Od 1. listopadu 2025 platí v ČR nový zákon č. 264/2025 Sb., o kybernetické bezpečnosti, který do českého práva přenáší evropskou směrnici NIS2. Zatímco dřívější zákon o kybernetické bezpečnosti se týkal jen několika desítek klíčových institucí a velkých firem, nová úprava rozšiřuje okruh povinných organizací na přibližně 6 000 subjektů - a řada firem tak řeší poprvé v životě otázku, zda se jí to týká, a pokud ano, co přesně má udělat.
V tomto článku vysvětlíme, koho se zákon týká, jak se určuje, zda organizace spadá do režimu nižších, nebo vyšších povinností, a co obě varianty v praxi znamenají.
Co je NIS2 a proč se o tom najednou tolik mluví
NIS2 (Network and Information Security Directive 2) je směrnice Evropské unie (2022/2555), jejímž cílem je zvýšit úroveň kybernetické bezpečnosti napříč členskými státy - reaguje na to, že kybernetické útoky čím dál častěji míří i na menší firmy a dodavatele, přes které se útočníci dostanou dál ke svým skutečným cílům. V České republice je NIS2 promítnuta do zákona č. 264/2025 Sb., o kybernetické bezpečnosti, který nahradil dosavadní úpravu a je účinný od 1. listopadu 2025.
Zákon zavádí jednotné označení pro všechny povinné organizace - poskytovatel regulované služby - a dělí je do dvou režimů podle rozsahu povinností: režimu nižších povinností a režimu vyšších povinností.
Koho se zákon týká
O tom, zda se organizace stane poskytovatelem regulované služby, rozhoduje kombinace dvou věcí: v jakém oboru podniká (odvětví) a jak je velká.
Velikost organizace
- Střední podnik - 50 a více zaměstnanců, nebo roční obrat/bilanční suma nad 10 milionů eur.
- Velký podnik - více než 250 zaměstnanců, nebo obrat nad 50 milionů eur a zároveň bilanční suma nad 43 milionů eur.
Menší firmy (mikropodniky a malé podniky) zákonu zpravidla nepodléhají - s výjimkou několika typů služeb popsaných níže, kde se regulace vztahuje na všechny poskytovatele bez ohledu na velikost.
Obor podnikání (odvětví)
Směrnice NIS2 rozlišuje dvě přílohy odvětví:
- Sektory vysoké kritičnosti - energetika, doprava, bankovnictví a finanční trhy, zdravotnictví, pitná a odpadní voda, digitální infrastruktura (DNS poskytovatelé, registry domén nejvyšší úrovně), řízené IT služby (MSP/MSSP), veřejná správa, vesmír.
- Další kritické sektory - poštovní a kurýrní služby, odpadové hospodářství, chemický průmysl, potravinářství, vybraná výroba (např. zdravotnické prostředky, elektronika, stroje, automotive), digitální platformy (on-line tržiště, vyhledávače, sociální sítě), výzkumné instituce.
Bez ohledu na velikost se regulace týká i některých konkrétních poskytovatelů - typicky poskytovatelů služeb DNS, registrů domén nejvyšší úrovně a kvalifikovaných poskytovatelů důvěryhodných služeb podle nařízení eIDAS.
Nižší, nebo vyšší režim? Jak se to určuje
Základní pravidlo je jednoduché: velké organizace ve vysoce kritických sektorech obvykle spadají do režimu vyšších povinností (odpovídá evropské kategorii „základní subjekt"), zatímco střední organizace nebo organizace v „dalších kritických sektorech" obvykle spadají do režimu nižších povinností (odpovídá kategorii „důležitý subjekt"). Od tohoto obecného pravidla ale existují výjimky - například pokud organizace poskytuje službu, na kterou se váže konkrétní ukazatel významnosti (třeba vodárenská společnost zásobující pitnou vodou více než 50 000 obyvatel), může spadnout do vyššího režimu, i když velikostí jde jen o střední podnik.
