Jak spolu souvisí NIS2 a AI Act? Kde se povinnosti potkávají a kde ne
Obsah · 8 kapitol
STRUČNÁ ODPOVĚĎ
NIS2 do českého práva zavádí zákon č. 264/2025 Sb., o kybernetické bezpečnosti, účinný od 1. listopadu 2025. Dozoruje ho NÚKIB a uplatní se podle sektoru a velikosti subjektu. AI Act se uplatní podle role firmy a rizika systému AI. Potkávají se u kybernetické bezpečnosti: článek 15 AI Actu vyžaduje kybernetickou odolnost vysoce rizikových systémů a článek 42 odst. 2 za určitých podmínek předpokládá shodu při certifikaci podle aktu o kybernetické bezpečnosti. Hlášení incidentů ukládají oba předpisy, ale ve dvou samostatných režimech s jinými lhůtami a adresáty, proto je třeba ho ověřit u konkrétního systému.
Dva předpisy, dvě různá kritéria
NIS2 do českého práva zavádí zákon č. 264/2025 Sb., o kybernetické bezpečnosti, účinný od 1. listopadu 2025. Dozoruje ho NÚKIB. Zákon rozlišuje režim vyšších a nižších povinností a uplatní se podle sektoru a velikosti subjektu.
AI Act, nařízení (EU) 2024/1689, se uplatní podle role firmy (poskytovatel, nebo zavádějící subjekt) a podle rizika systému AI. Firma tak může spadat pod jeden předpis, pod oba, nebo pod žádný. Zda spadáte pod zákon o kybernetické bezpečnosti, orientačně ukáže NIS2 test, u AI Actu AI Act Checkup.
Srovnání v jedné tabulce
| NIS2 (zákon č. 264/2025 Sb.) | AI Act (nařízení 2024/1689) | |
|---|---|---|
| Podle čeho se uplatní | Sektor a velikost subjektu, režim vyšších a nižších povinností | Role firmy a riziko systému AI |
| Od kdy | 1. 11. 2025 | Postupně, u vysoce rizikových systémů podle přílohy III od 2. 12. 2027 |
| Dozor v Česku | NÚKIB | Upraví připravovaný prováděcí zákon |
| Bezpečnost | Kybernetická bezpečnost je předmětem celého zákona | Kybernetická bezpečnost vysoce rizikových systémů (článek 15) |
| Hlášení incidentů | Prvotní hlášení do 24 hodin po zjištění, u incidentu s významným dopadem oznámení do 72 hodin po zjištění a závěrečná zpráva do 30 dnů od oznámení (§ 16) | Poskytovatel vysoce rizikového systému hlásí závažný incident neprodleně, nejpozději do 15 dnů, u některých incidentů dříve (článek 73) |
| Komu se hlásí | Úřad (NÚKIB), v režimu nižších povinností Národní CERT (§ 15) | Orgány dozoru nad trhem ve státě, kde k incidentu došlo (článek 73) |
| Stropy pokut | Až 250 mil. Kč nebo 2 % obratu, v nižším režimu až 175 mil. Kč nebo 1,4 %, platí vyšší z obou částek; u některých přestupků nižší (§ 59) | U zakázaných praktik až 35 mil. EUR nebo 7 % obratu, u vyjmenovaných povinností až 15 mil. EUR nebo 3 % (článek 99) |
Stropy pokut podle AI Actu a to, kdy platí nižší z obou hodnot, podrobně rozebírá stránka pokuty podle AI Actu.
Kde se povinnosti potkávají
Obě úpravy se potkávají u kybernetické bezpečnosti. Článek 15 AI Actu vyžaduje, aby vysoce rizikové systémy AI byly „navrženy a vyvinuty tak, aby dosahovaly náležité úrovně přesnosti, spolehlivosti a kybernetické bezpečnosti“. Článek 42 odst. 2 předpokládá shodu s požadavky na kybernetickou bezpečnost podle článku 15 u systémů certifikovaných v rámci systému kybernetické bezpečnosti podle nařízení (EU) 2019/881. Platí to jen v rozsahu certifikátu a jen tehdy, když byl na systém certifikace zveřejněn odkaz v Úředním věstníku EU. Jde o předpoklad shody, ne o automatické splnění všech povinností.
Firma, která pod zákon o kybernetické bezpečnosti spadá a zároveň vysoce rizikový systém AI dodává jako poskytovatel, tedy řeší bezpečnost systému podle obou předpisů. Prakticky to začíná soupisem: které systémy AI firma používá, ke kterým regulovaným službám patří a kdo je u nich poskytovatel. Bezpečnost konkrétního AI systému před nasazením prověří audit AI.
Kde se liší
Hlášení incidentů běží ve dvou samostatných režimech. Zákon č. 264/2025 Sb. pracuje s kybernetickým bezpečnostním incidentem, AI Act se závažným incidentem systému AI. Liší se spouštěč, adresát i lhůty, proto si postup ověřte u konkrétního systému, který se vás týká. U vysoce rizikových systémů v pravomoci Úřadu pro AI se podle článku 75 odst. 1a, který doplnila novela 2026/1744, hlásí odchylně tomuto úřadu.
