zákon č. 264/2025 Sb., o kybernetické bezpečnosti · vyhláška č. 409/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností · vyhláška č. 410/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu nižších povinností
Splňujete zákon
o kybernetické bezpečnosti?
Zjistěte to dřív,
než se zeptá NÚKIB.
Posouzení souladu s českou úpravou NIS2 — zákonem č. 264/2025 Sb. Jasná zpráva, konkrétní opatření, harmonogram.
Skupina IOSEC od roku 2010 · 8 evropských zemí
Předvýběr
Týká se vás zákon o kybernetické bezpečnosti?
Tři otázky, na které si odpovíte sami. Podmínky závazného zařazení stanoví příloha, kterou má vyhláška č. 408/2025 Sb., o regulovaných službách; je v ní 102 služeb. Proto vás odsud pošleme na oficiální nástroj úřadu, ne na vlastní test, který by tiše zestárl.
Dva režimy
Kdo je povinný a v jakém rozsahu
Česká úprava nepracuje s pojmy základní a důležitý subjekt jako směrnice NIS2, ale se dvěma režimy. Režim je navázán na podmínku významnosti uvedenou u služby v příloze vyhlášky — a s ním se mění i to, která vyhláška o bezpečnostních opatřeních se na vás použije.
režim vyšších povinností
Bezpečnostní opatření určuje vyhláška č. 409/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností. Incidenty přijímá Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB). V tomto režimu je povinný audit.
režim nižších povinností
Bezpečnostní opatření určuje vyhláška č. 410/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu nižších povinností. Incidenty přijímá národní CERT. Rozsah povinností je menší, ohlášení služby a lhůty platí stejně.
Co je v sázce
Lhůty a sankce
Lhůty běží od události, ne od pevného data: kdo podmínky splňoval už k 1. 11. 2025, měl službu ohlásit do 31. 12. 2025; kdo je splní později, má 60 dnů ode dne, kdy je splnil. Další lhůty běží od doručení rozhodnutí o registraci, lhůty u incidentů od jejich zjištění. Pozdní ohlášení termíny neodkládá beztrestně — je přestupkem.
Neohlášená služba
Za nesplnění povinnosti ohlásit službu hrozí pokuta až 250 000 000 Kč nebo až 2 % čistého celosvětového ročního obratu, podle toho, která částka je vyšší. Délka prodlení se zohledňuje při určení výše pokuty (§ 38 písm. f) zákona č. 250/2016 Sb.); navíc platí, že úřad může službu zaregistrovat i z moci úřední (§ 6 odst. 3 zákona).
Za porušení ostatních povinností — například nezavedení bezpečnostních opatření nebo nehlášení incidentu — hrozí pokuta až 250 000 000 Kč nebo až 2 % čistého celosvětového ročního obratu v režimu vyšších povinností a až 175 000 000 Kč nebo až 1,4 % v režimu nižších povinností, podle toho, která částka je vyšší.
Kde se ohlašuje
Ohlášení se podává přes Portál NÚKIB (Chci vyřídit → Ohlášení regulované služby). Přihlášení je přes Identitu občana (NIA); bez ní se první registrace dělá datovou schránkou.
Audit
Kdo smí audit provést
Registrace ani certifikace auditora se v České republice nevyžadují — požadavky jsou na osobu, ne na razítko.
Audit je povinný jen tam, kde platí režim vyšších povinností: provádí se alespoň jednou za 2 roky a při významných změnách; nelze-li audit v této lhůtě odůvodněně dokončit v plném rozsahu, může probíhat po částech, celý rozsah ale musí být pokryt alespoň jednou za 5 let (§ 16 odst. 4 a 5 — vyhláška č. 409/2025 Sb.). Kde platí režim nižších povinností, vyhláška audit neukládá.
Požadavek na auditora
Osoba vyškolená pro audit, s nejméně tříletou praxí v provádění auditů kybernetické bezpečnosti nebo auditů systému řízení bezpečnosti informací, která hodnotí nezávisle a není pověřena výkonem jiné bezpečnostní role.
Neslučitelnost s jinými bezpečnostními rolemi stanoví přímo vyhláška — § 5 odst. 4 písm. c).
