Dopis od NÚKIB: co smí NÚKIB požadovat a jak odpovědět
Výzva NÚKIB uvádí svůj právní základ, co chce NÚKIB vědět, a lhůtu. Informace a součinnost může NÚKIB požadovat například k posouzení, zda máte službu ohlásit (§ 64 odst. 2 zákona č. 264/2025 Sb.), při kontrole (§ 55 zákona, kontrolní řád) nebo po hlášení incidentu (§ 16 odst. 3 písm. b), § 17 odst. 3). Výzvu si pozorně přečtěte, rozhodněte, kdo odpoví, a odpovězte písemně ve lhůtě.
O co se výzva může opírat
Právní základ je uveden v dopise. Určuje, co smí NÚKIB požadovat.
Ohlášení služby
Lze-li důvodně předpokládat, že vaše služba splňuje podmínky pro registraci, musíte NÚKIB bez zbytečného odkladu poskytnout informace nezbytné k posouzení a další nezbytnou součinnost. NÚKIB podle svých slov chystá i registraci z moci úřední.
Kontrola
NÚKIB kontroluje, jak plníte povinnosti podle zákona (§ 55). Kontrolující smí vstoupit do vašich prostor, požadovat údaje, dokumenty a věci a další součinnost. Vy musíte vytvořit podmínky pro výkon kontroly a součinnost poskytnout.
§ 55 zákona č. 264/2025 Sb. · §§ 7, 8 a 10 zákona č. 255/2012 Sb.
Nápravné opatření
Zjistí-li NÚKIB, že povinnosti neplníte, může vám rozhodnutím uložit odstranit nedostatky ve stanovené lhůtě a oznámit mu provedení a výsledek. Rozklad proti tomuto rozhodnutí nemá odkladný účinek.
Součinnost při incidentu
Každý musí na výzvu NÚKIB poskytnout nezbytné informace a součinnost při zvládání kybernetického bezpečnostního incidentu, pokud nelze účelu dosáhnout jinak. Nemusí, brání-li tomu zákonná nebo státem uznaná povinnost mlčenlivosti.
Po hlášení incidentu
Pokud jste nahlásili incident s významným dopadem, může NÚKIB nebo Národní CERT vyzvat k průběžné zprávě o podstatných změnách stavu zvládání incidentu.
Jak postupovat
Dopis si pozorně přečtěte: jaké ustanovení uvádí, co přesně chce NÚKIB vědět a do kdy? Jde o výzvu, o oznámení o zahájení kontroly, nebo už o rozhodnutí s poučením o rozkladu?
Rozhodněte, kdo odpoví. Vedení by o dopisu mělo vědět.
Připravte, co se požaduje. Obvykle to už existuje: vaše dokumenty, seznamy a záznamy. V režimu nižších povinností například přehled bezpečnostních opatření, který aktualizujete nejméně jednou ročně a uchováváte 4 roky (vyhláška č. 410/2025 Sb., § 3 odst. 2), ve vyšším režimu například zprávu o hodnocení rizik a plán zvládání rizik (vyhláška č. 409/2025 Sb.).
Pokud lhůta nestačí, požádejte včas a písemně o prodloužení a uveďte proč. Ve správním řízení lze lhůtu určenou úřadem na žádost přiměřeně prodloužit (§ 39 odst. 2 správního řádu).
Odpovězte písemně, se seznamem příloh a datem. Co se probralo po telefonu, zapište.
Pokud je rozsah nebo právní základ nejasný, nebo se dopis týká řízení o přestupku, vyžádejte si právní radu.
Jak daleko povinnost sahá
Povinnost sahá tak daleko, jak NÚKIB něco požaduje a jak to uvedené ustanovení unese. Dokumenty, na které se nikdo neptal, posílat nemusíte. Součinnost podle § 17 odst. 3 a § 64 odst. 2 zákona nemusíte poskytnout, brání-li tomu zákonná nebo státem uznaná povinnost mlčenlivosti.
Než NÚKIB ve správním řízení rozhodne, musí vám zpravidla dát možnost vyjádřit se k podkladům rozhodnutí (§ 36 odst. 3 správního řádu). Zákon o kybernetické bezpečnosti ale u řady rozhodnutí připouští, aby bylo prvním úkonem v řízení, například u reaktivního protiopatření nebo nápravného opatření (§ 23 odst. 3, § 56 odst. 2).
Kdo jako kontrolovaná osoba nevytvoří podmínky pro kontrolu nebo neposkytne součinnost, dopouští se přestupku. Poskytovateli regulované služby za něj hrozí pokuta do 10 000 000 Kč.
§ 36 odst. 3 správního řádu · § 10 odst. 2 kontrolního řádu · § 63 odst. 3 zákona č. 264/2025 Sb.
