Nižší vs. vyšší režim vs. kritická infrastruktura: jiná práce, jiné důsledky
Zákon č. 264/2025 Sb. dělí poskytovatele regulovaných služeb do režimu vyšších a nižších povinností. Na rozdíl od kategorií ve směrnici se tu liší i samotná práce: každý režim má vlastní vyhlášku s bezpečnostními opatřeními a jiný okruh hlášených incidentů. Subjekt kritické infrastruktury je vždy ve vyšším režimu.
Dva režimy, dvě vyhlášky
Směrnice NIS 2 mluví o základních a důležitých subjektech. Český zákon tyto pojmy nepoužívá: poskytovatel regulované služby je v režimu vyšších, nebo nižších povinností (§ 8 odst. 1). Rozdělení podle služeb stanoví vyhláška č. 408/2025 Sb. Svůj režim vidíte na Portálu NÚKIB (Chci vyřídit, Přehled podání); v rozhodnutí o registraci uveden není, protože se může měnit.
Tady se Česko od směrnice liší: na režimu záleží i pro samotnou práci. Nižší režim zavádí 13 oblastí opatření podle vyhlášky č. 410/2025 Sb., vyšší 25 oblastí podle vyhlášky č. 409/2025 Sb. (§ 14 zákona). Vyšší režim navíc hlásí širší okruh incidentů a má čtyři povinné bezpečnostní role, výbor pro řízení kybernetické bezpečnosti a audit nejméně jednou za 2 roky.
Společný mají oba režimy postup: ohlášení služby, stanovený rozsah, bezpečnostní opatření v míře nezbytné a hlášení incidentů přes Portál NÚKIB. Průvodce na nisd2.eu pokrývá oblasti opatření, které zákon vyžaduje v obou režimech; podrobnosti vyhlášek, zejména vyhlášky č. 409/2025 Sb., jdou místy dál.
| Kritérium | Režim nižších povinností | Režim vyšších povinností | Subjekt kritické infrastruktury |
|---|---|---|---|
| Velikost firmy | Zpravidla střední podnik: 50+ zaměstnanců NEBO >10 mil. EUR obrat a >10 mil. EUR bilanční suma. Ve výrobě, potravinách, chemii a odpadech i velký podnik | Zpravidla velký podnik: 250+ zaměstnanců NEBO >50 mil. EUR obrat a >43 mil. EUR bilanční suma. U některých služeb i střední podnik, například distribuce elektřiny s nejméně 90 000 odběrnými místy | Velikost nerozhoduje. Rozhoduje určení prvku kritické infrastruktury (§ 5 písm. d)) |
| Odvětví | 15 odvětví z § 4 odst. 1 zákona; služby a podmínky ve vyhlášce č. 408/2025 Sb., například výroba strojů (bod 7.3), potraviny (8.1 až 8.3) nebo odpady (11.1 až 11.4, jen při alespoň 5 % obratu) | Tatáž odvětví; zpravidla velké podniky v energetice, dopravě, zdravotnictví, vodním hospodářství nebo digitální infrastruktuře. Výjimky: sériový výrobce osobních automobilů (bod 7.4), objekt skupiny B podle zákona o prevenci závažných havárií (bod 9.4) | Služba odpovídající prvku kritické infrastruktury, který byl u subjektu určen; řízení o registraci lze zahájit jen z moci úřední (§ 6 odst. 3) |
| Zahrnutí nezávislé na velikosti | Například registrátor s více než 100 000 doménami .cz (bod 16.5) nebo nekvalifikovaný poskytovatel služeb vytvářejících důvěru, který je středním, malým nebo mikropodnikem (bod 16.12) | Kvalifikovaní poskytovatelé služeb vytvářejících důvěru (bod 16.12), správce registru domény nejvyšší úrovně (16.6), poskytovatelé DNS za podmínek bodu 16.4 a služby registrované podle § 5 (například jediný poskytovatel služby v Česku) | Bez ohledu na velikost a vždy v režimu vyšších povinností (§ 8 odst. 3) |
Střední podnik: 50+ zaměstnanců NEBO (>10 mil. EUR obrat A >10 mil. EUR bilanční suma). Obě finanční kritéria musí být splněna současně, vysoký obrat sám o sobě nestačí. Velký podnik: 250+ zaměstnanců NEBO (>50 mil. EUR obrat A >43 mil. EUR bilanční suma). Částky v eurech se přepočítávají kurzem ČNB k poslednímu dni předchozího roku (vyhláška č. 408/2025 Sb., § 2 odst. 2). Jaký režim z velikosti plyne, určuje vyhláška služba po službě. Tyto příklady ukazují, jak pravidla fungují v praxi.
