Zákon č. 264/2025 Sb.: česká transpozice NIS 2
NIS 2 je směrnice EU. Článek 41 uložil každému členskému státu převést ji do svého práva do 17. října 2024. Česko tuto lhůtu nestihlo. Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, je ze dne 11. června 2025 a účinný od 1. listopadu 2025. Zdrojem povinností je stále směrnice, jejich podrobnosti ale stanoví český zákon a vyhlášky.
Stručná verze
NIS 2 je směrnice, nikoli nařízení. Směrnice zavazují členské státy k výsledku. Každý stát musí napsat vlastní zákon, který tohoto výsledku dosáhne. NIS 2 tak stanoví jeden celoevropský základ kybernetických povinností napříč 27 transpozičními zákony.
Česká transpozice je zákon č. 264/2025 Sb., o kybernetické bezpečnosti. Je to samostatný nový zákon, ne novela: má 73 paragrafů a zrušil dosavadní zákon č. 181/2014 Sb. i vyhlášky k němu, například č. 82/2018 Sb. (§ 72). Sám o sobě uvádí, že zapracovává příslušný předpis EU, tedy směrnici NIS 2 (§ 1 odst. 3).
Česko nestihlo lhůtu 17. října 2024 z článku 41 NIS 2. Zákon byl vyhlášen 4. srpna 2025 a nabyl účinnosti 1. listopadu 2025 (§ 73). Od té doby nebyl novelizován. Povinnosti poskytovatelů regulovaných služeb jsou v zákoně a v prováděcích vyhláškách NÚKIB.
Směrnice NIS 2 (EU) 2022/2555, čl. 1 odst. 1
Touto směrnicí se stanoví opatření, jejichž účelem je dosáhnout vysoké společné úrovně kybernetické bezpečnosti v rámci Unie s cílem zlepšit fungování vnitřního trhu.
NIS 2 je směrnice. Byla přijata 14. prosince 2022 a vstoupila v platnost 16. ledna 2023. Zavazuje každý členský stát ke stejnému standardu. Podstata každého vnitrostátního zákona NIS 2 v EU vychází z tohoto textu.
Článek 41 odst. 1 NIS 2
Členské státy do 17. října 2024 přijmou a zveřejní opatření nezbytná pro dosažení souladu s touto směrnicí. Neprodleně o nich uvědomí Komisi. Použijí tato opatření ode dne 18. října 2024.
Článek 41 je transpoziční ustanovení. Stanovil dvě data. Vnitrostátní zákony musely být přijaty do 17. října 2024. Povinnosti se musely uplatňovat od 18. října 2024. Česko nestihlo ani jedno: zákon je ze dne 11. června 2025. Komise zahájila v listopadu 2024 řízení o nesplnění povinnosti proti opožděně transponujícím členským státům.
Zákon č. 264/2025 Sb., § 1 odst. 3 (Česko)
Tento zákon zapracovává příslušný předpis Evropské unie a zároveň navazuje na přímo použitelné předpisy Evropské unie.
Příslušným předpisem EU je podle poznámky pod čarou směrnice NIS 2. Zákon č. 264/2025 Sb. je to, podle čeho vás v Česku poměří NÚKIB, spolu s vyhláškami č. 334/2025 Sb., 408/2025 Sb., 409/2025 Sb. a 410/2025 Sb. Směrnici přitom nekopíruje slovo od slova: má vlastní režimy povinností (vyšší a nižší) a podrobné vyhlášky s opatřeními.
Působnost, režimy a bezpečnostní opatření
§ 4 vymezuje, kdy služba splňuje podmínky registrace: služba v jednom z 15 odvětví a střední nebo velký podnik podle doporučení 2003/361/ES. § 5 přidává případy bez ohledu na velikost, § 8 dělí poskytovatele do režimu vyšších a nižších povinností; seznam služeb a rozdělení do režimů stanoví vyhláška č. 408/2025 Sb. §§ 12 až 14 ukládají stanovit rozsah a zavádět bezpečnostní opatření v míře nezbytné; § 14 je vyjmenovává (25 oblastí ve vyšším, 13 v nižším režimu). Obsahově odpovídají čl. 21 směrnice.