Jak vám pomůžeme
Čtyři způsoby, jak do toho vstoupit
U každého dopředu víte, co dostanete. Nemusíte začít tím největším.
GAP analýza
Posouzení současného stavu proti požadavkům zákona a vyhlášky, která se na váš režim použije. Výstupem je zpráva s konkrétními nálezy a prioritami.
Implementace
Bezpečnostní dokumentace, řízení rizik, procesy a opatření. Provázíme vás celou cestou až k doložitelnému stavu.
Audit
Audit kybernetické bezpečnosti v režimu vyšších povinností. Kde vykonáváme roli manažera kybernetické bezpečnosti, tam u téhož klienta audit neprovádíme.
Manažer kybernetické bezpečnosti
Převezmeme roli jako externí službu — včetně přípravy podkladů pro rozhodování statutárního orgánu a komunikace s úřadem při incidentu.
Služby v ČR dodává člen skupiny IOSEC se sídlem v České republice.
Časté dotazy
Na co se nás ptáte nejčastěji
Spadá pod zákon i s. r. o. s 60 zaměstnanci?
Může. Rozhoduje, zda poskytujete službu v některém z odvětví zákona, zda je ta konkrétní služba uvedena v příloze vyhlášky o regulovaných službách a zda splňujete podmínku významnosti — velikostní, nebo funkční. Některé subjekty spadají pod zákon bez ohledu na velikost. Odvětví, velikostní prahy i funkční kritérium jsou v předvýběru výše. Závazné zařazení si ověřte v kalkulačce NÚKIB — my za úřad rozhodovat nemůžeme.
Jaký je rozdíl mezi režimem vyšších a nižších povinností?
Rozsah povinností a to, která vyhláška o bezpečnostních opatřeních se na vás použije; liší se i to, komu se hlásí incidenty. Režim je navázán na podmínku významnosti uvedenou u služby v příloze vyhlášky — není to volba. Ohlášení služby a lhůty od doručení rozhodnutí o registraci platí v obou režimech stejně. Která vyhláška a který adresát patří ke kterému režimu, je v sekci Kdo je povinný a v jakém rozsahu.
Odkdy nám běží lhůty?
Od události, ne od jednoho pevného data pro všechny. Kdo podmínky splňoval už ke dni účinnosti zákona, měl službu ohlásit v zákonné lhůtě od účinnosti — ta už uplynula a pozdní ohlášení je přestupkem. Kdo podmínky splní později, počítá lhůtu ode dne, kdy je splnil; další lhůty běží od doručení rozhodnutí o registraci a lhůty u incidentů od jejich zjištění. Konkrétní lhůty, data i sankce jsou v sekci Lhůty a sankce.
Musí být auditor certifikovaný?
Ne. Česká úprava registraci ani certifikaci auditora nevyžaduje — požadavky jsou na osobu, ne na razítko. Certifikát Lead auditora sám o sobě nestačí, předpis ho nezmiňuje. Co přesně se od auditora žádá, je v sekci Kdo smí audit provést.
Máme závody v Česku i na Slovensku. Registrujeme se dvakrát?
Obě úpravy jsou samostatné a každá má vlastní úřad i vlastní režim ohlašování. Pokud vaše skupina provozuje službu v obou zemích, řešíte je zpravidla souběžně — velkou část dokumentace a hodnocení rizik ale dokážete použít pro obě.
Nespadáme pod zákon, ale odběratel po nás chce bezpečnostní dotazník. Co s tím?
To je častý důvod, proč nás oslovují firmy mimo přímou působnost zákona. Regulované subjekty musí řídit rizika dodavatelského řetězce, a proto požadavky přenášejí na dodavatele smluvně. Dotazník s vámi vyhodnotíme, připravíme podloženou odpověď a doplníme to, co vám skutečně chybí — zpravidla v podstatně menším rozsahu, než by vyžadoval plný soulad.
Řekněte nám, co řešíte.
Třicet minut s konzultantem, který zná vaše odvětví. Výstupem je jednostránkové shrnutí s doporučeným postupem a orientačním rozsahem — pošleme vám je, i když se nedohodneme.