Čtyři kroky, ne tři
Nejčastější podoba, ve které se lhůty z NIS2 předávají dál, zní „24 hodin, 72 hodin, 30 dnů”. Je to zkratka, která ve dvou bodech neodpovídá tomu, co v zákoně stojí.
| Kdy | Co | Kdo to dělá |
|---|---|---|
| do 24 h od zjištění | prvotní hlášení | poskytovatel |
| do 24 h od prvotního hlášení | sdělení, zda má incident významný dopad na kybernetický prostor státu | Úřad |
| do 72 h od zjištění (24 h u služeb vytvářejících důvěru) | oznámení · aktualizace, prvotní posouzení, dopad, indikátory kompromitace | poskytovatel |
| na výzvu, bez pevné lhůty | průběžná zpráva | poskytovatel |
| do 30 dnů od oznámení | závěrečná zpráva | poskytovatel |
Dva rozdíly, na kterých záleží. Druhá čtyřiadvacetihodinová lhůta je povinností Úřadu, ne vaší · pokud ji někdo uvádí jako další krok firmy, počítá se špatně. A třicetidenní lhůta neběží od incidentu, ale od oznámení, tedy zhruba o tři dny později. Trvá-li incident v té době stále, závěrečná zpráva se nepodává vůbec · místo ní jde průběžná a závěrečná až do 30 dnů od vyřešení.
Dvoje hodiny, které běží současně
Tohle je místo, kde se plánování incidentů rozpadá nejčastěji, a v žádné tabulce lhůt podle NIS2 ho nenajdete.
Pokud incident zasáhl osobní údaje · a u ransomwaru, úniku databáze nebo kompromitace e-mailu je to obvyklé · vzniká druhá, na první nezávislá povinnost. Čl. 33 odst. 1 GDPR ukládá správci ohlásit porušení zabezpečení osobních údajů „bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděl”, a to dozorovému úřadu, tedy ÚOOÚ.
Vypadá to jako táž lhůta. Není:
| Zákon č. 264/2025 Sb. | Čl. 33 GDPR | |
|---|---|---|
| Komu | NÚKIB | ÚOOÚ |
| První krok | 24 h od zjištění | 72 h od okamžiku, kdy se správce dozvěděl |
| Co spouští běh | zjištění incidentu | zjištění porušení zabezpečení osobních údajů |
| Zpoždění | zákon s ním nepočítá | přípustné, ale ohlášení musí obsahovat důvody zpoždění |
Splnění jedné povinnosti neomlouvá nesplnění druhé. A protože každá běží od jiné rozhodné události, mohou začít v jiný okamžik: incident může být zjištěn v pondělí, ale že se týkal i osobních údajů, může vyjít najevo až ve středu při analýze.
Praktický důsledek pro plán reakce: rozhodnutí „týká se to osobních údajů?” musí být samostatným krokem s vlastním záznamem času, ne vedlejším produktem technického šetření.
Proč se první lhůta zmešká nejčastěji
Prvotní hlášení do 24 hodin nechce vysvětlení. Chce identifikaci, základní popis a odpověď na dvě otázky: domníváte se, že šlo o nezákonný zásah, a může mít incident přeshraniční dopad? To je všechno.
V praxi se ta lhůta překročí proto, že tým čeká, až bude vědět, co se stalo. Jenže rozbor patří až do oznámení do 72 hodin. Kdo si tohle rozdělení nenacvičí předem, hlásí pozdě · ne z nedbalosti, ale proto, že chce hlásit pořádně.
Druhá častá příčina je organizační: není určeno, kdo hlášení podává a z jakého účtu. Když incident přijde v pátek večer, čtyřiadvacetihodinová lhůta uplyne dřív, než se firma dobere k tomu, kdo má oprávnění Úřadu psát.
