Zákon č. 264/2025 Sb. · NÚKIB

NIS 2 v Česku: co vyžaduje zákon o kybernetické bezpečnosti a od kdy

Česko převedlo NIS 2 do svého práva zákonem č. 264/2025 Sb., o kybernetické bezpečnosti, účinným od 1. listopadu 2025. Dotčené firmy ohlásí službu NÚKIB, zavedou bezpečnostní opatření a hlásí incidenty, a to v režimu vyšších, nebo nižších povinností. Na opatření a hlášení incidentů mají nejpozději 1 rok od doručení rozhodnutí o registraci.

Vyzkoušet 30 dní, peníze zpět

Domluvit hovor

Rozhoduje někdo jiný? Jedna stránka pro vaše vedení Bezplatné školení pro vašeho jednatele

Simon Orzel·Naposledy zkontrolováno 5. října 2026

Zákon

Směrnici NIS 2 převedl do českého práva zákon č. 264/2025 Sb., o kybernetické bezpečnosti. Nabyl účinnosti 1. listopadu 2025 a zrušil dosavadní zákon č. 181/2014 Sb.

Podrobnosti stanoví čtyři vyhlášky NÚKIB, účinné od téhož dne: č. 334/2025 Sb. (Portál NÚKIB a hlášení), č. 408/2025 Sb. (regulované služby a režimy), č. 409/2025 Sb. (opatření ve vyšším režimu) a č. 410/2025 Sb. (opatření v nižším režimu). Bezpečnostní opatření a hlášení incidentů musí každá firma začít plnit nejpozději do 1 roku od doručení svého rozhodnutí o registraci.

Příslušným úřadem je Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB). Incidenty v režimu nižších povinností přijímá Národní CERT.

Zákon č. 264/2025 Sb., § 72 a § 73

Klíčová data

16. ledna 2023

Směrnice (EU) 2022/2555 (NIS 2), zveřejněná 27. prosince 2022 v Úředním věstníku EU, vstupuje v platnost.

17. října 2024

Lhůta EU pro převedení směrnice do národního práva. Česko ji nestihlo: zákon č. 264/2025 Sb. je ze dne 11. června 2025.

4. srpna 2025

Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, je vyhlášen ve Sbírce zákonů.

1. listopadu 2025

Zákon a vyhlášky č. 334, 408, 409 a 410/2025 Sb. nabývají účinnosti. Zákon č. 181/2014 Sb. se ruší.

31. prosince 2025

Konec 60denní lhůty k ohlášení služby pro firmy, které podmínky splnily dnem účinnosti zákona.

Začátek února 2026

NÚKIB rozesílá rozhodnutí o registraci. Dnem doručení začíná u každé firmy běžet roční lhůta.

Kolem února 2027

U firem, kterým rozhodnutí přišlo v únoru 2026, končí roční lhůta: bezpečnostní opatření a hlášení incidentů musí běžet.

Všechny lhůty v přehledu

Koho se to týká

Firma je dotčená, pokud poskytuje službu ze seznamu ve vyhlášce č. 408/2025 Sb. v jednom z 15 odvětví zákona a je středním nebo velkým podnikem podle doporučení Komise 2003/361/ES. U některých služeb rozhodují jiné podmínky než velikost.

Alespoň středním podnikem je firma s alespoň 50 zaměstnanci, nebo s ročním obratem i bilanční sumou vždy přes 10 milionů EUR. Velkým podnikem je firma s alespoň 250 zaměstnanci, nebo s obratem přes 50 milionů EUR a zároveň bilanční sumou přes 43 milionů EUR. Částky v eurech se přepočítávají kurzem ČNB k poslednímu dni předchozího roku. Propojené firmy, jejichž technická aktiva jsou zcela oddělena, se nesčítají.

Režim určuje vyhláška č. 408/2025 Sb. služba po službě. Velký podnik v odvětvích jako energetika, doprava nebo zdravotnictví bývá v režimu vyšších povinností, střední v nižším. Výroba, potraviny, chemie a odpady jsou většinou v nižším režimu i u velkého podniku; výjimkou je například sériový výrobce osobních automobilů. Bez ohledu na velikost jsou ve vyšším režimu například kvalifikovaní poskytovatelé služeb vytvářejících důvěru a subjekty kritické infrastruktury.

