NIS2 a nový zákon o kybernetické bezpečnosti

Co je NIS2 a nový zákon o kybernetické bezpečnosti

NIS2 je evropská směrnice, která výrazně rozšiřuje okruh organizací povinných chránit své IT systémy. V Česku ji zavádí zákon č. 264/2025 Sb., o kybernetické bezpečnosti, účinný od 1. listopadu 2025. Dozor vykonává Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB).

Zatímco dřív se regulace týkala zhruba několika stovek organizací, nově jde o tisíce firem, institucí a úřadů napříč odvětvími.

Koho se zákon týká

Rozhodující je, zda organizace poskytuje takzvanou regulovanou službu. Kritéria stanoví vyhláška č. 408/2025 Sb. Obecně platí:

• Odvětví: například energetika, doprava, bankovnictví, zdravotnictví, vodárenství, digitální infrastruktura a služby, veřejná správa, výroba, potravinářství, chemie, odpadové hospodářství, poštovní a kurýrní služby nebo výzkum.
• Velikost: typicky střední a velké organizace – od 50 zaměstnanců, nebo s ročním obratem a zároveň bilanční sumou nad 10 mil. EUR.
• Bez ohledu na velikost jsou regulované některé subjekty, například vybrané orgány veřejné správy nebo poskytovatelé klíčové digitální infrastruktury.
• Nepřímo se zákon dotkne i menších firem, pokud dodávají služby regulovaným organizacím. Ty musí řídit bezpečnost svých dodavatelů.

Dva režimy povinností

Důležité lhůty

• 60 dnů na ohlášení regulované služby NÚKIB (přes Portál NÚKIB) ode dne, kdy začnete splňovat kritéria.
• 1 rok na zavedení bezpečnostních opatření ode dne doručení rozhodnutí o registraci.
• 24 hodin na první varování o významném kybernetickém incidentu, 72 hodin na podrobnější hlášení a následně závěrečná zpráva.

Co zákon v praxi vyžaduje

Konkrétní rozsah závisí na režimu, ale typicky jde o:

• Odpovědnost vedení – statutární orgán schvaluje opatření, odpovídá za ně a musí se školit.
• Řízení aktiv a rizik – přehled systémů, dat a zařízení a vyhodnocení rizik.
• Bezpečnostní politika a dokumentace – jasná pravidla a odpovědné osoby.
• Řízení přístupů – oprávnění podle rolí a vícefaktorové ověřování.
• Zálohování a obnova – ověřené zálohy odolné proti ransomwaru, plán obnovy provozu.
• Detekce a řešení incidentů – zaznamenávání událostí, dohled nad sítí a postup při incidentu.
• Aktualizace a správa zranitelností – pravidelné záplaty systémů a síťových prvků.
• Bezpečnost dodavatelů – požadavky na IT dodavatele ve smlouvách.
• Školení zaměstnanců – pravidelně, alespoň jednou ročně.

Sankce

Za nesplnění povinností hrozí pokuty v řádu až stovek milionů korun nebo procent z celosvětového obratu. Zákon navíc počítá s osobní odpovědností vedení organizace.

S čím vám pomohu

• Posouzení, zda a v jakém režimu pod zákon spadáte.
• Ohlášení regulované služby na Portálu NÚKIB.
• Dokumentace: bezpečnostní politika, přehled aktiv, analýza rizik, plán opatření a postupy pro incidenty.
• Technická opatření: segmentace sítě a firewall, vícefaktorové přihlášení, zálohy se snímky a neměnnými snímky, zaznamenávání událostí, hlídání zranitelností a aktualizací, antivirus ESET s centrální správou.
• Průběžná správa, aby opatření nezůstala jen na papíře.

Časté dotazy

Od kdy platí nový zákon o kybernetické bezpečnosti?

Zákon č. 264/2025 Sb., který do českého práva převádí evropskou směrnici NIS2, je účinný od 1. listopadu 2025. Ve stejný den začaly platit i prováděcí vyhlášky.

Týká se NIS2 i malých firem?

Zpravidla ne. Povinnosti dopadají hlavně na střední a velké organizace (od 50 zaměstnanců nebo s ročním obratem a bilanční sumou nad 10 mil. EUR) v regulovaných odvětvích. Některé subjekty jsou ale regulované bez ohledu na velikost a malé firmy se mohou dotknout nepřímo jako dodavatelé regulovaných organizací.

Do kdy se musí regulovaná služba ohlásit NÚKIB?

Do 60 dnů ode dne, kdy organizace začne splňovat kritéria regulované služby. Ohlášení se podává přes Portál NÚKIB.

Kolik je času na zavedení bezpečnostních opatření?

Nejpozději do jednoho roku ode dne doručení rozhodnutí NÚKIB o registraci regulované služby.

Informace mají přehledový charakter a nenahrazují právní posouzení. Zdroje: zákon č. 264/2025 Sb., Průvodce novým zákonem – Portál NÚKIB.