Ohlášení služby a hlášení incidentů
§ 6 ukládá ohlásit službu NÚKIB do 60 dnů od splnění podmínek; NÚKIB pak rozhodne o registraci. § 11 přidává kontaktní a doplňující údaje do 30 dnů od doručení rozhodnutí. §§ 15 a 16 stanoví hlášení incidentů: prvotní hlášení do 24 hodin, při významném dopadu oznámení do 72 hodin a závěrečná zpráva do 30 dnů od oznámení. Vyšší režim hlásí NÚKIB, nižší Národnímu CERT. Odpovídají čl. 3 odst. 4 a čl. 23 směrnice.
Statutární orgán a pokuty
Zákon nemá ustanovení o osobní odpovědnosti vedení. Povinnosti vrcholného vedení stanoví vyhlášky č. 409/2025 Sb. a 410/2025 Sb., vždy v § 4. § 58 umožňuje NÚKIB dočasně zakázat výkon funkce členovi statutárního orgánu poskytovatele ve vyšším režimu, který opakovaně nebo závažně zmaří splnění nápravného opatření. § 59 odst. 4 stanoví pokuty: až 250 mil. Kč nebo 2 % celosvětového ročního obratu ve vyšším režimu, až 175 mil. Kč nebo 1,4 % v nižším, podle toho, co je vyšší. Odpovídají čl. 20 (řízení), čl. 32 odst. 5 písm. b) (dočasný zákaz výkonu řídicích funkcí v základním subjektu) a čl. 34 (pokuty) směrnice.
NIS 2 je zdroj, český zákon ji zapracovává
Smysl každé povinnosti pochází ze směrnice; zákon sám říká, že ji zapracovává (§ 1 odst. 3). Nekopíruje ale čl. 21 slovo od slova: § 14 vyjmenovává oblasti opatření a jejich obsah stanoví vyhlášky NÚKIB č. 409/2025 Sb. a 410/2025 Sb. Chcete-li vědět, co povinnost znamená, čtěte nejprve směrnici. Co přesně musíte udělat, který úřad, který portál a které lhůty, čtěte v zákoně a ve vyhlášce pro svůj režim.
Směrnice je minimum, český zákon smí jít dál
NIS 2 nebrání členským státům stanovit vyšší úroveň kybernetické bezpečnosti (čl. 5 směrnice). Český zákon a vyhlášky proto místy žádají víc, například čtyři bezpečnostní role ve vyšším režimu (vyhláška č. 409/2025 Sb., § 4 odst. 4). To platí a nelze to odmítnout s odkazem na směrnici. Kde by naopak český text za směrnicí zaostal, vykládají ho soudy a úřady ve světle směrnice.
Zákon č. 264/2025 Sb., dozor NÚKIB
Zákon č. 264/2025 Sb. nahradil zákon č. 181/2014 Sb. Příslušným úřadem je Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB). Ohlášení služby, hlášení údajů i incidentů probíhá výlučně elektronicky přes Portál NÚKIB (§ 45 odst. 2); jinou cestou, u incidentů e-mailem nebo datovou schránkou, jen pokud to zákon připouští a Portál nelze využít (§ 16 odst. 4). NÚKIB vydal čtyři prováděcí vyhlášky (č. 334, 408, 409 a 410/2025 Sb.) a na portálu zveřejňuje podpůrné materiály.
Přehled transpozice ENISA
ENISA, agentura EU pro kybernetickou bezpečnost, zveřejňuje přehled stavu transpozice. Ukazuje, které členské státy transponovaly, které jsou ve skluzu a které jsou stále v legislativním procesu. Použijte jej ke kontrole stavu jakéhokoli vnitrostátního zákona NIS 2, nejen českého.
Rovnocenné transpoziční zákony
Nizozemsko: Cyberbeveiligingswet. Rakousko: NISG. Belgie: NIS2-Wet. Každý z nich převádí tutéž směrnici do svého jazyka a právního stylu. Oblasti opatření z § 14 českého zákona mají protějšek v každém z nich, podrobnosti a lhůty se ale liší.
Směrnice mě nezavazuje, zavazuje mě jen český zákon.