Směrnice EU mluví o základních a důležitých subjektech. Český zákon tyto pojmy nepoužívá: zná poskytovatele regulované služby v režimu vyšších, nebo nižších povinností. Vyšší režim zhruba odpovídá základním subjektům a nižší důležitým, ale ne vždy.

NÚKIB nabízí na svém portálu kalkulačku, která ukáže, zda se vás zákon pravděpodobně týká a do jakého režimu byste spadali. Povinnost ohlásit službu ale vzniká splněním podmínek, ne výsledkem kalkulačky. Regulovanou službou se služba stává rozhodnutím NÚKIB.

§§ 3 až 8 zákona č. 264/2025 Sb. · vyhláška č. 408/2025 Sb.

Čtyři povinnosti

Ohlásit službu NÚKIB

Do 60 dnů od splnění podmínek, přes Portál NÚKIB. NÚKIB pak vydá rozhodnutí o registraci. Do 30 dnů od jeho doručení nahlásíte kontaktní a doplňující údaje, jejich změny do 14 dnů.

§ 6 odst. 1, § 11 zákona č. 264/2025 Sb.

Více k tomu

Zavést bezpečnostní opatření

Ve stanoveném rozsahu a v míře nezbytné pro bezpečnost regulované služby. Oblasti vyjmenovává zákon, obsah stanoví vyhláška č. 409/2025 Sb. (vyšší režim), nebo č. 410/2025 Sb. (nižší režim). Nejpozději do 1 roku od doručení rozhodnutí o registraci.

§§ 12 až 14 zákona č. 264/2025 Sb.

Více k tomu

Hlásit incidenty

Přes Portál NÚKIB, prvotní hlášení do 24 hodin od zjištění. Vyšší režim hlásí NÚKIB, nižší režim jen incidenty s významným dopadem, a to Národnímu CERT. Při významném dopadu následuje oznámení do 72 hodin a závěrečná zpráva do 30 dnů od oznámení.

§§ 15 a 16 zákona č. 264/2025 Sb.

Více k tomu

Vedení

Vrcholné vedení prokazatelně absolvuje školení, zajistí zdroje a prokazatelně se seznamuje se stavem bezpečnostních opatření. Ve vyšším režimu navíc zřídí výbor pro řízení kybernetické bezpečnosti a určí čtyři bezpečnostní role.

vyhláška č. 410/2025 Sb., § 4 · vyhláška č. 409/2025 Sb., § 4

Více k tomu

Jak NÚKIB kontroluje

NÚKIB vykonává kontrolu plnění zákona a vyhlášek, a to u obou režimů. Zjistí-li nedostatky, může uložit jejich odstranění ve stanovené lhůtě (nápravné opatření).

Ve vyšším režimu si firma navíc sama zajišťuje audit kybernetické bezpečnosti, nejméně jednou za 2 roky (vyhláška č. 409/2025 Sb., § 16 odst. 4). Jen ve vyšším režimu může NÚKIB dočasně zakázat výkon funkce členovi statutárního orgánu, který opakovaně nebo závažně zmaří nápravné opatření.

Přestupky projednává NÚKIB. Za porušení povinností hrozí pokuta až 250 milionů Kč nebo 2 % celosvětového ročního obratu ve vyšším režimu a až 175 milionů Kč nebo 1,4 % v nižším režimu, podle toho, která částka je vyšší.

§§ 55, 56, 58, 59 a 62 zákona č. 264/2025 Sb.

Pokuty podrobně

Co to znamená pro firmu s 50 až 150 zaměstnanci

Taková firma je zpravidla středním podnikem. Pokud poskytuje službu z vyhlášky č. 408/2025 Sb., je obvykle v režimu nižších povinností; u některých služeb je i střední podnik ve vyšším režimu. Svůj režim najdete na Portálu NÚKIB (Chci vyřídit, Přehled podání); v rozhodnutí o registraci uveden není.

Oba režimy mají stejné kroky, ale ne stejnou práci: nižší režim zavádí 13 oblastí opatření podle vyhlášky č. 410/2025 Sb., vyšší 25 podle vyhlášky č. 409/2025 Sb. Nižší režim hlásí jen incidenty s významným dopadem.

Opatření se zavádějí jen ve stanoveném rozsahu a v míře nezbytné pro bezpečnost regulované služby. Vyhláška pro nižší režim žádá opatření přiměřená bezpečnostním potřebám. Firma s 80 zaměstnanci nemusí budovat to, co potřebuje velký koncern.