Kdy vlastně nastane „zjištění”
Lhůta neběží od okamžiku, kdy útočník vstoupil. Běží od zjištění · a mezi tím bývá u reálných průniků řada dnů až měsíců. To vypadá jako úleva, ale je to naopak nejcitlivější bod celé konstrukce, protože okamžik zjištění určuje organizace sama a musí ho umět doložit.
Sporné případy, které v auditech vidíme:
- Alarm, který nikdo nepotvrdil. Monitorovací nástroj vyhodil upozornění ve tři ráno, člověk se na ně podíval v deset. Je zjištěním čas alarmu, nebo čas potvrzení? Bez interní definice se o tom vede spor zpětně.
- Nález u dodavatele. O incidentu se organizace dozví od poskytovatele cloudu nebo od zákazníka. Rozhodné je doručení té informace, ne to, kdy ji vaše oddělení začalo řešit.
- Postupné skládání obrazu. Zvlášť u pomalých útoků: jednotlivé události nedávaly smysl, dohromady ano. Zjištění nastalo ve chvíli, kdy vznikl ten souhrnný závěr.
Doporučení je jednoduché a nepříjemné: mít okamžik zjištění definovaný předem, písemně, včetně toho, kdo ho stanoví. Definovat ho během incidentu znamená definovat ho tak, aby vyšla lhůta · a to je přesně to, co bude při kontrole vypadat špatně.
Co patří do oznámení do 72 hodin
Zákon chce v oznámení aktualizovat údaje z prvotního hlášení, doplnit prvotní posouzení incidentu a uvést dopad a indikátory kompromitace. Ten poslední bod je důvod, proč se oznámení nedá napsat zpětně z paměti.
Indikátory kompromitace jsou technické stopy, podle kterých lze týž útok rozpoznat jinde · IP adresy a domény, se kterými systém komunikoval, hashe škodlivých souborů, jména vytvořených účtů, cesty a názvy nasazených nástrojů, časy přístupů. Právě kvůli nim posílá NÚKIB tyhle informace dál: jeden incident u jedné firmy může být varováním pro celé odvětví.
Provozní důsledek: pokud se během zvládání incidentu přeinstaluje server, ty stopy zmizí. Zálohovat důkazy patří do reakce dřív než obnova provozu · nebo alespoň souběžně. Organizace, které nejdřív obnoví a pak přemýšlejí o hlášení, nemají co do oznámení napsat.
Rok na přípravu, který začíná bez vás
Povinnost hlásit incidenty ani zavádět bezpečnostní opatření nezačíná dnem účinnosti zákona. Podle § 15 odst. 4 a § 13 odst. 4 nabíhá obojí nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby.
Ten rok ale běží od doručení rozhodnutí, ne od okamžiku, kdy se organizace rozhodne tématem zabývat. Předchází mu vlastní ohlašovací povinnost: podle § 6 odst. 1 musí poskytovatel ohlásit regulovanou službu Úřadu do 60 dnů ode dne, kdy podmínky pro registraci splnil. Kdo ohlášení odkládá, neposouvá si tím začátek ročního odpočtu · jen si přidává vlastní přestupek.
Co s tím udělat dřív, než incident přijde
Zvládnutí lhůt není právní úloha, ale provozní. Pět věcí, které v auditech vidíme chybět nejčastěji:
- Jmenovitá odpovědnost a záložní osoba. Kdo hlásí, z jakého účtu, a kdo to udělá, když je ten člověk nedostupný. Bez druhé osoby je lhůta závislá na jedné dovolené.
- Připravená šablona prvotního hlášení. Čtyři položky, které zákon chce, mají být předvyplněné. Psát je poprvé v noci během incidentu znamená psát je pomalu.
- Definovaný okamžik zjištění. Viz výše · písemně a předem.
- Samostatné rozhodnutí o osobních údajích. Vlastní krok, vlastní záznam času, vlastní adresát. Jinak se druhá lhůta objeví, až když je po ní.
- Zajištění důkazů před obnovou. Bez indikátorů kompromitace je oznámení do 72 hodin prázdné.