Důležité pravidlo: jedna organizace (podle IČO) má vždy jen jeden režim, i když poskytuje více regulovaných služeb najednou. Pokud alespoň jedna z jejích služeb naplní podmínky vyššího režimu, řídí se vyšším režimem celá organizace včetně všech ostatních regulovaných služeb, které poskytuje.
| Režim nižších povinností | Režim vyšších povinností | |
|---|---|---|
| Odpovídá kategorii | „Důležitý subjekt" | „Základní subjekt" |
| Typická velikost | střední podnik | velký podnik nebo systémově významná organizace |
| Počet bezpečnostních opatření | 11 opatření (organizační a technická dohromady) | 25 opatření (14 organizačních + 11 technických) |
| Bezpečnostní role | 1 osoba odpovědná za kybernetickou bezpečnost | manažer, architekt a auditor kybernetické bezpečnosti + garant aktiva |
| Maximální pokuta | do 175 milionů Kč | do 250 milionů Kč nebo 2 % celosvětového obratu |
Co musíte udělat v režimu nižších povinností
Pro poskytovatele v nižším režimu stanovuje prováděcí vyhláška jedenáct základních bezpečnostních opatření, která tvoří „bezpečnostní minimum" - organizační a technické požadavky zde nejsou oddělené, ale sloučené do jednoho celku. Patří mezi ně zejména:
- Systém zajišťování minimální kybernetické bezpečnosti
- Požadavky na vrcholné vedení (schvalování zásadních rozhodnutí, dohled nad opatřeními)
- Bezpečnost lidských zdrojů (školení zaměstnanců, práce s hesly)
- Řízení kontinuity činností (co dělat při výpadku, jak rychle obnovit provoz)
- Řízení přístupu a správa identit a oprávnění
- Detekce a zaznamenávání kybernetických bezpečnostních událostí
- Řešení kybernetických bezpečnostních incidentů
- Aplikační bezpečnost a kryptografické algoritmy
Z bezpečnostních rolí stačí v nižším režimu určit jedinou osobu - osobu odpovědnou za kybernetickou bezpečnost, která má na starosti řízení a rozvoj kybernetické bezpečnosti a komunikaci s vedením firmy. Touto osobou může být klidně stávající zaměstnanec (typicky správce IT), pokud absolvuje potřebné školení nebo jinak prokáže odbornou způsobilost.
Co musíte navíc udělat v režimu vyšších povinností
Organizace ve vyšším režimu musí zavést podstatně širší sadu opatření - celkem 25, rozdělených na 14 organizačních a 11 technických. Oproti nižšímu režimu navíc přibývá mimo jiné:
- Formální systém řízení bezpečnosti informací s pravidelným vyhodnocováním a aktualizací
- Řízení aktiv (evidence a hodnocení všech dat, systémů a služeb, které je třeba chránit)
- Systematické řízení rizik a řízení dodavatelů (bezpečnost dodavatelského řetězce)
- Řízení změn a bezpečná akvizice, vývoj a údržba systémů
- Pravidelné audity kybernetické bezpečnosti
- Fyzická bezpečnost prostor a zařízení, bezpečnost komunikačních sítí
- Zajišťování dostupnosti služby a zabezpečení průmyslových a řídicích systémů
Zásadní rozdíl je i v obsazení bezpečnostních rolí - vyšší režim vyžaduje ustanovit hned čtyři samostatné role: manažera kybernetické bezpečnosti (odpovídá za fungování celého systému, minimálně 3 roky praxe), architekta kybernetické bezpečnosti (navrhuje implementaci opatření), auditora kybernetické bezpečnosti (nezávisle kontroluje soulad se zákonem) a garanta aktiva pro každé klíčové aktivum. Manažer ani auditor přitom nesmí zastávat žádnou jinou bezpečnostní roli - cílem je, aby systém nestál na jednom člověku.
Přísnější pravidla navíc platí pro poskytovatele digitální infrastruktury a digitálních služeb (cloud computing, datová centra, CDN, on-line tržiště, internetové vyhledávače, sociální sítě, řízené IT a bezpečnostní služby) - u nich se uplatňuje ještě prováděcí nařízení Evropské komise s vlastním seznamem minimálních opatření.
Termíny a sankce
Organizace, které naplňují kritéria pro regulovanou službu, měly povinnost ohlásit se přes Portál NÚKIB do 60 dnů od účinnosti zákona, tedy zhruba do konce roku 2025. Na zavedení požadovaných organizačních a technických opatření pak mají povinné osoby lhůtu jeden rok od registrace regulované služby.
Jak Vám s NIS2 může pomoci Netfox
Ať už zjišťujete, zda se Vás zákon o kybernetické bezpečnosti vůbec týká, nebo už víte, že spadáte do nižšího či vyššího režimu a potřebujete zavést konkrétní opatření (bezpečnostní politiky, řízení přístupu, detekci a hlášení incidentů, zálohování, školení zaměstnanců), rádi Vám pomůžeme se zavedením i s provozem. Podívejte se na naši nabídku kybernetické bezpečnosti.