§ 13 odst. 2 a § 14 zákona č. 264/2025 Sb. · vyhláška č. 410/2025 Sb., § 3 odst. 1

Příklad

Smyšlená firma: odpadová firma Příklad s.r.o. se 75 zaměstnanci.

Nakládání s odpady je ve vyhlášce č. 408/2025 Sb. v bodech 11.1 až 11.4. Se 75 zaměstnanci je firma středním podnikem, a protože jí služba přináší alespoň 5 % obratu, je v režimu nižších povinností.

Jednatelka Jana Nováková se přihlásí na Portál NÚKIB přes Identitu občana (NIA) a službu ohlásí. Po doručení rozhodnutí nahlásí do 30 dnů kontaktní a doplňující údaje.

Sepíše, s čím pracuje: plánování tras, váhy, fakturace, sledování vozidel. Z toho určí stanovený rozsah a z něj vyplývají opatření.

V plánu zvládání incidentů stojí, kdo incident hlásí Národnímu CERT. Jednatelka absolvuje školení pro vrcholné vedení a prokazatelně se seznámí s přehledem bezpečnostních opatření.

Jak to probíhá v průvodci

Průvodce na nisd2.eu vás krok za krokem provede oblastmi opatření, které zákon č. 264/2025 Sb. vyžaduje v obou režimech. Podrobnosti vyhlášek, zejména vyhlášky č. 409/2025 Sb., jdou místy dál.

20 kroků. Subjekty kritické infrastruktury mají o jeden krok víc.

U každého kroku je předpis, vysvětlený jednoduchými slovy.

Ohlášení a registrace, opatření, hlášení incidentů a školení vedení jsou samostatné kroky.

Z vašich odpovědí vznikne šest dokumentů, mezi nimi bezpečnostní politika a oba nouzové plány.

Na konci vedení schválí dokumenty v aplikaci pod vlastním účtem. Jméno a datum se pak objeví na každém dokumentu.

Začít prvním krokem

Časté otázky

Od kdy platí NIS 2 v Česku?

Zákon č. 264/2025 Sb. je účinný od 1. listopadu 2025. Bezpečnostní opatření a hlášení incidentů musíte začít plnit nejpozději do 1 roku od doručení rozhodnutí o registraci (§ 13 odst. 4, § 15 odst. 4).

Jak se jmenuje český zákon k NIS 2?

Zákon č. 264/2025 Sb., o kybernetické bezpečnosti. Nahradil zákon č. 181/2014 Sb. Povinnosti firem jsou například v § 6 (ohlášení), §§ 12 až 14 (rozsah a opatření) a §§ 15 a 16 (hlášení incidentů). Podrobnosti stanoví vyhlášky č. 408/2025 Sb., 409/2025 Sb. a 410/2025 Sb.

Musí každá dotčená firma službu ohlásit NÚKIB?

Ano. Kdo splní podmínky podle § 4 odst. 1, ohlásí službu nejpozději do 60 dnů (§ 6 odst. 1), aniž by ho NÚKIB vyzval. Neohlášení je přestupek (§ 60 odst. 1 písm. a)). Výjimkou jsou služby podle § 5, například subjektů kritické infrastruktury: ty registruje NÚKIB z moci úřední.

Kdo kontroluje zavádění?

NÚKIB (§ 55). Zjistí-li nedostatky, uloží nápravné opatření (§ 56). Přestupky projednává také NÚKIB (§ 62 odst. 1).

Zdroje

Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, §§ 3 až 16, 55 až 62, 72 a 73: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01
Vyhláška č. 408/2025 Sb., o regulovaných službách: https://e-sbirka.gov.cz/sb/2025/408/2025-11-01
Směrnice (EU) 2022/2555 (NIS 2), čl. 41 a 45: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
NÚKIB: kalkulačka regulace, https://portal.nukib.gov.cz/kalkulacka

V praxi

Kde se to objevuje v průvodci

Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.

Registrace a hlášení
Ohlásit službu NÚKIB
Vaše firma ohlásí regulovanou službu NÚKIB, ten pak rozhodne o registraci.
Řešení incidentů
Vědět, jak nahlásit incident
Až tři hlášení s pevnými lhůtami, přes Portál NÚKIB.
Řízení a odpovědnost
Zajistit školení vedení
Každý člen vrcholného vedení, vstupně a pak pravidelně.