Stav NIS 2 v České republice
Co směrnice vyžaduje, jak ji Česká republika transponuje a kde v obrazu sedí NÚKIB.
Přehled
Směrnice NIS 2 je vrstva EU. Zavazuje každý členský stát, včetně České republiky, jedním minimem kybernetické bezpečnosti pro základní a důležité subjekty. Česká republika musí toto minimum vtělit do českého práva a vykonávat podle něj dozor.
Česká republika transponuje NIS 2 zákonem č. 264/2025 Sb., novým zákonem o kybernetické bezpečnosti, přijatým 11. června 2025, vyhlášeným ve Sbírce zákonů 4. srpna 2025 a účinným od 1. listopadu 2025. Nahrazuje dřívější zákon č. 181/2014 Sb. a podstatně rozšiřuje okruh regulovaných subjektů a služeb.
NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) je ústřední správní úřad pro kybernetickou bezpečnost a spravuje Portál NÚKIB. Poskytovatel služby, která splňuje podmínky pro registraci, ji sám ohlásí přes Portál NÚKIB do 60 dnů ode dne, kdy podmínky začal splňovat (§ 6 odst. 1 zákona). U většiny firem to znamenalo do 31. prosince 2025. O registraci pak rozhodne NÚKIB. Vládní CERT (GovCERT.CZ) je součástí NÚKIB, Národní CERT (CSIRT.CZ) provozuje sdružení CZ.NIC.
Směrnice EU
Směrnice (EU) 2022/2555 (NIS 2)
Celounijní směrnice o kybernetické bezpečnosti. Stanoví povinnosti, které musí každý členský stát transponovat, včetně testů velikosti a sektoru pro základní a důležité subjekty.
Provádění EU
Prováděcí nařízení Komise (EU) 2024/2690
Technická a metodická opatření pro vybrané poskytovatele digitální infrastruktury a digitálních služeb, mimo jiné DNS, cloud computing, datová centra, řízené a řízené bezpečnostní služby, on-line tržiště a služby vytvářející důvěru. Přímo použitelné v České republice bez národní transpozice; zákon č. 264/2025 Sb. na ně pro tyto regulované služby odkazuje v § 18 odst. 1.
Česká transpozice
Zákon č. 264/2025 Sb., o kybernetické bezpečnosti
Nový český zákon o kybernetické bezpečnosti. Přijat 11. června 2025, vyhlášen 4. srpna 2025, účinný od 1. listopadu 2025. Zrušil zákon č. 181/2014 Sb. (§ 72). Podrobnosti stanoví vyhlášky NÚKIB: č. 408/2025 Sb. (regulované služby), č. 409/2025 Sb. (režim vyšších povinností), č. 410/2025 Sb. (režim nižších povinností) a č. 334/2025 Sb. (Portál NÚKIB, ohlášení a hlášení).
Zákon č. 264/2025 Sb.
Přenáší povinnosti NIS 2 do českého práva. Rozlišuje dva režimy poskytovatele regulované služby, režim vyšších a režim nižších povinností (§ 8), a upravuje dozor NÚKIB, hlášení kybernetických bezpečnostních incidentů a pokuty. Za většinu přestupků poskytovatele lze podle § 59 odst. 4 uložit pokutu až 250 mil. Kč nebo 2 % čistého celosvětového ročního obratu (vyšší režim), resp. 175 mil. Kč nebo 1,4 % (nižší režim), podle toho, která částka je vyšší. Od 1. listopadu 2025 nahradil zákon č. 181/2014 Sb.
NÚKIB jako ústřední dozorový orgán
NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) se sídlem v Brně rozhoduje o registraci regulovaných služeb, spravuje Portál NÚKIB, provádí kontrolu plnění povinností a ukládá správní tresty (§ 42 zákona). Přestupky projednává NÚKIB (§ 62 odst. 1). Vládní CERT (GovCERT.CZ) je součástí NÚKIB. Národní CERT (§ 43) provozuje na základě veřejnoprávní smlouvy s NÚKIB sdružení CZ.NIC pod názvem CSIRT.CZ.
