Nový zákon o kybernetické bezpečnosti (NIS2): týká se vaší firmy?

Ve zkratce: Nový zákon o kybernetické bezpečnosti (č. 264/2025 Sb.) platí od 1. 11. 2025 a přenáší evropskou směrnici NIS2. Týká se středních a velkých firem v 15 odvětvích, mezi nimi i výroby, potravinářství nebo odpadového hospodářství, podle Hospodářské komory celkem více než 6 000 organizací. Kdo pod zákon spadá, musel službu ohlásit NÚKIB a od doručení rozhodnutí o registraci má rok na zavedení bezpečnostních opatření. Malých firem se zákon většinou netýká, základní zabezpečení se ale vyplatí i jim.

Co je nový zákon o kybernetické bezpečnosti?

Evropská unie přijala směrnici NIS2, která rozšiřuje okruh firem povinných chránit své systémy a hlásit kybernetické útoky. Česko ji převedlo do zákona č. 264/2025 Sb., o kybernetické bezpečnosti, který je účinný od 1. 11. 2025. Dozor má Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB).

Dřív se kybernetická bezpečnost týkala hlavně státu a kritické infrastruktury. Podle Hospodářské komory se nová pravidla týkají více než 6 000 organizací, včetně běžných výrobních firem.

Koho se zákon NIS2 týká?

Zákon reguluje poskytovatele takzvaných regulovaných služeb. Firma jím je, pokud platí obě podmínky zároveň:

1. Působí v jednom z 15 odvětví podle § 4 zákona: veřejná správa, energetika, výrobní průmysl, potravinářský průmysl, chemický průmysl, vodní hospodářství, odpadové hospodářství, doprava, digitální infrastruktura a služby, finanční trh, zdravotnictví, věda, výzkum a vzdělávání, poštovní a kurýrní služby, obranný průmysl a vesmírný průmysl. Konkrétní služby v každém odvětví stanoví vyhláška.
2. Je středním nebo velkým podnikem podle doporučení Evropské komise 2003/361/ES.

Podle definice Evropské komise je malý podnik ten, který má méně než 50 zaměstnanců a roční obrat nebo bilanční sumu do 10 mil. EUR. Kdo tyto hranice přesahuje, je středním podnikem a v uvedených odvětvích pod zákon zřejmě spadá. Pozor na skupiny firem: u propojených a partnerských podniků se čísla sčítají. Zákon navíc umožňuje regulovat i firmu, která je jinak významná pro společnost nebo bezpečnost státu, bez ohledu na velikost.

Jak zjistit, jestli pod zákon spadáte?

Firma se musí posoudit sama, nikdo jí dopis nepošle. Postup:

1. Spočítejte velikost firmy podle definice malých a středních podniků, včetně propojených firem.
2. Zkontrolujte, jestli vaše činnost spadá do některé ze služeb ve vyhlášce k zákonu.
3. Projděte průvodce novým zákonem na Portálu NÚKIB, kde se služby také ohlašují.
4. Když si nejste jistí, zeptejte se právníka nebo specialisty na kybernetickou bezpečnost. Posouzení je právní otázka, ne technická.

Jaké lhůty podle zákona běží?

K 1. 11. 2026 uplynul od účinnosti zákona přesně rok. Pro firmy, které podmínky splňovaly od začátku, skončila lhůta na ohlášení koncem roku 2025. Roční lhůta na opatření běží každé firmě od doručení jejího rozhodnutí o registraci. Kdo ho dostal například v lednu 2026, musí opatření plnit nejpozději v lednu 2027.

Co musí regulovaná firma udělat?

Zákon rozlišuje režim vyšších a nižších povinností (§ 8). Vyšší platí pro služby, které jsou svou velikostí, počtem uživatelů, dopadem nebo rizikovostí značně významné. Ostatní regulované služby jsou v režimu nižších povinností. Rozdíl je v rozsahu bezpečnostních opatření podle § 14:

• Režim vyšších povinností: 14 organizačních opatření (mimo jiné systém řízení bezpečnosti informací, požadavky na vrcholné vedení, řízení rizik, řízení dodavatelů, řízení kontinuity činností a audit) a 11 technických (například správa a ověřování identit, detekce a zaznamenávání událostí, kryptografické algoritmy, zajišťování dostupnosti služby).
• Režim nižších povinností: 13 opatření, mimo jiné systém zajišťování minimální kybernetické bezpečnosti, požadavky na vrcholné vedení, řízení aktiv a rizik, bezpečnost lidských zdrojů, řízení přístupu a identit a řešení incidentů.
• V obou režimech hlášení incidentů. Když se něco stane, firma podá do 24 hodin prvotní hlášení a dál postupuje podle lhůt v tabulce. Vyšší režim hlásí NÚKIB, nižší Národnímu CERT.

