Nový zákon o kybernetické bezpečnosti (NIS2): týká se vás?

Nový zákon o kybernetické bezpečnosti (č. 264/2025 Sb.) se vás týká, pokud jste střední nebo velká firma a poskytujete službu v odvětví, které zákon a vyhláška č. 408/2025 Sb. vyjmenovávají. Některé digitální služby jsou regulované bez ohledu na velikost. Pokud pod zákon spadáte, měli jste se ohlásit Národnímu úřadu pro kybernetickou a informační bezpečnost (NÚKIB) a do jednoho roku od rozhodnutí o registraci musíte zavést bezpečnostní opatření.

Ověřeno k 30. 10. 2026: fakta v článku vycházejí z textu zákona, prováděcích vyhlášek a webu NÚKIB.

Co je nový zákon o kybernetické bezpečnosti?

Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, je ze dne 11. 6. 2025 a účinný je od 1. 11. 2025. Zrušil dřívější zákon č. 181/2014 Sb. a přenáší do českého práva evropskou směrnici (EU) 2022/2555, které se zkráceně říká NIS2.

Hlavní změna proti dřívějšímu stavu je rozsah. Dříve se zákon týkal hlavně kritické infrastruktury a vybraných služeb. Nově pokrývá mnohem víc odvětví a zahrnuje i střední firmy. NÚKIB odhadoval, že se bude týkat zhruba 6 000 subjektů. K 8. 2. 2026 se jich ohlásilo 4 825.

Zákon doplňují prováděcí vyhlášky účinné od 1. 11. 2025:

Předpis	Co upravuje
Zákon č. 264/2025 Sb.	Kdo je regulován, ohlášení, povinnosti, hlášení incidentů, sankce
Vyhláška č. 408/2025 Sb.	Regulované služby a zařazení do režimů
Vyhláška č. 409/2025 Sb.	Bezpečnostní opatření v režimu vyšších povinností
Vyhláška č. 410/2025 Sb.	Bezpečnostní opatření v režimu nižších povinností

Týká se zákon vaší firmy?

Odpověď hledejte ve třech krocích.

1. Poskytujete regulovanou službu?

Zákon v § 4 vyjmenovává odvětví. Patří mezi ně mimo jiné energetika, vodní hospodářství, odpadové hospodářství, doprava, digitální infrastruktura a služby, finanční trh, zdravotnictví, věda, výzkum a vzdělávání, poštovní a kurýrní služby, obranný a vesmírný průmysl. Podle vyhlášky č. 408/2025 Sb. sem spadá také například výroba, potravinářství, chemie nebo veřejná správa. Konkrétní služby a jejich popis najdete ve vyhlášce. Jen podle názvu odvětví to nerozhodujte.

2. Jste střední nebo velký podnik?

Velikost se posuzuje podle doporučení Evropské komise 2003/361/ES. Zjednodušeně řečeno: střední podnik má alespoň 50 zaměstnanců nebo roční obrat i bilanční sumu nad 10 milionů EUR. Velký podnik má 250 a více zaměstnanců nebo obrat nad 50 milionů EUR a bilanční sumu nad 43 miliony EUR. Přesné podmínky, včetně započítávání propojených a partnerských podniků, si ověřte přímo v doporučení. Na skupinu firem se totiž často nahlíží jako na celek.

3. Nepatří vaše služba mezi ty, kde velikost nerozhoduje?

Některé služby jsou regulované bez ohledu na velikost poskytovatele, například cloudové služby, služby DNS nebo důvěryhodné služby. Pokud provozujete něco takového, zákon se vás může týkat i jako malé firmy.

Rychlou orientaci vám dá náš self-check NIS2. Pro závazné posouzení použijte průvodce na Portálu NÚKIB.

Jaký je rozdíl mezi režimem vyšších a nižších povinností?

Zákon rozlišuje dva režimy:

• Režim vyšších povinností se týká poskytovatelů, kteří jsou značně ekonomicky, společensky nebo bezpečnostně významní. Bezpečnostní opatření stanoví vyhláška č. 409/2025 Sb.
• Režim nižších povinností se týká ostatních regulovaných poskytovatelů. Opatření stanoví vyhláška č. 410/2025 Sb.

Do kterého režimu patříte, určuje typ služby a velikost podle vyhlášky č. 408/2025 Sb. Režim nemusí odpovídat tomu, jak významně se firma sama cítí. Ověřte si ho vždy podle vyhlášky a podle rozhodnutí o registraci.

Měli jste se už ohlásit NÚKIB?

Pokud jste podmínky splňovali k 1. 11. 2025, lhůta pro ohlášení regulované služby uplynula 31. 12. 2025. Zákon v § 6 stanoví 60 dnů ode dne, kdy ke splnění podmínek došlo.

Lhůta 60 dnů ale platí průběžně. Pokud podmínky splníte později, například překročíte hranici 50 zaměstnanců nebo začnete poskytovat novou službu, máte na ohlášení 60 dnů od této změny. Zjistíte-li, že jste se měli ohlásit a neudělali jste to, neodkládejte to a ohlášení podejte co nejdřív.

Co musíte zavést a do kdy?

Po ohlášení vydá NÚKIB rozhodnutí o registraci regulované služby. Od doručení tohoto rozhodnutí máte nejvýše jeden rok na to, abyste začali plnit bezpečnostní opatření a hlásit kybernetické incidenty. U firem registrovaných na přelomu let 2025 a 2026 to typicky znamená termín v průběhu roku 2026 až začátkem roku 2027. Přesné datum zjistíte z data doručení vašeho rozhodnutí.

