Odvětví
Organizace působí v jednom z patnácti odvětví vyjmenovaných v § 4 odst. 1 písm. a) a poskytuje v něm službu ze seznamu ve vyhlášce.
NIS2 · ČESKÁ REPUBLIKA
Kyberzákon je účinný. Lhůty už běží.
Zákon č. 264/2025 Sb. převádí směrnici NIS2 do českého práva a je účinný od 1. listopadu 2025. K 8. únoru 2026 se Úřadu ohlásilo 4 825 organizací, odhad počítal zhruba se šesti tisíci. Níže jsou podmínky působnosti, lhůty a postup hlášení incidentů, u každého údaje s paragrafem.
Podmínky platí obě naráz.
Působnost stojí na dvou podmínkách, které musí platit současně: odvětví se službou ze seznamu a velikost organizace. Samotné zařazení do odvětví povinnost nezakládá.
Velikost
Jde o střední nebo velký podnik podle doporučení Komise 2003/361/ES. Alternativně stačí význam pro zabezpečení důležitých činností nebo pro bezpečnost státu (§ 4 odst. 1 písm. b)).
Seznam služeb
Konkrétní služby a podmínky významnosti určuje vyhláška č. 408/2025 Sb., o regulovaných službách, v příloze. Zákon sám je nevyjmenovává (§ 4 odst. 2).
Výjimka z testu velikosti
Organizační složky státu, územní samosprávné celky a ČNB se za podnik nepovažují (§ 7 písm. b)). Test velikosti se na ně tedy neuplatní, což je nevyřazuje z působnosti zákona.
Patnáct odvětví podle § 4 odst. 1 písm. a).
- Veřejná správa
- Energetika
- Výrobní průmysl
- Potravinářský průmysl
- Chemický průmysl
- Vodní hospodářství
- Odpadové hospodářství
- Doprava
- Digitální infrastruktura a služby
- Finanční trh
- Zdravotnictví
- Věda, výzkum a vzdělávání
- Poštovní a kurýrní služby
- Obranný průmysl
- Vesmírný průmysl
Každá lhůta běží od něčeho jiného.
Roční lhůta na zavedení opatření běží až od doručení rozhodnutí o registraci, ne ode dne ohlášení. Šedesátidenní lhůta pro ohlášení přitom běží ze zákona ode dne splnění podmínek.
60 dnů · Ohlásit regulovanou službu
Lhůta běží ode dne, kdy organizace splní podmínky. Ohlašuje se Úřadu přes Portál NÚKIB. § 6 odst. 1
1 rok · Zavést bezpečnostní opatření
Lhůta běží ode dne doručení rozhodnutí o registraci, tedy až po ohlášení. Výčet opatření je v § 14, jejich obsah stanoví vyhláška. § 13 odst. 4
1 rok · Rozběhnout hlášení incidentů
Stejný roční náběh platí i pro povinnost hlásit incidenty. Do té doby platí režim popsaný níže bez sankčního dopadu z tohoto ustanovení. § 15 odst. 4
Hlášení incidentu podle § 16.
U každého kroku je podstatné, od čeho lhůta běží a komu se hlásí. Sdělení o významném dopadu na kyberprostor státu podává Úřad, zbytek podává poskytovatel. Závěrečná zpráva se počítá od oznámení, nikoli od okamžiku incidentu.
| Lhůta | Co se podává | Komu | Ustanovení |
|---|---|---|---|
| do 24 hodin od zjištění | Prvotní hlášení | Poskytovatel | § 16 odst. 1 |
| do 24 hodin od prvotního hlášení | Sdělení o významném dopadu na kyberprostor státu | Úřad | § 16 odst. 2 |
| do 72 hodin od zjištění | Oznámení: aktualizace, prvotní posouzení, dopad, indikátory kompromitace. U služeb vytvářejících důvěru je lhůta 24 hodin. | Poskytovatel | § 16 odst. 3 písm. a) |
| na výzvu, bez pevné lhůty | Průběžná zpráva | Poskytovatel | § 16 odst. 3 písm. b) |
| do 30 dnů od oznámení | Závěrečná zpráva. Lhůta běží od oznámení, nikoli od okamžiku incidentu. | Poskytovatel | § 16 odst. 3 písm. c) |
Sankce podle § 59.