| Scénář | Zaměstnanci | Obrat | Bilanční suma | Odvětví | Zařazení |
|---|---|---|---|---|---|
| Obchodní firma s vysokým obratem, malý tým | 12 | 25 mil. EUR | 18 mil. EUR | Finanční trh, úvěrová instituce (bod 17.1) | Nižší režim: střední podnik, oba finanční prahy překročeny (>10 mil. EUR), počet zaměstnanců nerozhoduje. Opatření a hlášení může nahradit nařízení DORA (§ 70 zákona) |
| Velký výrobce, nízká marže | 200 | 5 mil. EUR | 3 mil. EUR | Výroba strojů (bod 7.3) | Nižší režim: 200 zaměstnanců ≥ 50 stačí, obrat nerozhoduje |
| SaaS startup, vysoký obrat, malý tým | 8 | 15 mil. EUR | 4 mil. EUR | Cloud computing (bod 16.8) | Mimo působnost: obrat překračuje 10 mil. EUR, ale bilanční suma je pod 10 mil. EUR. Potřeba OBOU |
| Regionální nemocnice | 400 | 60 mil. EUR | 45 mil. EUR | Zdravotnictví, zdravotní péče (bod 18.1) | Vyšší režim: velký podnik poskytující zdravotní péči (bod 18.1). Je-li u nemocnice určen prvek kritické infrastruktury, plyne vyšší režim i z § 5 písm. d) a § 8 odst. 3 |
| Obchodník s energií, s nízkým objemem aktiv | 15 | 120 mil. EUR | 55 mil. EUR | Energetika, obchod s elektřinou (bod 2.4) | Vyšší režim: velký podnik, oba velké finanční prahy překročeny (>50 mil. EUR obrat A >43 mil. EUR bilanční suma) |
| Firma na svoz a likvidaci odpadu | 80 | 8 mil. EUR | 6 mil. EUR | Odpadové hospodářství (body 11.1 až 11.4) | Nižší režim: 80 zaměstnanců ≥ 50 přes nízký obrat, pokud služba tvoří alespoň 5 % obratu (podmínka vyhlášky č. 408/2025 Sb.) |
| Poskytovatel řízených služeb (MSP) | 45 | 12 mil. EUR | 11 mil. EUR | Digitální infrastruktura, řízené služby (bod 16.13) | Nižší režim: pod 50 zaměstnanci, ale oba finanční prahy překročeny, tedy střední podnik. Opatření podle prováděcího nařízení (EU) 2024/2690, podle pravidel pro důležité subjekty (§ 18 odst. 1 a 4 zákona) |
| Zpracovatel potravin, sezónní pracovní síla | 55 (roční průměr) | 9 mil. EUR | 7 mil. EUR | Potravinářský průmysl, zpracování potravin (bod 8.2) | Nižší režim: počet zaměstnanců se vyjadřuje v ročních pracovních jednotkách (čl. 5 přílohy doporučení 2003/361/ES). Sezónní pracovníci se započítávají poměrně |
| Kvalifikovaný poskytovatel služeb vytvářejících důvěru (qTSP) | 3 | 500 tis. EUR | 200 tis. EUR | Digitální infrastruktura, služby vytvářející důvěru (bod 16.12) | Vyšší režim bez ohledu na velikost: kvalifikovaný poskytovatel služby vytvářející důvěru (bod 16.12 vyhlášky č. 408/2025 Sb.) |
| Distributor chemikálií, velká dceřiná společnost | 180 | 70 mil. EUR | 50 mil. EUR | Chemický průmysl, distribuce chemických látek (bod 9.2) | Nižší režim: i velký podnik je u distribuce chemických látek v nižším režimu. Vyšší režim platí v chemii jen pro objekty skupiny B podle zákona o prevenci závažných havárií (bod 9.4) |
Prahy velikosti podle čl. 2 přílohy doporučení Komise 2003/361/ES, na které odkazuje § 4 odst. 1 písm. b) zákona č. 264/2025 Sb. Zaměstnanci se počítají v ročních pracovních jednotkách (čl. 5 přílohy). Propojené a partnerské podniky se sčítají podle čl. 3 přílohy, s českými odchylkami: čl. 3 odst. 4 se neuplatní a nepočítají se podniky, jejichž technická aktiva jsou zcela oddělena (§ 7 zákona). Služby a režimy podle vyhlášky č. 408/2025 Sb.; případy nezávislé na velikosti podle § 5 zákona a příslušných bodů vyhlášky.