Subjekty regulované už podle dřívějšího zákona č. 181/2014 Sb. plní dosavadní povinnosti průběžně.

Hlášení incidentů

Pro hlášení významných kybernetických incidentů platí dvě lhůty:

Lhůta	Co podat
do 24 hodin od zjištění	Prvotní hlášení
do 72 hodin od zjištění	Oznámení – aktualizace, prvotní posouzení, indikátory kompromitace

Hlásí se přes Portál NÚKIB. Aby lhůta 24 hodin byla reálná, potřebujete předem vědět, kdo incident rozpozná, kdo rozhodne o jeho významnosti a kdo ho nahlásí. Platí to i o víkendu a v době dovolených.

Bezpečnostní opatření v praxi

Konkrétní požadavky stanoví vyhlášky č. 409/2025 Sb. a 410/2025 Sb. Bez ohledu na režim se v praxi neobejdete bez několika základních stavebních kamenů:

• Registr aktiv – seznam systémů, dat, zařízení a dodavatelů, na kterých regulovaná služba stojí.
• Analýza rizik – co se může pokazit, s jakým dopadem a co s tím děláte.
• Bezpečnostní dokumentace – pravidla, odpovědnosti a postupy, které opravdu odpovídají tomu, jak firma funguje.
• Incidentní proces – jak incident poznáte, vyhodnotíte, nahlásíte a vyřešíte.
• Řízení dodavatelů – kdo má přístup k vašim systémům a jak to máte smluvně ošetřené.
• Pravidelná údržba – dokumentace a registr aktiv musí odpovídat skutečnosti i za rok.

Hypotetický příklad: výrobní firma se 120 zaměstnanci má ERP v cloudu, výrobní linky s vlastním softwarem a externího správce IT. Registr aktiv tedy musí obsahovat i dodavatele a jejich přístupy, nejen servery v kanceláři. Incidentní proces musí počítat s tím, že správce IT incident zjistí jako první.

Jaké jsou nejčastější omyly?

• „Jsme malí, nás se to netýká.“ U většiny služeb rozhoduje velikost, ale cloud, DNS nebo důvěryhodné služby jsou regulované bez ohledu na ni. A do velikosti se mohou započítat propojené firmy.
• „Lhůta pro ohlášení už uplynula, takže je pozdě.“ Ohlásit se musíte i po termínu. Lhůta 60 dnů navíc běží znovu pro každého, kdo podmínky splní později.
• „Máme rok, začneme za jedenáct měsíců.“ Roční lhůta běží od doručení rozhodnutí. Registr aktiv, analýza rizik a dokumentace se za pár týdnů kvalitně udělat nedají.
• „Stačí koupit šablony dokumentace.“ Dokumentace, která neodpovídá skutečnému provozu, při kontrole ani při incidentu nepomůže.
• „Bezpečnost je věc IT.“ Povinnosti má firma jako poskytovatel regulované služby, ne jen její IT oddělení. IT opatření zavádí, ale rozhodnutí o rizicích, dodavatelích a rozpočtu dělá vedení.
• „IT nám dělá externí firma, takže to řeší ona.“ Dodavatel vám může pomoci, povinnosti ale zůstávají vaší firmě. Navíc je sám dodavatel součástí rizik, která musíte řídit.

Jaké sankce zákon stanoví?

Zákon v § 59 stanoví tyto nejvyšší pokuty:

Režim	Nejvyšší pokuta
Režim vyšších povinností	250 000 000 Kč nebo 2 % celosvětového ročního obratu (vyšší z částek)
Režim nižších povinností	175 000 000 Kč nebo 1,4 % celosvětového ročního obratu (vyšší z částek)

Zákon obsahuje i další sazby, například 100 milionů a 50 milionů Kč, podle druhu přestupku. Výše pokut je jen jedna stránka věci. Větší riziko pro firmu bývá samotný incident: výpadek výroby, únik dat nebo ztráta zákazníků.

Co když nemáte bezpečnostního specialistu?

To je situace většiny středních firem, které zákon zasáhl poprvé. Na plný úvazek často specialistu nepotřebujete. Potřebujete ale někoho, kdo připraví základ a pak ho drží aktuální.

Možnosti jsou tři: vlastní člověk, externí dodavatel s balíčkem dokumentace a pravidelnou údržbou, nebo kombinace s technologickým vedením. Na stránce NIS2 a kybernetická bezpečnost popisujeme, jak registr aktiv, analýzu rizik, dokumentaci a incidentní proces připravujeme a udržujeme. Pokud potřebujete širší technologické vedení, včetně výběru dodavatelů a architektury, podívejte se na službu Fractional CTO.

Co udělat teď

• Ověřte podle vyhlášky č. 408/2025 Sb., jestli poskytujete regulovanou službu.
• Spočítejte velikost podniku podle doporučení 2003/361/ES, včetně propojených firem.
• Pokud pod zákon spadáte a nejste ohlášeni, podejte ohlášení NÚKIB bez odkladu.
• Zjistěte datum doručení rozhodnutí o registraci a spočítejte si roční lhůtu.
• Určete odpovědnou osobu a postup pro hlášení incidentu do 24 hodin.
• Sestavte registr aktiv a seznam dodavatelů s přístupem do vašich systémů.
• Udělejte analýzu rizik a podle ní plán opatření.
• Naplánujte pravidelnou revizi dokumentace.

Začněte self-checkem NIS2, stáhněte si podklady v sekci Ke stažení, nebo nám napište přes kontaktní formulář a domluvte si nezávaznou konzultaci.