Horní hranice pokut poskytovatelům regulované služby. U dvou nejvyšších sazeb se uplatní vyšší z obou hodnot. Které porušení spadá do které sazby, určuje výčet přestupků přímo v § 59; přestupky dalších osob mají vlastní sazby v § 60.
250 mil. Kč
nebo 2 % čistého celosvětového ročního obratu
175 mil. Kč
nebo 1,4 % čistého celosvětového ročního obratu
100 mil. Kč
50 mil. Kč
35 mil. Kč
Nejdřív zjistit stav. Teprve potom opatření.
CIAD Snapshot
Vstupní posouzení bez přístupů do vašich systémů. Výstupem je skóre 0 až 100 a plán náprav s vlastníkem a termínem. Cena podle rozsahu, na poptávku.
Školení pro vedení a týmy
Za plnění zákona odpovídá vedení organizace. Školíme obojí: rozhodovací úroveň i lidi, kteří opatření skutečně provozují.
Plán opatření a ověření
Pomůžeme sestavit pořadí organizačních a technických kroků podle § 14 a po zavedení ověříme, že opatření skutečně fungují.
Oficiální zdroje.
Údaje na této stránce vycházejí ze znění zákona č. 264/2025 Sb. a z materiálů NÚKIB. Závazný je vždy text předpisu a rozhodnutí Úřadu.
Vedle právních pramenů měříme i praxi: jak jsou na tom české firemní weby ve skutečnosti, ukazují naše studie sledování před souhlasem a zabezpečení webů advokátních kanceláří.
Časté dotazy k registraci a lhůtám.
Od kdy zákon č. 264/2025 Sb. platí?
+
Zákon byl přijat 11. června 2025 a je účinný od 1. listopadu 2025. Nahradil dosavadní zákon č. 181/2014 Sb.; zrušení vyhlášky č. 317/2014 Sb. o významných informačních systémech stanoví § 72.
Jak zjistím, jestli spadáme pod regulaci?
+
Zákon staví působnost na dvou podmínkách současně: odvětví se službou ze seznamu (§ 4 odst. 1 písm. a)) a velikost středního nebo velkého podniku (§ 4 odst. 1 písm. b)). Seznam služeb je v příloze vyhlášky č. 408/2025 Sb. Orientačně odpoví náš dvouminutový test, závazné je ohlášení Úřadu.
Do kdy musíme ohlásit regulovanou službu?
+
Do 60 dnů ode dne, kdy organizace splní podmínky (§ 6 odst. 1). Na zavedení bezpečnostních opatření je pak jeden rok od doručení rozhodnutí o registraci (§ 13 odst. 4).
Do kdy se hlásí kybernetický incident?
+
Prvotní hlášení do 24 hodin od zjištění, oznámení do 72 hodin od zjištění a závěrečná zpráva do 30 dnů od oznámení (§ 16). U služeb vytvářejících důvěru se lhůta pro oznámení zkracuje na 24 hodin. Třicetidenní lhůta běží od oznámení, nikoli od okamžiku incidentu.
Vztahuje se zákon na obce?
+
Územní samosprávné celky se podle § 7 písm. b) nepovažují za podnik, takže se na ně neuplatní test velikosti. To je z působnosti nevyřazuje. Rozhodující je, zda obec nebo její organizace poskytuje regulovanou službu podle vyhlášky. Podrobnosti pro samosprávu jsou na stránce kybernetická bezpečnost pro obce.
Jaké hrozí pokuty?
+
Nejvyšší sazba podle § 59 je 250 mil. Kč nebo 2 % čistého celosvětového ročního obratu, podle toho, co je vyšší. Následují sazby 175 mil. Kč nebo 1,4 % obratu, dále 100, 50 a 35 mil. Kč. Přestupky dalších osob mají vlastní sazby v § 60.
Kolik organizací se už ohlásilo?
+
K 8. únoru 2026 evidoval NÚKIB 4 825 ohlášených subjektů. Původní odhad počtu organizací spadajících pod nový zákon byl přibližně 6 000, takže část povinných subjektů se dosud neohlásila.
PRVNÍ KROK
Zjistit, zda se vás zákon týká.
Deset otázek a dvě minuty ukážou, jestli má smysl řešit ohlášení regulované služby. Když si nejste jistí, napište na office@ciad.cz.