Liší se i to, na koho povinnosti dopadají. Zákon o kybernetické bezpečnosti ukládá povinnosti poskytovateli regulované služby, AI Act podle role: hlášení závažných incidentů podle článku 73 ukládá poskytovateli vysoce rizikového systému. Co platí pro běžné uživatele AI, popisuje odpověď jaké povinnosti má firma, která AI jen používá.
Stav zdrojů a omezení
Údaje o zákoně č. 264/2025 Sb. jsou ověřené v e-Sbírce (aktuální znění od 1. 11. 2025, bez novel k 24. říjnu 2026) a přehled povinností podle něj je na stránce NIS2 v Česku. Údaje o AI Actu vycházejí z článků 15, 42, 73, 75, 99 a 113 nařízení (EU) 2024/1689 v konsolidovaném znění po novele nařízením (EU) 2026/1744, ověřeno k 24. říjnu 2026. Dozor nad AI Actem v Česku popisuje odpověď kdo v Česku dozoruje AI Act. Nejde o právní stanovisko. Zda lze jedno hlášení využít pro oba režimy, tato odpověď neposuzuje.
Časté dotazy
Musí firma, která spadá pod NIS2, řešit i AI Act?
Každý předpis se posuzuje zvlášť. NIS2 se uplatní podle sektoru a velikosti subjektu, AI Act podle role firmy a rizika systému AI. Firma tak může spadat pod jeden z nich, pod oba, nebo pod žádný.
Kde se NIS2 a AI Act potkávají?
U kybernetické bezpečnosti. Článek 15 AI Actu vyžaduje, aby vysoce rizikové systémy AI dosahovaly náležité úrovně přesnosti, spolehlivosti a kybernetické bezpečnosti. Článek 42 odst. 2 předpokládá shodu s požadavky na kybernetickou bezpečnost podle článku 15 u systémů certifikovaných v rámci systému kybernetické bezpečnosti podle nařízení (EU) 2019/881, na který byl zveřejněn odkaz v Úředním věstníku EU, a to jen v rozsahu certifikátu. Hlášení incidentů ukládají oba předpisy, ale ve dvou samostatných režimech.
Stačí při incidentu jedno hlášení pro oba předpisy?
Na to nespoléhejte. Hlášení běží ve dvou samostatných režimech s jiným spouštěčem, adresátem a lhůtami. Podle zákona č. 264/2025 Sb. se hlásí Úřadu (NÚKIB), v režimu nižších povinností Národnímu CERT, podle článku 73 AI Actu hlásí poskytovatel vysoce rizikového systému závažný incident orgánům dozoru nad trhem. Ověřte si to u konkrétního systému, který se vás týká.
Od kdy platí český zákon o kybernetické bezpečnosti?
Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, je účinný od 1. listopadu 2025. Dozoruje ho NÚKIB. Zákon rozlišuje režim vyšších a nižších povinností. Podrobnosti o působnosti a lhůtách jsou na stránce NIS2 v Česku.
Jaké pokuty hrozí podle zákona o kybernetické bezpečnosti?
V režimu vyšších povinností až 250 mil. Kč nebo 2 % obratu, v režimu nižších povinností až 175 mil. Kč nebo 1,4 % obratu. Platí vyšší z obou částek. U některých přestupků jsou stropy nižší (§ 59).
Jaké pokuty hrozí podle AI Actu?
AI Act stanoví stropy pokut do 35 mil. EUR nebo 7 % obratu u zakázaných praktik a do 15 mil. EUR nebo 3 % u vyjmenovaných povinností, mimo jiné podle článku 26 a článku 50. U podniků platí vyšší z obou hodnot, u malých a středních podniků nižší z obou.
Kdo v Česku dozoruje NIS2 a kdo AI Act?
Zákon o kybernetické bezpečnosti dozoruje NÚKIB. Příslušné orgány pro AI Act v Česku upravuje připravovaný prováděcí zákon.
Týká se článek 15 AI Actu každé firmy, která používá AI?
Ne. Článek 15 stanoví požadavky na vysoce rizikové systémy AI. U systémů podle přílohy III se povinnosti pro vysoce rizikové systémy použijí od 2. prosince 2027, u přílohy I od 2. srpna 2028.
ZDROJE A OVĚŘENÍ
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti (e-Sbírka, aktuální znění od 1. 11. 2025)
- Nařízení (EU) 2024/1689, článek 15 Přesnost, spolehlivost a kybernetická bezpečnost
- Nařízení (EU) 2024/1689, článek 42 Předpoklad shody s určitými požadavky
- Nařízení (EU) 2024/1689, článek 73 Oznamování závažných incidentů
- Nařízení (EU) 2024/1689, článek 75 (odstavec 1a vložený novelou 2026/1744)
- Nařízení (EU) 2024/1689, článek 99 Sankce
- Nařízení (EU) 2024/1689, článek 113 Vstup v platnost a použitelnost
- Nařízení (EU) 2026/1744, kterým se mění nařízení (EU) 2024/1689