Co to znamená pro firmu s 50 až 150 zaměstnanci
Firma s 50 až 150 zaměstnanci bývá v režimu nižších povinností. Zákon ale kontrolu neváže na režim ani na podezření z porušení (§ 55): NÚKIB může kontrolovat v obou režimech. Na ohlášení nebo po hlášení incidentu se může zeptat kdykoli.
Odpovědět je snazší, když záznamy už existují: jaká opatření jste zavedli, která ne a proč, kdo je pověřen kybernetickou bezpečností, jak hlásíte incidenty a kdy vedení absolvovalo školení.
Příklad
Smyšlená firma: Příklad potraviny s.r.o., výrobce potravin s 85 zaměstnanci. V září jí přijde do datové schránky výzva NÚKIB s třítýdenní lhůtou.
Výzva uvádí § 64 odst. 2 zákona. NÚKIB se ptá, proč firma neohlásila službu, ačkoli podle jeho údajů splňuje podmínky.
Jednatelka Jana Nováková ji přečte ještě týž den a požádá vedoucího IT, aby připravil odpověď.
Firma ověří: průmyslová výroba potravin je službou 8.1 v příloze vyhlášky č. 408/2025 Sb. a s 85 zaměstnanci je firma středním podnikem, tedy v režimu nižších povinností. Ohlášení chybělo, protože jednatelka byla dlouho v zahraničí a nikoho jiného jako zástupce nepověřila.
Firma službu ohlásí na Portálu NÚKIB a ve lhůtě písemně odpoví s datem ohlášení. Jednatelka zároveň pověří zástupce, aby příště nebyla jediná, kdo se do Portálu dostane.
Jak to probíhá v průvodci
Průvodce na nisd2.eu za vás odpověď NÚKIB nenapíše. Zaznamená to, o co se odpověď opírá.
Export dá celý průvodce do jednoho dokumentu: stav, otevřené body, dokumenty, matici rizik, všechny registry a podrobnosti. V prohlížeči ho uložíte jako PDF.
Každý schválený dokument ukazuje jméno a datum schválení vedením.
Protokol činností ukazuje, kdo co a kdy změnil, včetně každého schválení.
Exportovat mohou správci, auditoři a vedení vaší firmy.
Časté otázky
Musím na výzvu NÚKIB odpovědět?
Ano, v rozsahu, v jakém vás k tomu uvedené ustanovení zavazuje, například § 64 odst. 2 zákona č. 264/2025 Sb. nebo § 10 odst. 2 kontrolního řádu. Nic nad tento rámec poskytovat nemusíte.
Kolik mám času?
Lhůta je uvedena v dopise. U výzev k informacím ji zákon pevně nestanoví; § 64 odst. 2 říká jen „bez zbytečného odkladu“ a úřad určí přiměřenou lhůtu (§ 39 odst. 1 správního řádu). Pevné jsou lhůty k opravným prostředkům: rozklad do 15 dnů od oznámení rozhodnutí, námitky proti protokolu o kontrole do 15 dnů od jeho doručení.
Mohu požádat o více času?
Ano. Požádejte včas a písemně a uveďte, proč lhůta nestačí. Zda vyhoví, rozhoduje NÚKIB (§ 39 odst. 2 správního řádu).
Potřebuji advokáta?
Ne u každé výzvy. Pokud není jasné, co smí NÚKIB požadovat, nebo se dopis týká řízení o přestupku, právní rada dává smysl.
Zdroje
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, §§ 16, 17, 23, 55, 56, 63 a 64: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_64
- Zákon č. 500/2004 Sb., správní řád, §§ 36, 39, 83 a 152: https://e-sbirka.gov.cz/sb/2004/500; zákon č. 255/2012 Sb., o kontrole (kontrolní řád), §§ 7, 8, 10 a 13: https://e-sbirka.gov.cz/sb/2012/255
- Směrnice (EU) 2022/2555 (NIS 2), čl. 32 a 33: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Registrace a hlášení
Ohlásit službu NÚKIB
Vaše firma ohlásí regulovanou službu NÚKIB, ten pak rozhodne o registraci.
Posouzení účinnosti
Zapište přezkoumání vedením
Vedení kontroluje, zda opatření fungují, a schvaluje vaše dokumenty.
Kolik průvodce stojí
4 800 € bez DPH ročně, plus DPH
30 dní na vrácení penězNa fakturu, splatnost 30 dní. Zrušení do 30 dnů od první objednávky: faktura se stornuje nebo se peníze vrátí.
Řízené zavedení NIS 2 krok za krokem
Historie změn a schválení, kterou můžete ukázat úřadu
Termíny a upozornění ke každému požadavku
Bezpečnostní dotazník pro vaše dodavatele
Export do PDF nebo CSV kdykoli
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
