Nový zákon o kybernetické bezpečnosti (NIS2): týká se i vaší firmy?

Zákon č. 264/2025 Sb. platí od 1. listopadu 2025. Za deset minut zjistíte, jestli se vás týká, co hrozí za nesplnění a proč se vás dotkne, i když povinní nejste.

Od 1. listopadu 2025 platí zákon č. 264/2025 Sb. o kybernetické bezpečnosti. Dopadá na tisíce českých firem, které do té doby žádné takové povinnosti neměly. Za deset minut si ověříte, jestli jste mezi nimi.

A jestli vyjde, že ne, nezavírejte stránku. Na konci je část, která se vás týká tak jako tak.

Co se vlastně změnilo

Evropská směrnice NIS2 se v Česku promítla do nového zákona o kybernetické bezpečnosti. Oproti tomu starému dopadá na řádově víc firem, už nejen na banky, nemocnice a energetiku, ale i na výrobu, potravinářství, chemii, dopravu, odpadové hospodářství, digitální služby, vědu a vzdělávání. Dohromady jde zhruba o šest tisíc organizací, které dosud regulované nebyly.

Jak poznat, jestli jste mezi nimi

Musí platit obojí zároveň: velikost i odvětví.

Velikost. Zjednodušeně od 50 zaměstnanců výš, nebo při ročním obratu či bilanční sumě nad 10 milionů eur.

Odvětví. Vaše činnost musí být na seznamu regulovaných služeb.

Na tom se dá snadno sednout na lep, protože existují tři výjimky z toho jednoduchého pravidla:

• Propojené firmy se sčítají. Podíl 25 % a víc znamená, že se konsolidují počty zaměstnanců i obraty napříč skupinou. Malá dcera velké skupiny může spadnout dovnitř, i když sama má patnáct lidí.
• U některých služeb velikost nerozhoduje vůbec. Poskytovatelé služeb elektronických komunikací a služeb vytvářejících důvěru jsou povinní i jako mikropodnik.
• Posoudit se musí firma sama. Říká se tomu samoidentifikace a znamená to, že NÚKIB za vás nerozhodne a neupozorní vás. „Nevěděli jsme o tom“ není obhajoba.

Ověřit si to jde v oficiální kalkulačce na Portálu NÚKIB. Vyplnění zabere pár minut a je to první věc, kterou má smysl udělat.

Dvě lhůty, které běží

Jakmile povinnost vznikne, začínají běžet:

Ten rok zní jako spousta času. Není. Segmentace sítě nebo zavedení vícefaktorového ověřování napříč firmou se nedá stihnout za víkend.

Dva režimy povinností

Zákon rozlišuje nižší a vyšší režim podle významnosti služby. Většina středních firem spadne do nižšího.

Nižší režim znamená jedenáct oblastí opatření: řízení identit a vícefaktorové ověřování, řízení přístupů, školení lidí, detekce a řešení incidentů, kontinuita provozu a zálohy, segmentace sítě, aktualizace software, aplikační bezpečnost, kryptografie a smluvní řízení dodavatelů.

Vyšší režim k tomu přidává povinného manažera kybernetické bezpečnosti, penetrační testy a plný systém řízení bezpečnosti informací.

Hlášení incidentů: 24, 72 a 30

Významné incidenty se hlásí ve třech krocích. Lhůty běží od zjištění incidentu, ne od jeho vzniku, to je důležitý rozdíl.

• do 24 hodin předběžné hlášení
• do 72 hodin doplněné oznámení s příčinami a protiopatřeními
• do 30 dnů závěrečná zpráva

Adresát se liší podle režimu: nižší režim hlásí Národnímu CERT, vyšší vládnímu CERT při NÚKIB. Primárně se to dělá přes formuláře na Portálu NÚKIB.

NÚKIB sám uvádí, že včasné nahlášení incidentu primárně nevede k zahájení kontroly. Mlčet se tedy nevyplácí.

Sankce a odpovědnost vedení

Novinka, která v představenstvech budí největší respekt, ale není v penězích: odpovědnost za dohled nad kybernetickou bezpečností nese osobně vedení firmy. Jednatel musí určit odpovědnou osobu, zajistit zdroje, průběžně se seznamovat se stavem opatření a sám absolvovat školení. Není to už věc „toho našeho ajťáka“.

A teď to, co se týká i vás, když povinní nejste

Povinné firmy musí řídit bezpečnost svých dodavatelů. Do smluv jim přibývají bezpečnostní ujednání, právo na audit, reakční doby na incidenty a povinnost přenést požadavky dál na subdodavatele.

Prakticky to znamená, že malé firmě, která sama povinná není, přijde od většího odběratele bezpečnostní dotazník nebo dodatek ke smlouvě. Máte MFA? Jak zálohujete? Kdo má administrátorská práva? Kdy jste naposledy testovali obnovu?

Sama povinná není, ale zakázku má podmíněnou. A tohle dopadne i na firmu s deseti lidmi.

Dobrá zpráva je, že většina požadavků zákona je prostě dobrá praxe, která se vyplatí každé firmě bez ohledu na regulaci: vědět, co máte, kdo k čemu přistupuje, mít zálohy, u kterých někdo zkusil obnovu, a plán pro případ, že to celé spadne.

Většinu těch věcí firma dělá tak jako tak, jen je potřeba, aby to někdo evidoval a hlídal. To je běžná součást správy IT pro firmy.

Tento článek není právní poradenství. Sebeidentifikaci ani registraci nemůže za firmu udělat nikdo jiný než ona sama. Ověřenou verzi povinností najdete ve znění zákona č. 264/2025 Sb. a vyhlášky č. 410/2025 Sb. a na Portálu NÚKIB.

Nezávazná poptávka  ← Zpět na blog