Co to znamená: lhůty jsou zvládnutelné, pokud se rozloží na tři různé úlohy · rychlé ohlášení faktu, pomalejší analýzu a samostatné posouzení dopadu na osobní údaje. Organizace, které to spojují do jednoho kroku, zmeškají první lhůtu a pak vysvětlují proč.
Uvedená ustanovení odkazují na zákon č. 264/2025 Sb., o kybernetické bezpečnosti, účinný od 1. 11. 2025, a na nařízení (EU) 2016/679 (GDPR). Konkrétní seznam regulovaných služeb a podmínky významnosti poskytovatele stanoví podle § 4 odst. 2 vyhláška Úřadu. Text je informativní a nenahrazuje právní posouzení konkrétního případu.
Časté dotazy
Od čeho se počítá těch 30 dnů na závěrečnou zprávu?
Od předložení oznámení, ne od incidentu. § 16 odst. 3 písm. c) mluví o lhůtě 30 dnů ode dne předložení oznámení podle písmene a). Protože oznámení se předkládá do 72 hodin po zjištění, je reálný odstup od incidentu delší · a pokud incident v té době ještě trvá, předkládá se místo závěrečné zprávy průběžná a závěrečná až do 30 dnů od vyřešení.
Co když do 24 hodin nevíme, co se vlastně stalo?
Prvotní hlášení to nepředpokládá. Zákon v něm chce identifikační údaje, základní údaje o incidentu a informaci, zda se domníváte, že šlo o nezákonný zásah nebo že incident může mít přeshraniční dopad. Analýza patří až do oznámení do 72 hodin. Čekat s hlášením na dokončené šetření je nejčastější způsob, jak zmeškat první lhůtu.
Musíme do 24 hodin od prvotního hlášení něco dalšího udělat?
Ne. Ta druhá čtyřiadvacetihodinová lhůta patří Úřadu, ne vám · § 16 odst. 2 mu ukládá sdělit poskytovateli v režimu vyšších povinností, zda má incident významný dopad na kybernetický prostor státu. Bývá zaměňována za další povinnost firmy.
Nahradí hlášení podle zákona o kybernetické bezpečnosti ohlášení podle GDPR?
Nenahradí. Jsou to dva různé režimy, dva různé úřady a dvě různé lhůty. Hlášení incidentu jde NÚKIB podle zákona č. 264/2025 Sb., ohlášení porušení zabezpečení osobních údajů jde ÚOOÚ podle čl. 33 GDPR. Jeden incident může spustit obě povinnosti současně a splnění jedné neomlouvá nesplnění druhé.
Platí lhůty hned od účinnosti zákona?
Ne. Podle § 15 odst. 4 začíná poskytovatel plnit povinnost hlásit incidenty pro každou regulovanou službu nejpozději do 1 roku ode dne doručení rozhodnutí o registraci. Stejná roční lhůta platí podle § 13 odst. 4 i pro zavedení bezpečnostních opatření. Nejde tedy o povinnost ze dne na den, ale o rok na přípravu · který ale běží od doručení rozhodnutí, ne od chvíle, kdy se firma rozhodne to začít řešit.
Kdo je poskytovatel služeb vytvářejících důvěru?
Subjekty poskytující kvalifikované i nekvalifikované služby podle nařízení eIDAS · typicky vydávání certifikátů, elektronické podpisy, pečeti a časová razítka. Pro ně zákon zkracuje lhůtu pro oznámení ze 72 na 24 hodin.
Co hrozí, když lhůtu zmeškáme?
Zákon řadí nesplnění povinností mezi přestupky s pokutou odstupňovanou podle typu porušení a režimu poskytovatele. Nejvyšší sazba v § 59 činí 250 000 000 Kč nebo až 2 % čistého celosvětového ročního obratu, další stupně jsou 175 milionů nebo 1,4 % obratu, 100 milionů, 50 milionů a 35 milionů korun. Konkrétní zařazení závisí na tom, která povinnost byla porušena.