Co mají oba režimy společné
Oblasti povinností jsou v obou režimech podobné a vycházejí z čl. 21 NIS 2. Rozsah a podrobnost opatření se ale liší podle vyhlášky pro váš režim. Odkazy níže jsou na § 14 zákona: odstavec 1 pro vyšší režim, odstavec 2 pro nižší.
- Řízení rizik (§ 14 odst. 1 písm. a) body 4 a 6; odst. 2 písm. d))
- Zvládání a hlášení incidentů: prvotní hlášení do 24 h, při významném dopadu oznámení do 72 h a závěrečná zpráva do 30 dnů (§§ 15 a 16); vyšší režim hlásí širší okruh incidentů
- Řízení kontinuity činností (§ 14 odst. 1 písm. a) bod 13, písm. b) bod 10; odst. 2 písm. f))
- Dodavatelé: požadavky opatření ve smlouvách (§ 13 odst. 5); ve vyšším režimu řízení dodavatelů (§ 14 odst. 1 písm. a) bod 7)
- Akvizice, vývoj a údržba, aplikační bezpečnost (§ 14 odst. 1 písm. a) bod 10, písm. b) bod 8; odst. 2 písm. l))
- Hodnocení účinnosti: ve vyšším režimu systém řízení bezpečnosti informací a audit, v nižším systém zajišťování minimální kybernetické bezpečnosti s roční aktualizací přehledu opatření (§ 14 odst. 1 písm. a) body 1 a 14; odst. 2 písm. a))
- Bezpečnost lidských zdrojů a školení (§ 14 odst. 1 písm. a) bod 8; odst. 2 písm. e))
- Kryptografické algoritmy (§ 14 odst. 1 písm. b) bod 9; odst. 2 písm. m))
- Řízení aktiv a přístupu (§ 14 odst. 1 písm. a) body 5 a 11, písm. b) bod 4; odst. 2 písm. c), g) a h))
- Ověřování identit, vícefaktorové ověření a bezpečnost komunikačních sítí (§ 14 odst. 1 písm. b) body 2 a 3; odst. 2 písm. h) a k))
- Ohlášení služby NÚKIB do 60 dnů a kontaktní a doplňující údaje do 30 dnů od doručení rozhodnutí (§ 6 odst. 1, § 11)
- Požadavky na vrcholné vedení: školení, zdroje, prokazatelné seznamování se stavem opatření (vyhláška č. 410/2025 Sb., § 4; č. 409/2025 Sb., § 4)
Platforma NISD2 proto vede oba režimy stejnou sadou požadavků NIS 2 a na českých stránkách u každého ukazuje místo v zákoně i v obou vyhláškách. Co vyhláška pro váš režim žádá navíc, doplníte podle ní.
| Povinnost | Nižší režim | Vyšší režim | Kritická infrastruktura |
|---|---|---|---|
| Bezpečnostní opatření (§ 14) | 13 oblastí, vyhláška č. 410/2025 Sb. | 25 oblastí, vyhláška č. 409/2025 Sb. | Jako vyšší režim |
| Hlášení incidentů (§§ 15 a 16) | Jen incidenty s významným dopadem, Národnímu CERT; 24 h / 72 h / 30 dnů | Každý incident s původem v kybernetickém prostoru, u kterého nelze vyloučit úmyslné zavinění, NÚKIB; 24 h / 72 h / 30 dnů | Jako vyšší režim |
| Ohlášení a údaje (§§ 6 a 11) | Ohlášení do 60 dnů, údaje do 30 dnů od doručení rozhodnutí | Ohlášení do 60 dnů, údaje do 30 dnů od doručení rozhodnutí | Registrace z moci úřední (§ 6 odst. 3), údaje do 30 dnů od doručení rozhodnutí |
| Vrcholné vedení | Osoba pověřená kybernetickou bezpečností, školení, zdroje, seznamování se s přehledem opatření (vyhláška č. 410/2025 Sb., § 4) | Čtyři bezpečnostní role, výbor pro řízení kybernetické bezpečnosti, školení (vyhláška č. 409/2025 Sb., § 4); možný zákaz výkonu funkce (§ 58) | Jako vyšší režim |
| Dozor NÚKIB | Kontrola NÚKIB (§ 55), nápravná opatření (§ 56) | Kontrola NÚKIB a nápravná opatření; navíc audit kybernetické bezpečnosti nejméně jednou za 2 roky (vyhláška č. 409/2025 Sb., § 16) | Jako vyšší režim |
| Maximální pokuta (pevná částka, § 59 odst. 4) | 175 000 000 Kč | 250 000 000 Kč | 250 000 000 Kč |
| Maximální pokuta (z obratu, platí vyšší z obou částek) | 1,4 % celosvětového ročního obratu | 2 % celosvětového ročního obratu | 2 % celosvětového ročního obratu |