Registrace a hlášení
Službu, která splňuje podmínky pro registraci, poskytovatel ohlásí přes Portál NÚKIB do 60 dnů (§ 6 odst. 1), u většiny firem do 31. prosince 2025. Od doručení rozhodnutí o registraci běží 30 dnů na kontaktní a doplňující údaje (§ 11) a nejpozději do 1 roku musí poskytovatel začít zavádět bezpečnostní opatření a hlásit incidenty (§ 13 odst. 4, § 15 odst. 4). Režim v rozhodnutí uveden není, ukazuje ho Portál NÚKIB. Incident: prvotní hlášení do 24 hodin, při významném dopadu oznámení do 72 hodin a závěrečná zpráva do 30 dnů od oznámení (§ 16).
Uvnitř České republiky platí místní právo
Zákon č. 264/2025 Sb. se vztahuje na osoby usazené v České republice a na poskytovatele sítí a služeb elektronických komunikací bez ohledu na místo usazení (§ 1 odst. 2). Česká dceřiná společnost zahraniční skupiny proto čte český zákon, ne zákon země mateřské společnosti (v Německu BSIG). Povinnosti ze směrnice jsou stejné. Postup, portál a sankce upravuje české právo.
Česká republika nemůže jít pod minimum EU
Směrnice je nástroj minimální harmonizace. Česká republika může jít přísněji a historicky šla díky režimu kybernetické bezpečnosti z roku 2014, který v některých bodech už přesahoval NIS 1. Nemůže klesnout pod směrnici v povinnostech základních a důležitých subjektů, lhůtách pro hlášení incidentů ani v odpovědnosti řídícího orgánu.
NÚKIB
Ústřední správní úřad pro kybernetickou bezpečnost (§ 42 odst. 1 zákona). Přijímá ohlášení a rozhoduje o registraci regulovaných služeb, spravuje Portál NÚKIB, vydává prováděcí vyhlášky a metodiky, provádí kontrolu a ukládá správní tresty. Hlášení incidentů od poskytovatelů v režimu vyšších povinností přijímá přímo NÚKIB (§ 15 odst. 1), jeho týmem je vládní CERT (GovCERT.CZ). Navazuje na zkušenost z režimu zákona č. 181/2014 Sb.
Sektorové úřady
Kontrolu plnění povinností podle zákona č. 264/2025 Sb. provádí NÚKIB, odvětvoví regulátoři ji nepřebírají. Kde odvětvový předpis EU ukládá alespoň srovnatelné povinnosti, ustanovení zákona o bezpečnostních opatřeních a hlášení incidentů se neuplatní (§ 70): finanční subjekty se řídí nařízením DORA pod dohledem ČNB (Česká národní banka). ERÚ a ČTÚ si ponechávají svou odvětvovou regulaci. CSIRT.CZ, provozovaný sdružením CZ.NIC, plní úlohu Národního CERT: přijímá hlášení incidentů od poskytovatelů v režimu nižších povinností (§ 15 odst. 2).
ENISA
Agentura EU pro kybernetickou bezpečnost. Vydává pokyny, spravuje evropskou databázi zranitelností a podporuje přeshraniční koordinaci. Není dozorovým orgánem pro české subjekty. Tím je NÚKIB.
Naše německá mateřská společnost je registrovaná podle BSIG, takže český subjekt je krytý.
Směrnice je jedno minimum, postup je ale národní. Zákon č. 264/2025 Sb. se vztahuje na osoby usazené v České republice (§ 1 odst. 2). Česká dceřiná společnost, která poskytuje regulovanou službu, ji sama ohlásí přes Portál NÚKIB (§ 6 odst. 1). Registrace mateřské společnosti podle německého BSIG ji nenahrazuje. O příslušnosti nerozhoduje struktura skupiny, ale místo usazení.
Nebyli jsme na starém registru zákona 181/2014, takže se nás to netýká.
Zákon č. 264/2025 Sb. stojí na samoidentifikaci: poskytovatel službu sám ohlásí (§ 6 odst. 1). Dřívější určení podle zákona č. 181/2014 Sb. (KII, VIS, provozovatelé základních služeb) se do nového režimu nepřenášejí jedna ku jedné. Každá firma se musí posoudit podle vyhlášky č. 408/2025 Sb., která vymezuje 102 regulovaných služeb v 15 odvětvích zákona (§ 4 odst. 1 písm. a)). Mnoho firem mimo starý režim do nového spadá.
