Odvětví
Organizace působí v jednom z patnácti odvětví vyjmenovaných v § 4 odst. 1 písm. a) a poskytuje v něm službu ze seznamu ve vyhlášce.
NIS2 · ČESKÁ REPUBLIKA
Zákon č. 264/2025 Sb. Kdo pod něj spadá a co musí stihnout.
Nový zákon o kybernetické bezpečnosti převádí evropskou směrnici NIS2 do českého práva a je účinný od 1. listopadu 2025. K 8. únoru 2026 se Úřadu ohlásilo 4 825 organizací, zatímco původní odhad počítal přibližně se šesti tisíci. Níže najdete podmínky působnosti, lhůty a postup hlášení incidentů s odkazem na konkrétní paragraf.
Kdo pod zákon spadá.
Působnost stojí na dvou podmínkách, které musí platit současně: odvětví se službou ze seznamu a velikost organizace. Samotné zařazení do odvětví povinnost nezakládá.
Velikost
Jde o střední nebo velký podnik podle doporučení Komise 2003/361/ES. Alternativně stačí význam pro zabezpečení důležitých činností nebo pro bezpečnost státu (§ 4 odst. 1 písm. b)).
Seznam služeb
Konkrétní služby a podmínky významnosti určuje vyhláška č. 408/2025 Sb., o regulovaných službách, v příloze. Zákon sám je nevyjmenovává (§ 4 odst. 2).
Výjimka z testu velikosti
Organizační složky státu, územní samosprávné celky a ČNB se za podnik nepovažují (§ 7 písm. b)). Test velikosti se na ně tedy neuplatní, což je nevyřazuje z působnosti zákona.
Patnáct odvětví podle § 4 odst. 1 písm. a).
- Veřejná správa
- Energetika
- Výrobní průmysl
- Potravinářský průmysl
- Chemický průmysl
- Vodní hospodářství
- Odpadové hospodářství
- Doprava
- Digitální infrastruktura a služby
- Finanční trh
- Zdravotnictví
- Věda, výzkum a vzdělávání
- Poštovní a kurýrní služby
- Obranný průmysl
- Vesmírný průmysl
Lhůty, které běží.
Roční lhůta na opatření se počítá od doručení rozhodnutí o registraci. Organizace, která ohlášení odkládá, si tím odklad opatření nekoupí, protože se posouvá až začátek běhu.
60 dnů · Ohlásit regulovanou službu
Lhůta běží ode dne, kdy organizace splní podmínky. Ohlašuje se Úřadu přes Portál NÚKIB. § 6 odst. 1
1 rok · Zavést bezpečnostní opatření
Lhůta běží ode dne doručení rozhodnutí o registraci, tedy až po ohlášení. Výčet opatření je v § 14, jejich obsah stanoví vyhláška. § 13 odst. 4
1 rok · Rozběhnout hlášení incidentů
Stejný roční náběh platí i pro povinnost hlásit incidenty. Do té doby platí režim popsaný níže bez sankčního dopadu z tohoto ustanovení. § 15 odst. 4
Hlášení incidentu podle § 16.
U každého kroku je podstatné, od čeho lhůta běží a komu se hlásí. Sdělení o významném dopadu na kyberprostor státu podává Úřad, zbytek podává poskytovatel. Závěrečná zpráva se počítá od oznámení, nikoli od okamžiku incidentu.
| Lhůta | Co se podává | Komu | Ustanovení |
|---|---|---|---|
| do 24 hodin od zjištění | Prvotní hlášení | Poskytovatel | § 16 odst. 1 |
| do 24 hodin od prvotního hlášení | Sdělení o významném dopadu na kyberprostor státu | Úřad | § 16 odst. 2 |
| do 72 hodin od zjištění | Oznámení: aktualizace, prvotní posouzení, dopad, indikátory kompromitace. U služeb vytvářejících důvěru je lhůta 24 hodin. | Poskytovatel | § 16 odst. 3 písm. a) |
| na výzvu, bez pevné lhůty | Průběžná zpráva | Poskytovatel | § 16 odst. 3 písm. b) |
| do 30 dnů od oznámení | Závěrečná zpráva. Lhůta běží od oznámení, nikoli od okamžiku incidentu. | Poskytovatel | § 16 odst. 3 písm. c) |
Sankce podle § 59.
