním podnikem. [bod 10.1; bod 10.2 stanoví totéž pro provozovatele kanalizace]
Každá služba má v příloze vyhlášky vlastní řádek s podmínkami a režimem. Pro městskou společnost bývají podstatné: 2.3 distribuce elektřiny (regionální distribuční soustava s nejméně 90 000 odběrnými místy je v režimu vyšších povinností, i když nejde o velký podnik), 5.1 výroba tepelné energie (u držitele licence i na rozvod tepla, nebo od 50 MW instalovaného výkonu), 5.2 rozvod tepelné energie, 10.1 vodovod a 10.2 kanalizace (alespoň 5 % obratu), 11.1 zařízení pro nakládání s odpady a 11.4 přeprava odpadu (alespoň 5 % obratu, vždy režim nižších povinností). Energetické služby se vážou na licenci podle energetického zákona.
Které služby z vyhlášky č. 408/2025 Sb. poskytujete?
Projděte přílohu vyhlášky. Elektřina (výroba, distribuce, obchod). Teplo (výroba, rozvod). Plyn. Vodovod a kanalizace pro veřejnou potřebu. Zařízení pro nakládání s odpady, přeprava odpadu. Veřejná síť nebo služba elektronických komunikací. Vypište všechny, které poskytujete: každou ohlašujete zvlášť a do stanoveného rozsahu (§ 12 zákona) patří aktiva všech regulovaných služeb.
Jste alespoň střední podnik a tvoří služba 5 % obratu?
Alespoň 50 zaměstnanců, nebo obrat i bilanční suma nad 10 milionů eur, počítáno za celou společnost, ne za divize. Obec se do velikosti nepočítá (§ 7 písm. b) zákona). U vodovodu, kanalizace a odpadů musí služba za poslední účetní období navíc tvořit alespoň 5 % obratu. Pod hranicí středního podniku platí jen výjimky z vyhlášky, například distribuce elektřiny s nejméně 90 000 odběrnými místy nebo veřejné sítě a služby elektronických komunikací.
Jste subjektem kritické infrastruktury?
O tom nerozhoduje zákon o kybernetické bezpečnosti, ale předpis o krizovém řízení a kritické infrastruktuře; ministerstva a další úřady, které prvky kritické infrastruktury určují, o tom informují NÚKIB (§ 64 odst. 3 zákona). Je-li vaše společnost subjektem kritické infrastruktury, NÚKIB registruje odpovídající službu z moci úřední (§ 5 písm. d), § 6 odst. 3) a společnost je v režimu vyšších povinností (§ 8 odst. 3). Vyšší režim přináší mimo jiné audit kybernetické bezpečnosti alespoň jednou za 2 roky (vyhláška č. 409/2025 Sb., § 16 odst. 4).
Jedna společnost, jeden poskytovatel, jeden režim
Sedí-li teplo, voda, kanalizace a odpady v jedné s.r.o. nebo a.s., je poskytovatelem regulovaných služeb tato společnost. NÚKIB k tomu píše: „Pokud organizace spadá do režimu vyšších povinností u alespoň jedné služby, tento režim se automaticky vztahuje na všechny regulované služby poskytované touto organizací.“ Každou službu ohlašujete zvlášť a lhůty běží od doručení rozhodnutí o registraci každé služby (§ 13 odst. 4 zákona). Stanovený rozsah, řízení rizik a vedení jsou ale společné. Rozdělit práci mezi divize povinnost nerozdělí, jen ztíží koordinaci.
Kritická infrastruktura není podmínka regulace
To, že společnost není subjektem kritické infrastruktury, ji z regulace nevyjímá. Rozhodují služby z vyhlášky č. 408/2025 Sb. a velikost. Kritická infrastruktura, služba, jejíž narušení může vážně zasáhnout život více než 125 000 osob, nebo jiný důvod podle § 5 zákona mohou režim jen zvednout na vyšší. Střední společnost je podle vyhlášky typicky v režimu nižších povinností, ledaže ji zachytí některá z podmínek vyššího režimu.
NÚKIB / zákon č. 264/2025 Sb. a vyhláška č. 408/2025 Sb.
NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) je úřadem pro kybernetickou stránku energetiky, vody i odpadů. Ohlášení služby (§ 6 odst. 1 zákona, do 60 dnů od splnění podmínek), kontaktní a doplňující údaje (§ 11) i hlášení incidentů vyřizujete přes Portál NÚKIB s přihlášením identitou občana (NIA). V režimu vyšších povinností hlásíte incidenty NÚKIB, v režimu nižších Národnímu CERT, v obou případech přes Portál NÚKIB. NÚKIB vydává podpůrné materiály, mimo jiné otázky a odpovědi ke kybernetické bezpečnosti obcí a jejich společností.
Energetický regulační úřad a Český telekomunikační úřad
Energetické služby ve vyhlášce č. 408/2025 Sb. se vážou na licenci podle energetického zákona, kterou uděluje Energetický regulační úřad: podle druhu licence poznáte, který řádek vyhlášky platí. Provozuje-li společnost veřejnou síť nebo službu elektronických komunikací (například městskou optickou síť), je sektorovým regulátorem Český telekomunikační úřad. Kybernetické povinnosti podle zákona č. 264/2025 Sb. ale i v těchto případech vyřizujete s NÚKIB.