Podrobnosti k jednotlivým opatřením stanoví prováděcí vyhlášky. Pro konkrétní nastavení doporučujeme specialistu na kybernetickou bezpečnost. My se zabýváme digitalizací a automatizací, kybernetickou bezpečnost jako samostatnou službu nedodáváme.

Jaké pokuty zákon stanoví?

Podle § 59 odst. 4 zákona může úřad v režimu vyšších povinností uložit pokutu až 250 mil. Kč nebo až 2 % čistého celosvětového ročního obratu, v režimu nižších povinností až 175 mil. Kč nebo až 1,4 % obratu. Platí vždy ta částka, která je vyšší. Jde o horní hranice pro nejzávažnější přestupky, u dalších jsou stropy nižší.

Co dělat, když se vás zákon netýká?

Malá firma pod zákon většinou nespadá. Útočníci ale velikost firmy neřeší a ztráta dat bolí malou firmu víc než velkou. Pár věcí ze zákona dává smysl udělat i bez povinnosti:

• Dvoufázové přihlášení do pošty, bankovnictví a cloudu.
• Zálohy mimo hlavní počítač a jednou za čas zkouška, že se z nich dá obnovit.
• Přehled přístupů. Kdo má heslo k čemu, a odebrání přístupů lidem, kteří odešli.
• Data na jednom spravovaném místě místo kopií po noteboocích a telefonech.
• Jednoduchý plán pro případ útoku. Komu volat, co vypnout, kde jsou zálohy.

Počítejte také s tím, že se vás na zabezpečení mohou začít ptát odběratelé, kteří pod zákon spadají a řeší rizika u svých dodavatelů.

Jak souvisí digitalizace a AI s kybernetickou bezpečností?

Digitalizace bezpečnost obvykle zlepšuje, protože data přestanou ležet v jednom počítači a v šuplíku. V případové studii instalatérské firmy majitel před digitalizací po jednom výpadku ztratil část dat. Dnes má zálohy na samostatném serveru v EU a kopii mimo něj.

U AI asistentů je potřeba hlídat, k čemu mají přístup. Naše řešení stavíme tak, že asistent nic neodesílá sám, koncepty schvaluje člověk a data zůstávají na cloudu firmy nebo na samostatném serveru v EU. Víc o tom, co asistent umí, najdete na stránce AI asistent pro majitele firmy. Povinnosti při používání AI shrnuje článek AI Act: co musí udělat běžná firma a celý postup digitalizace článek digitalizace firmy.

Časté otázky k zákonu o kybernetické bezpečnosti

Od kdy platí nový zákon o kybernetické bezpečnosti?

Zákon č. 264/2025 Sb. je účinný od 1. 11. 2025. Přenáší do českého práva evropskou směrnici NIS2.

Týká se zákon NIS2 malých firem?

Většinou ne. Regulovanou službu poskytuje střední nebo velký podnik v jednom z 15 odvětví, která zákon vyjmenovává. Malá firma pod 50 zaměstnanců s obratem i bilanční sumou do 10 mil. EUR pod zákon obvykle nespadá, pokud ji úřad výjimečně neurčí jako významnou.

Do kdy se musí firma registrovat u NÚKIB?

Službu musí ohlásit do 60 dnů ode dne, kdy začala splňovat podmínky. Pro firmy, které je splňovaly už při účinnosti zákona 1. 11. 2025, tato lhůta uplynula koncem roku 2025. Kdo registraci zmeškal, má ji udělat co nejdřív.

Kolik času má firma na zavedení bezpečnostních opatření?

Podle § 13 odst. 4 zákona začne regulovaná firma bezpečnostní opatření plnit nejpozději do jednoho roku ode dne doručení rozhodnutí o registraci. Stejný rok platí pro povinnost hlásit kybernetické incidenty.

Jaká pokuta hrozí za porušení zákona o kybernetické bezpečnosti?

V režimu vyšších povinností až 250 mil. Kč nebo 2 % celosvětového ročního obratu, v režimu nižších povinností až 175 mil. Kč nebo 1,4 % obratu, podle toho, která částka je vyšší. Jde o horní hranice, konkrétní pokutu určí úřad.

Chcete dát firemní data na jedno bezpečné místo? Na třicetiminutovém hovoru zdarma projdeme, kde vaše data dnes leží a jak je propojit. Vybrat termín v kalendáři. Web vám mezitím můžeme zkontrolovat v rámci auditu zdarma.

Zdroje: Zákon č. 264/2025 Sb., o kybernetické bezpečnosti (§ 4, § 6, § 8, § 11, § 13, § 14, § 16, § 59; znění účinné od 1. 11. 2025, načteno 1. 11. 2026); Hospodářská komora ČR, Nový zákon o kybernetické bezpečnosti vstupuje v účinnost (2025); Evropská komise, definice malých a středních podniků (načteno 1. 11. 2026); Portál NÚKIB, průvodce novým zákonem.

• NIS2
• Bezpečnost
• Zákony

Titulní foto: Brett Sayles / Pexels