Horní hranice pokut poskytovatelům regulované služby. U dvou nejvyšších sazeb se uplatní vyšší z obou hodnot. Přestupky dalších osob mají vlastní sazby v § 60.
250 mil. Kč
nebo 2 % čistého celosvětového ročního obratu
175 mil. Kč
nebo 1,4 % čistého celosvětového ročního obratu
100 mil. Kč
50 mil. Kč
35 mil. Kč
Jak CIAD pomáhá s přípravou.
CIAD Snapshot
Vstupní audit NA POPTÁVKU, do pěti dnů, bez přístupů do systémů. Výstupem je skóre 0 až 100 a plán náprav s vlastníkem a termínem.
Školení pro vedení a týmy
Za plnění zákona odpovídá vedení organizace. Školíme obojí: rozhodovací úroveň i lidi, kteří opatření skutečně provozují.
Roční preventivní program
Kvartální audit, prioritizace náprav a opakované školení po personálních i systémových změnách.
Oficiální zdroje.
Údaje na této stránce vycházejí ze znění zákona č. 264/2025 Sb. a z materiálů NÚKIB. Závazný je vždy text předpisu a rozhodnutí Úřadu. Jak na tom české firemní weby skutečně jsou, měříme ve vlastních studiích, napříkladsledování před souhlasem azabezpečení webů advokátních kanceláří.
Časté otázky.
Od kdy zákon č. 264/2025 Sb. platí?
+
Zákon byl přijat 11. června 2025 a je účinný od 1. listopadu 2025. Nahradil zákon č. 181/2014 Sb. a zrušil vyhlášku č. 317/2014 Sb. o významných informačních systémech (§ 72).
Jak zjistím, jestli spadáme pod regulaci?
+
Zákon staví působnost na dvou podmínkách současně: odvětví se službou ze seznamu (§ 4 odst. 1 písm. a)) a velikost středního nebo velkého podniku (§ 4 odst. 1 písm. b)). Seznam služeb je v příloze vyhlášky č. 408/2025 Sb. Orientačně odpoví náš dvouminutový test, závazné je ohlášení Úřadu.
Do kdy musíme ohlásit regulovanou službu?
+
Do 60 dnů ode dne, kdy organizace splní podmínky (§ 6 odst. 1). Na zavedení bezpečnostních opatření je pak jeden rok od doručení rozhodnutí o registraci (§ 13 odst. 4).
Do kdy se hlásí kybernetický incident?
+
Prvotní hlášení do 24 hodin od zjištění, oznámení do 72 hodin od zjištění a závěrečná zpráva do 30 dnů od oznámení (§ 16). U služeb vytvářejících důvěru se lhůta pro oznámení zkracuje na 24 hodin. Třicetidenní lhůta běží od oznámení, nikoli od okamžiku incidentu.
Vztahuje se zákon na obce?
+
Územní samosprávné celky se podle § 7 písm. b) nepovažují za podnik, takže se na ně neuplatní test velikosti. To je z působnosti nevyřazuje. Rozhodující je, zda obec nebo její organizace poskytuje regulovanou službu podle vyhlášky. Podrobnosti pro samosprávu jsou na stránce kybernetická bezpečnost pro obce.
Jaké hrozí pokuty?
+
Nejvyšší sazba podle § 59 je 250 mil. Kč nebo 2 % čistého celosvětového ročního obratu, podle toho, co je vyšší. Následují sazby 175 mil. Kč nebo 1,4 % obratu, dále 100, 50 a 35 mil. Kč. Přestupky dalších osob mají vlastní sazby v § 60.
Kolik organizací se už ohlásilo?
+
K 8. únoru 2026 evidoval NÚKIB 4 825 ohlášených subjektů. Původní odhad počtu organizací spadajících pod nový zákon byl přibližně 6 000, takže část povinných subjektů se dosud neohlásila.
PRVNÍ KROK
Zjistit, zda se vás zákon týká.
Deset otázek a dvě minuty ukážou, jestli má smysl řešit ohlášení regulované služby. Pokud si nejste jistí, napište na office@ciad.cz.