| Detekce a zaznamenávání událostí | Ano: ochrana před škodlivým kódem, zaznamenávání událostí, doba uchování podle vlastních potřeb (vyhláška č. 410/2025 Sb., § 9) | Ano: detekce, zaznamenávání a vyhodnocování událostí, centrální sběr záznamů a jejich uchování alespoň 18 měsíců (vyhláška č. 409/2025 Sb., §§ 21 až 23) | Jako vyšší režim |
| Doklady o souladu | Přehled bezpečnostních opatření, aktualizace nejméně jednou ročně, uchování 4 roky (vyhláška č. 410/2025 Sb., § 3 odst. 2) | Prohlášení o aplikovatelnosti, plán zvládání rizik, audit nejméně jednou za 2 roky (vyhláška č. 409/2025 Sb., § 8 a § 16) | Jako vyšší režim |
Kritická infrastruktura: co říká zákon
Zákon č. 264/2025 Sb. nemá pro subjekty kritické infrastruktury zvláštní sadu povinností. Říká tři věci: jejich služba je regulovaná, řízení o její registraci zahajuje NÚKIB z moci úřední a její poskytovatel je v režimu vyšších povinností. Platí pro ně tedy totéž co pro každý vyšší režim.
§ 5 písm. d): která služba je regulovaná
Regulovanou službou je „služba odpovídající prvku kritické infrastruktury určenému u tohoto subjektu“; subjektem kritické infrastruktury se rozumí subjekt podle předpisu upravujícího krizové řízení a kritickou infrastrukturu. Ostatní služby téže firmy se posuzují podle § 4 a vyhlášky č. 408/2025 Sb. NÚKIB přitom uvádí princip „jedna organizace = jeden režim“: má-li firma vyšší režim u jedné služby, vztahuje se na všechny její regulované služby.
§ 6 odst. 3 a § 64 odst. 3: registrace z moci úřední
Řízení o registraci služby podle § 5 lze zahájit jen z moci úřední (§ 6 odst. 3). Ministerstva, jiné ústřední správní úřady a Česká národní banka informují NÚKIB o určení prvků kritické infrastruktury a o důvodech určení (§ 64 odst. 3). Splňuje-li ale tatáž služba i podmínky § 4 odst. 1, platí i ohlašovací povinnost do 60 dnů (§ 6 odst. 1). Po doručení rozhodnutí hlásíte do 30 dnů kontaktní a doplňující údaje jako každý poskytovatel (§ 11).
§ 8 odst. 3: vždy vyšší režim
Je-li služba registrována podle § 5, je její poskytovatel v režimu vyšších povinností. Platí pro něj vyhláška č. 409/2025 Sb.: mimo jiné čtyři bezpečnostní role, výbor pro řízení kybernetické bezpečnosti, hodnocení rizik nejméně jednou ročně, audit kybernetické bezpečnosti nejméně jednou za 2 roky a hlášení každého incidentu ve stanoveném rozsahu s původem v kybernetickém prostoru, u kterého nelze vyloučit úmyslné zavinění, NÚKIB. Pokuta až 250 milionů Kč nebo 2 % celosvětového ročního obratu (§ 59 odst. 4 písm. a)).
Co to znamená pro vaši firmu
Pokud jste česká firma s 50 až 250 zaměstnanci, budete zpravidla středním podnikem, a pokud poskytujete službu z vyhlášky č. 408/2025 Sb., nejspíš v režimu nižších povinností. To platí pro výrobu, potraviny, chemii a odpady i u velkých podniků. Ve vyšším režimu můžete být i jako střední podnik u některých služeb, například u distribuce elektřiny s nejméně 90 000 odběrnými místy nebo u výroby tepla od 50 MW. Svůj režim ověřte na Portálu NÚKIB.
Nižší režim neznamená, že stačí málo. I nižší režim má povinná opatření podle vyhlášky č. 410/2025 Sb., hlášení incidentů s významným dopadem a pokuty až 175 milionů Kč nebo 1,4 % celosvětového ročního obratu (§ 59 odst. 4 písm. b)). Při přechodu do vyššího režimu začnou lhůty pro údaje, opatření a hlášení běžet znovu (§ 9 odst. 2). Nejbezpečnější je zavést opatření podle vyhlášky pro svůj režim a sledovat, zda se služba nemění.
