Zákon o kyberbezpečnosti: koho se týká a do kdy

Koho se zákon týká?

U většiny regulovaných služeb rozhoduje kombinace dvou věcí: co firma poskytuje a jak je velká. Typicky musí jít alespoň o střední podnik ve smyslu doporučení Evropské komise 2003/361/ES, takže ani velikost sama o sobě, ani obor sám o sobě nestačí.

Velikost ale není univerzální podmínka a tohle je nejčastější důvod, proč si firma řekne „nás se to netýká“ a přestane číst. U některých služeb rozhodují jiná kritéria významnosti a velikost nehraje roli vůbec: platí to například pro poskytovatele služby DNS, pro správce registru domény nejvyšší úrovně a pro veřejnou správu.

Kolik firem to je, se dá poprvé opřít o čísla. NÚKIB očekával, že pod zákon spadne zhruba šest tisíc organizací; k 8. únoru 2026 jich ohlášení provedlo 4 825 (otevře se v novém okně), přestože lhůta uplynula na konci roku 2025. Těch šest tisíc je odhad velikosti regulované populace, ne seznam konkrétních firem, takže se ta dvě čísla nedají prostě odečíst. Úřad z nich ale sám vyvozuje, že část subjektů, které kritéria naplňují, ohlášení dosud neprovedla.

Jaké lhůty firmě běží?

Tři, a každá se počítá od jiné události. To je na nich to nejčastěji přehlédnuté: nespouští je datum účinnosti zákona, ale to, co se stane u vás.

• Ohlášení NÚKIBu do 60 dnů ode dne, kdy firma podmínky splní (§ 6 odst. 1). Kdo je splňoval k účinnosti zákona, měl ohlásit do konce roku 2025.
• Zavedení bezpečnostních opatření do jednoho roku ode dne, kdy je firmě doručeno rozhodnutí o registraci (§ 13 odst. 4). Rok tedy neběží od listopadu 2025, ale od rozhodnutí úřadu.
• Hlášení incidentu, který se hlásit musí: prvotní hlášení bez zbytečného odkladu, nejpozději do 24 hodin od zjištění (§ 16). U incidentu s významným dopadem pak následuje oznámení s prvotním posouzením do 72 hodin a závěrečná zpráva do 30 dnů.

Nejtvrdší z nich je těch 24 hodin, protože se nepočítá od chvíle, kdy má firma jasno, ale od zjištění incidentu. To v praxi znamená vědět dopředu, kdo hlášení odešle, odkud vezme údaje a kdo je v tu chvíli zastupitelný. Které incidenty se vůbec hlásí, se přitom liší podle režimu (§ 15), takže i tahle otázka začíná u zařazení. Úplné znění lhůt i povinností je v zákoně č. 264/2025 Sb. (otevře se v novém okně), který v Česku nahradil úpravu z roku 2014 a kterým byla převzata evropská směrnice NIS2.

Co znamená režim vyšších a nižších povinností?

Zákon nedělí firmy na regulované a neregulované, ale na dvě skupiny uvnitř regulace. Rozsah povinností se liší podle toho, jak významná služba je a jak velká firma ji poskytuje, a pro každý režim platí vlastní prováděcí vyhláška: 409/2025 Sb. pro vyšší povinnosti a 410/2025 Sb. pro nižší.

Platí u toho pravidlo, které překvapí firmy s víc službami: jedna organizace má jeden režim. Jakmile aspoň jedna z vašich regulovaných služeb spadne do vyššího režimu, platí vyšší režim pro všechny ostatní. K nižšímu režimu vydal NÚKIB manuál s praktickými příklady (otevře se v novém okně), jak opatření zavést.

Co se rozumí bezpečnostními opatřeními?

Ne nákup nástroje. Obě vyhlášky popisují opatření organizační i technická, takže vedle zabezpečení techniky jde o to, kdo ve firmě za bezpečnost odpovídá, jak se řídí rizika, jak se pracuje s dodavateli a jak se lidé školí.

Konkrétní dokumentace závisí na režimu a je to další důvod, proč se začíná zařazením. Vyhláška pro vyšší režim žádá mimo jiné zprávu o hodnocení rizik, plán zvládání rizik, plány kontinuity činností a obnovy, záznamy o auditech a prohlášení o aplikovatelnosti, tedy přehled toho, která opatření firma zavedla a která ne a proč (§ 8). V nižším režimu je rozsah menší.

Společné oběma režimům je, že se dokládá i práce s lidmi. Vzdělávání zaměstnanců je opatření jako každé jiné a při kontrole se prokazuje stejně jako nastavení techniky, takže ze školení musí zůstat auditovatelný záznam.

Jak vysoké jsou pokuty?

U nejzávažnějších přestupků může pokuta dosáhnout 250 milionů korun nebo 2 % čistého celosvětového ročního obratu v režimu vyšších povinností a 175 milionů korun nebo 1,4 % obratu v nižším režimu. Rozhoduje u obou to z těch dvou čísel, které vyjde vyšší, takže u velké firmy nestropuje sankci pevná částka, ale procento z obratu. U méně závažných pochybení jsou hranice nižší. Je to strop, ne sazebník: zákon neříká, kolik se platí za konkrétní pochybení, a kdo tvrdí opak, dopočítává si to sám.

Praktičtější pohled je, že pokuta je až ta druhá škoda. První přijde z incidentu samotného a z toho, že se na něj firma nepřipravila: z odstávky provozu, z dat, která nejdou obnovit, a z hlášení, které se píše pod tlakem 24 hodin.

Čím začít, když nevíte, jestli se vás to týká?

Prvním krokem je zjistit zařazení, ne nakupovat technologie. Tím začíná GAP analýza Securentu: vyhodnotí, jestli a v jakém režimu na vaši firmu zákon dopadá, a projde stav procesů a dokumentace, organizační i technická opatření, ICT prostředí, dodavatelský řetězec, GDPR, vzdělávání a fyzickou ochranu. Výstupem jsou tři dokumenty: manažerský reporting pro vedení, důvodová zpráva s rozborem mezer a roadmapa s pořadím kroků.

Druhá častá otázka zní, jestli kvůli regulaci musíte někoho přijmout. Nemusíte: manažera, architekta i auditora kybernetické bezpečnosti a DPO je možné si pronajmout, což je na trhu, kde těchto lidí je málo, obvykle rychlejší cesta než nábor. Co si pronajmout nejde, je odpovědnost. Zákonné povinnosti zůstávají vaší organizaci, ať je plní kdokoli.

Kdo řeší zároveň provoz sítí a koncových zařízení, najde obojí v kategorii Kyberbezpečnost, kde Securent stojí vedle ICT služeb.