Technické prováděcí pokyny ENISA
ENISA vydala technická prováděcí vodítka k prováděcímu nařízení (EU) 2024/2690. To nařízení platí pro digitální poskytovatele, ne pro energetiku a vodu; vodítka mohou sloužit jako inspirace a jejich mapovací tabulka propojuje opatření s ISO 27001 a NIST CSF 2.0. Existující ISMS podle ISO 27001 pro jednu divizi je dobrý základ pro ostatní. Závazné jsou pro vás ale vyhlášky č. 409/2025 Sb. (vyšší režim) a č. 410/2025 Sb. (nižší režim).
Městské a obecní společnosti jinde
Ostatní členské státy provádějí NIS 2 vlastními zákony, například Německo zákonem o BSI, Rakousko zákonem NISG, Belgie zákonem NIS2-Wet. Rámec odvětví je ze směrnice společný, podmínky se ale liší: česká vyhláška například přidává podmínku 5 % obratu u vody a odpadů. Máte-li dceřinou společnost v jiném státě, posuzuje se podle práva tohoto státu.
Patříme městu, takže se na nás zákon o kybernetické bezpečnosti nevztahuje.
Obecní s.r.o. nebo a.s. je samostatná právnická osoba s vlastním IČO. NÚKIB k tomu píše: „Rozhodné bude, zda taková společnost poskytuje některou z regulovaných služeb a zároveň naplňuje kritéria velikosti. Není přitom důležité, že je zřizovatelem obec.“ Za podnik se nepovažuje jen sama obec (§ 7 písm. b) zákona), ne společnosti, které vlastní. Totéž platí pro příspěvkové organizace obce.
Nejsme kritická infrastruktura, takže se nás zákon netýká.
Kritická infrastruktura rozhoduje jen o tom, zda vás NÚKIB z moci úřední zařadí do režimu vyšších povinností (§ 5 písm. d), § 8 odst. 3). O tom, zda jste regulovaní vůbec, rozhodují služby a velikost podle § 4 odst. 1 zákona a vyhlášky č. 408/2025 Sb. Střední společnost, které vodovod přináší alespoň 5 % obratu, je poskytovatelem regulované služby v režimu nižších povinností, i když kritickou infrastrukturou není.
Každá divize si kybernetickou bezpečnost řeší sama.
Poskytovatelem je společnost, ne divize. Jeden režim pro celou organizaci, jeden stanovený rozsah, do kterého patří aktiva všech regulovaných služeb, jedno vedení, které nese povinnosti z vyhlášek. Ohlášení a rozhodnutí o registraci jsou sice po službách, ale řízení rizik a bezpečnostní politika mají smysl jen společné. Samostatná sila pro každou divizi vedou ke zdvojené práci a k mezerám na rozhraních.
Smyšlený příklad: Teplárny a vodárny Příkladov s.r.o., 100 % vlastněná městem, 180 zaměstnanců, obrat zhruba 800 milionů Kč. Provozuje rozvod tepla (licence na rozvod tepelné energie), vodovod a kanalizaci (každá služba přes 5 % obratu) a svoz odpadu (8 % obratu). Se 180 zaměstnanci a tímto obratem je středním podnikem; město se do velikosti nepočítá (§ 7 písm. b) zákona). Poskytuje tedy regulované služby 5.2, 10.1, 10.2 a 11.4, všechny v režimu nižších povinností, pokud ji NÚKIB neregistroval podle § 5.
Prakticky to znamená: každou službu ohlásit přes Portál NÚKIB, do 30 dnů od doručení rozhodnutí o registraci nahlásit kontaktní a doplňující údaje (§ 11), stanovit jeden rozsah pro aktiva tepla, vody, kanalizace i svozu a nejpozději do roka od doručení rozhodnutí zavádět opatření podle vyhlášky č. 410/2025 Sb. a hlásit incidenty s významným dopadem Národnímu CERT. Kdyby narušení dodávek tepla mohlo vážně zasáhnout život více než 125 000 osob nebo byla společnost subjektem kritické infrastruktury, mohl by ji NÚKIB registrovat podle § 5 a pro celou společnost by platil režim vyšších povinností s vyhláškou č. 409/2025 Sb.
- Směrnice (EU) 2022/2555 (NIS 2), příloha I, sektory 1, 6, 7 a 8: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, §§ 4 a 5 (podmínky registrace): https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_4
- Doporučení Komise 2003/361/ES o definici mikropodniků, malých a středních podniků: https://eur-lex.europa.eu/eli/reco/2003/361/oj
- Zákon č. 264/2025 Sb., § 7 (velikost podniku) a § 8 (režim): https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_7
- Vyhláška č. 408/2025 Sb., o regulovaných službách, příloha (body 2.3, 5.1, 5.2, 10.1, 10.2, 11.1 až 11.4): https://e-sbirka.gov.cz/sb/2025/408/2025-11-01
- NÚKIB, Otázky ke kybernetické bezpečnosti obcí: https://portal.nukib.gov.cz/informacni-servis/faq/faq-kyberneticka-bezpecnost-obci; Průvodce novým zákonem o kybernetické bezpečnosti: https://portal.nukib.gov.cz/pruvodce-novym-zakonem-o-kyberneticke-bezpecnosti
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Registrace a hlášení
Ohlásit službu NÚKIB
Vaše firma ohlásí regulovanou službu NÚKIB, ten pak rozhodne o registraci.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