Často kladené otázky
Může být moje firma zároveň v nižším i ve vyšším režimu?
Ne. NÚKIB uvádí princip „jedna organizace = jeden režim“: pokud je firma u alespoň jedné služby ve vyšším režimu, vztahuje se tento režim na všechny její regulované služby. Subjekt kritické infrastruktury je vždy ve vyšším režimu (§ 8 odst. 3).
Jsem v nižším režimu. Mám méně práce?
Ano, méně, ale ne málo. Nižší režim zavádí 13 oblastí opatření podle vyhlášky č. 410/2025 Sb. místo 25 podle vyhlášky č. 409/2025 Sb. a hlásí jen incidenty s významným dopadem, a to Národnímu CERT. Ohlášení služby, stanovený rozsah, lhůty hlášení a povinnosti vrcholného vedení ale platí i pro vás.
Jak poznám, jestli jsem subjekt kritické infrastruktury?
Prvky kritické infrastruktury určují ministerstva, jiné ústřední správní úřady nebo Česká národní banka podle předpisů o krizovém řízení a kritické infrastruktuře a informují o tom NÚKIB (§ 64 odst. 3 zákona č. 264/2025 Sb.). Firma, u které žádný prvek kritické infrastruktury určen nebyl, se do vyššího režimu přes § 5 písm. d) nedostane; její režim určí vyhláška č. 408/2025 Sb.
Co se stane, když svůj režim odhadnu špatně?
Režim si neurčujete sami: rozdělení stanoví vyhláška č. 408/2025 Sb. a aktuální režim ukazuje Portál NÚKIB. Chybou bývá odhad před rozhodnutím: kdo počítá s nižším režimem a je ve vyšším, zavádí opatření podle nesprávné vyhlášky. Ověřte si režim na Portálu NÚKIB (Chci vyřídit, Přehled podání) a změny služby, které mohou režim změnit, hlaste do 60 dnů (§ 9 odst. 1).
Rozlišuje prováděcí nařízení (EU) 2024/2690 mezi režimy?
Nařízení se vztahuje na vybrané digitální poskytovatele (například cloud, DNS, řízené služby) a technické požadavky jeho přílohy jsou pro základní i důležité subjekty stejné. Český zákon přesto stanoví, že poskytovatel ve vyšším režimu se řídí ustanoveními nařízení pro základní subjekty a v nižším pro důležité subjekty (§ 18 odst. 4).
- Zákon č. 264/2025 Sb., §§ 4 až 8, podmínky registrace a režimy: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_8
- Zákon č. 264/2025 Sb., §§ 12 až 14, stanovený rozsah a bezpečnostní opatření: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_14
- Zákon č. 264/2025 Sb., § 5 písm. d), § 6 odst. 3 a § 64 odst. 3, kritická infrastruktura: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_5
- Zákon č. 264/2025 Sb., §§ 15 a 16, hlášení incidentů: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_15
- Zákon č. 264/2025 Sb., § 6 a § 11, ohlášení služby a hlášení údajů: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_6
- Zákon č. 264/2025 Sb., § 18, digitální poskytovatelé a prováděcí nařízení (EU) 2024/2690: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_18
- Zákon č. 264/2025 Sb., §§ 55 až 58, kontrola, nápravná opatření a zákaz výkonu funkce: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_55
- Vyhláška č. 408/2025 Sb., o regulovaných službách (služby a režimy): https://e-sbirka.gov.cz/sb/2025/408/2025-11-01
- Vyhláška č. 409/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností: https://e-sbirka.gov.cz/sb/2025/409/2025-11-01
- Zákon č. 264/2025 Sb., § 59, přestupky a pokuty: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_59
- Vyhláška č. 410/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu nižších povinností: https://e-sbirka.gov.cz/sb/2025/410/2025-11-01
- NÚKIB, Průvodce novým zákonem o kybernetické bezpečnosti (jedna organizace = jeden režim): https://portal.nukib.gov.cz/pruvodce-novym-zakonem-o-kyberneticke-bezpecnosti
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Registrace a hlášení
Ohlásit službu NÚKIB
Vaše firma ohlásí regulovanou službu NÚKIB, ten pak rozhodne o registraci.
Řízení a odpovědnost
Zajistit školení vedení
Každý člen vrcholného vedení, vstupně a pak pravidelně.
Posouzení účinnosti
Zapište přezkoumání vedením
Vedení kontroluje, zda opatření fungují, a schvaluje vaše dokumenty.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
