Zákon o kybernetické bezpečnosti (NIS2): koho se týká a co musíte udělat

Od 1. 11. 2025 platí zákon č. 264/2025 Sb., o kybernetické bezpečnosti. Pokud vaše firma poskytuje regulovanou službu, musí se sama identifikovat, zaregistrovat na Portálu NÚKIB a zavést bezpečnostní opatření.

Co je NIS2 a zákon o kybernetické bezpečnosti?

NIS2 je evropská směrnice (EU 2022/2555) o kybernetické bezpečnosti. V Česku ji zapracovává zákon č. 264/2025 Sb., o kybernetické bezpečnosti, který je účinný od 1. 11. 2025 a nahrazuje zákon č. 181/2014 Sb. Dozor vykonává NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost).

Podrobnosti upravují tři vyhlášky:

č. 408/2025 Sb. o regulovaných službách (22 odvětví, 102 služeb)
č. 409/2025 Sb. o bezpečnostních opatřeních v režimu vyšších povinností
č. 410/2025 Sb. o bezpečnostních opatřeních v režimu nižších povinností

Koho se zákon týká?

Zákon se týká poskytovatelů regulovaných služeb. Vyhláška č. 408/2025 Sb. jich vymezuje 102 ve 22 odvětvích. Organizace se musí sama identifikovat a zaregistrovat na Portálu NÚKIB do 60 dnů od chvíle, kdy začne splňovat podmínky. Stávající subjekty se měly zaregistrovat do konce roku 2025.

Klíčové číslo

Na Portálu NÚKIB se zaregistrovalo přes 4 800 subjektů. NÚKIB jich odhadoval asi 6 000.

Dva režimy povinností

Česká úprava rozlišuje režim vyšších povinností a režim nižších povinností. Jedna organizace spadá vždy do jednoho režimu. Zjednodušeně platí, že velký podnik spadá do vyššího režimu a střední podnik do nižšího. U některých služeb rozhodují další kritéria.

	Nižší režim	Vyšší režim
Typicky	Střední podnik	Velký podnik
Vyhláška	č. 410/2025 Sb.	č. 409/2025 Sb.
Řízení	Osoba pověřená kybernetickou bezpečností. Přehled bezpečnostních opatření se aktualizuje aspoň 1× ročně a uchovává 4 roky.	Výbor pro řízení kybernetické bezpečnosti aspoň 1× ročně se záznamem. Bezpečnostní role: manažer, architekt, garant aktiva, auditor.
Pravidelné činnosti	Aktualizace přehledu opatření	Hodnocení rizik a skenování zranitelností aspoň 1× ročně, penetrační testování aspoň 1× za 2 roky, logy aspoň 18 měsíců
Audit kybernetické bezpečnosti	Vyhláška č. 410/2025 Sb. ho neukládá	Povinný, aspoň 1× za 2 roky (§16 vyhl. č. 409/2025 Sb.)
Co se hlásí	Jen incidenty s významným dopadem	Všechny incidenty s původem v kybernetickém prostoru, u nichž nelze do 24 h vyloučit úmysl

Co musíte jako regulovaná organizace udělat?

1. Zaregistrovat se

Samoidentifikace a registrace na Portálu NÚKIB do 60 dnů od splnění podmínek. Do 30 dnů od rozhodnutí o registraci nahlásíte kontaktní a další údaje, mimo jiné manažery kybernetické bezpečnosti a členy vrcholného vedení.

2. Zavést bezpečnostní opatření podle své vyhlášky

Rozsah opatření určuje vyhláška pro váš režim. Mezi konkrétní požadavky patří například:

Hesla: minimální délka 12 znaků pro uživatele, 17 pro administrátory a 22 pro technická aktiva. Změna aspoň 1× za 18 měsíců.
Vícefaktorové ověření: alespoň ze 2 různých typů faktorů.
Školení: vstupní a pravidelná, vedená prokazatelně. Musíte vést přehledy o školeních a seznamy proškolených osob.

3. Hlásit incidenty

Lhůty pro hlášení kybernetických bezpečnostních incidentů NÚKIB:

24h Prvotní hlášení – do 24 hodin. V praxi od okamžiku, kdy pověřená osoba vyhodnotí událost jako incident.
72h Oznámení – do 72 hodin u incidentu s významným dopadem. Pokud incident trvá, podáváte průběžnou zprávu.
30d Závěrečná zpráva – do 30 dnů po vyřešení incidentu.

Hlásí se přes Portál NÚKIB. Když je portál nedostupný, použijte e-mail nebo datovou schránku (§16 odst. 4). Ve vyšším režimu hlásíte všechny incidenty s původem v kybernetickém prostoru, u nichž nelze do 24 hodin vyloučit úmysl. V nižším režimu jen incidenty s významným dopadem, které si posuzujete sami podle §14 vyhlášky č. 410/2025 Sb.

Samotný vznik incidentu není přestupek. Přestupkem je neohlášení povinného incidentu včas.

Přechodná lhůta

Po doručení rozhodnutí o registraci má poskytovatel regulované služby nejpozději 1 rok na zahájení plnění bezpečnostních opatření a povinnosti hlásit incidenty podle nového zákona; do té doby je hlášení podle nového zákona dobrovolné. Do 30 dnů od rozhodnutí je potřeba nahlásit kontaktní a další údaje na Portálu NÚKIB. Lhůty se počítají individuálně od doručení rozhodnutí vaší organizaci.

Sankce

Za porušení povinností hrozí pokuty, které se liší podle režimu:

Režim	Maximální pokuta
Režim vyšších povinností	250 mil. Kč nebo 2 % čistého celosvětového ročního obratu
Režim nižších povinností	175 mil. Kč nebo 1,4 % čistého celosvětového ročního obratu

Jde o horní hranice.

Kde začít?

Pokud si nejste jisti, zda se vás zákon týká, nebo pokud se vás týká a nevíte, kde začít, doporučujeme tento postup:

0
Ověřte, zda jste se registrovali na Portálu NÚKIB
1
Ověřte, zda se vás zákon týká
Zkontrolujte, zda poskytujete regulovanou službu, a určete svůj režim. V pochybnostech se obraťte na NÚKIB nebo specializovaného poradce.
2
Proveďte GAP analýzu
Zmapujte, kde aktuálně stojíte a co konkrétně chybí. Bez tohoto kroku nevíte, kolik práce vás čeká.
3
Připravte management
Kybernetická bezpečnost je záležitostí vedení, ne jen IT. Workshop pro management pomůže vysvětlit zodpovědnosti a získat potřebné zdroje.
4
Implementujte postupně
Compliance není sprint, ale maraton. Prioritizujte nejkritičtější mezery a postupujte systematicky.

Zdroje

Chcete vědět, kde vaše firma stojí?

Nabízíme GAP analýzu, která přesně ukáže, kde stojíte a co je potřeba udělat. Výsledkem je prioritizovaný akční plán srozumitelný pro management.

Nezávazně poptat GAP analýzu