Povinnosti na vás působí prostřednictvím zákona č. 264/2025 Sb. a vyhlášek, ano. Zákon se ale vykládá ve světle směrnice, kterou zapracovává. Pokud úřad nebo soud vykládá nejednoznačné ustanovení, dívá se na směrnici. Pro celoevropské otázky (přeshraniční smlouvy s dodavateli, riziková politika napříč státy) je správnou referencí směrnice. Český zákon je české provedení, nikoli uzavřený kodex.
Na opatření máme rok, takže začneme později.
Zákon je účinný od 1. listopadu 2025. Službu ohlásíte do 60 dnů od splnění podmínek (§ 6 odst. 1). Na bezpečnostní opatření a hlášení incidentů máte nejpozději 1 rok od doručení rozhodnutí o registraci (§ 13 odst. 4, § 15 odst. 4), a ten rok běží, ať začnete, nebo ne. Stanovený rozsah přechodnou lhůtu nemá: dokud primární aktivum neposoudíte, platí, že do rozsahu patří (§ 12 odst. 4). Kdo byl regulován už podle zákona č. 181/2014 Sb., plní do uplynutí nových lhůt alespoň dosavadní povinnosti (§ 71 odst. 1).
Zákon č. 264/2025 Sb. je čistě český předpis, se směrnicí nemá moc společného.
Každý členský stát má vlastní transpozici a oblasti povinností vycházejí ze stejné směrnice. Česko ale přidává víc než jen jiné znění: vlastní režimy povinností, podrobné vyhlášky a lhůty počítané od doručení rozhodnutí o registraci. Pokud působíte ve více zemích EU, postavte jeden rámec na směrnici a ke každé zemi si veďte národní přílohu (který úřad, který portál, které lhůty a podrobnosti navíc). Českou přílohu tvoří hlavně vyhláška pro váš režim.
Čtěte oba texty. Směrnici kvůli smyslu povinnosti, český zákon a vyhlášku kvůli tomu, co přesně musíte udělat. Čl. 21 NIS 2 říká, co znamená řízení rizik. § 14 zákona č. 264/2025 Sb. a vyhláška č. 409/2025 Sb., nebo č. 410/2025 Sb. říkají, jaká opatření a v jaké podrobnosti zavádíte vy. Teprve oba dohromady vám řeknou, co je vaší povinností.
Pro provoz ve více zemích je pracovním textem směrnice. Sestavte svůj registr rizik, plán zvládání incidentů a smlouvy s dodavateli podle směrnice. Pak si veďte krátkou národní přílohu pro každou zemi: u kterého úřadu se registrujete, přes který portál hlásíte, které lhůty a pokuty platí a co národní předpisy žádají navíc. Tak máte jeden věcný rámec s tenkými národními obaly, místo 27 paralelních.
- Směrnice (EU) 2022/2555 (NIS 2), článek 41 (transpozice): https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, ze dne 11. června 2025, vyhlášen 4. srpna 2025, účinný od 1. listopadu 2025: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01
- Zákon č. 264/2025 Sb., § 1 odst. 3 (zapracování směrnice), §§ 4 až 16, 58, 59, § 72 (zrušení zákona č. 181/2014 Sb.) a § 73 (účinnost): https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_72
- Balíček řízení o nesplnění povinnosti Evropské komise z listopadu 2024, výzvy za opožděnou transpozici NIS 2
- Přehled stavu transpozice NIS 2 od ENISA
V praxi
Co mění národní zákon a co ne
Národní zákon mimo jiné určuje, kde se registrujete a komu hlásíte incidenty. Samotná opatření vycházejí ve všech členských státech ze stejného minimálního seznamu (čl. 21 NIS 2). Průvodce vás jimi provede krok za krokem:
Řízení rizik
Sepište, co vaše firma má
Seznam procesů, programů a zařízení, se kterými pracujete.
Řešení incidentů
Naplánujte, co se stane při incidentu
Kdo rozhoduje, komu voláte, jak se spojíte.
Posouzení účinnosti
Zapište přezkoumání vedením
Vedení kontroluje, zda opatření fungují, a schvaluje vaše dokumenty.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