NIS 2 je jen pro energetiku, telekomunikace a banky. Výroba nebo odpady jsou mimo.
Zákon pokrývá 15 odvětví (§ 4 odst. 1 písm. a)), mezi nimi výrobní, potravinářský a chemický průmysl, odpadové hospodářství, poštovní a kurýrní služby a digitální infrastrukturu a služby. U výroby, potravin, chemie, odpadů a pošty zařazuje vyhláška č. 408/2025 Sb. střední a velké podniky zpravidla do režimu nižších povinností (u odpadů, pokud služba tvoří alespoň 5 % obratu). Rozhoduje seznam služeb ve vyhlášce, ne intuice.
Většina českých středních firem, které vidíme, bere NIS 2 jako rozšíření režimu zákona č. 181/2014 Sb. To je z poloviny pravda. NÚKIB dál vykonává dozor a spolu s Národním CERT přijímá hlášení incidentů, ale okruh regulovaných služeb je mnohem širší, režim vyšších a nižších povinností mění rozsah povinností podle služby a vrcholné vedení (jednatel nebo představenstvo) má vlastní povinnosti: absolvuje školení a prokazatelně se seznamuje se stavem plnění bezpečnostních opatření (režim nižších povinností, vyhláška č. 410/2025 Sb., § 4 písm. b) a d)), resp. se zprávou o hodnocení rizik, plánem zvládání rizik a výsledky auditů (režim vyšších povinností, vyhláška č. 409/2025 Sb., § 4 odst. 1 písm. a) a odst. 2).
Praktický postup je stejný jako všude v EU: ověřit, zda poskytujete regulovanou službu podle vyhlášky č. 408/2025 Sb., ohlásit ji přes Portál NÚKIB, zavést čtyři průběžné povinnosti (aktuální údaje o registraci, hlášení incidentů, rizika dodavatelů, dohled vedení) a zdokumentovat minimum. Dokumentace z režimu roku 2014 pomáhá, ale registr povinností NIS 2 nenahrazuje.
- Směrnice (EU) 2022/2555 (NIS 2), EUR-Lex: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Prováděcí nařízení Komise (EU) 2024/2690, EUR-Lex: https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti (vyhlášen 4. srpna 2025): https://e-sbirka.gov.cz/sb/2025/264/2025-11-01; vyhlášky č. 408/2025 Sb.: https://e-sbirka.gov.cz/sb/2025/408/2025-11-01, č. 409/2025 Sb.: https://e-sbirka.gov.cz/sb/2025/409/2025-11-01 a č. 410/2025 Sb.: https://e-sbirka.gov.cz/sb/2025/410/2025-11-01
- Zákon č. 181/2014 Sb., o kybernetické bezpečnosti, předchozí rámec, zrušen § 72 zákona č. 264/2025 Sb.: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_72
- NÚKIB, Národní úřad pro kybernetickou a informační bezpečnost (Brno): https://nukib.gov.cz; Portál NÚKIB: https://portal.nukib.gov.cz
- GovCERT.CZ, vládní CERT, součást NÚKIB: https://nukib.gov.cz/cs/kyberneticka-bezpecnost/
- CSIRT.CZ, Národní CERT, provozovaný sdružením CZ.NIC: https://csirt.cz
- Česká národní banka (ČNB), příslušný orgán podle DORA pro finanční sektor: https://www.cnb.cz
- Evropská komise, sledování transpozice NIS 2, Česká republika
V praxi
Co mění národní zákon a co ne
Národní zákon mimo jiné určuje, kde se registrujete a komu hlásíte incidenty. Samotná opatření vycházejí ve všech členských státech ze stejného minimálního seznamu (čl. 21 NIS 2). Průvodce vás jimi provede krok za krokem:
Řízení rizik
Sepište, co vaše firma má
Seznam procesů, programů a zařízení, se kterými pracujete.
Řešení incidentů
Naplánujte, co se stane při incidentu
Kdo rozhoduje, komu voláte, jak se spojíte.
Posouzení účinnosti
Zapište přezkoumání vedením
Vedení kontroluje, zda opatření fungují, a schvaluje vaše dokumenty.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
