Průvodce NIS2
Koho se týká nový zákon o kybernetické bezpečnosti
Česká úprava NIS2 nerozlišuje „základní“ a „důležité“ subjekty, ale reguluje služby. Kdo poskytuje regulovanou službu, spadá do režimu vyšších, nebo nižších povinností. Rozhoduje odvětví, druh služby a velikost podniku podle vyhlášky č. 408/2025 Sb.
Stav: říjen 2026 · Právní základ: zákon č. 264/2025 Sb., o kybernetické bezpečnosti, a vyhlášky NÚKIB
Regulovaná služba místo kategorie subjektu
Zákon č. 264/2025 Sb., o kybernetické bezpečnosti (dále ZKB), je účinný od 1. listopadu 2025 a nahradil zákon č. 181/2014 Sb. (§ 72 a 73 ZKB). Směrnici NIS2 zavádí po svém: povinnosti se váží na regulovanou službu a jejího poskytovatele. Regulovanou službou je služba, o které tak rozhodl Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) rozhodnutím o registraci (§ 3 a § 6 odst. 2 ZKB).
Pro firmu to znamená dvě věci. Zaprvé se neposuzuje celá společnost, ale každá služba zvlášť. Výrobce strojů, který zároveň provozuje datové centrum pro třetí strany, může mít dvě regulované služby. Zadruhé povinnosti platí jen pro aktiva, která s regulovanou službou souvisejí. Tento „stanovený rozsah“ si poskytovatel vymezuje sám podle § 12 ZKB.
Zákon platí pro osoby usazené v České republice a dále pro ty, kdo v Česku zajišťují sítě nebo poskytují služby elektronických komunikací, bez ohledu na místo usazení (§ 1 ZKB).
Tři otázky: odvětví, služba, velikost
Podmínky pro registraci regulované služby stanoví § 4 odst. 1 ZKB. Musí být splněny obě:
- Jde o službu významnou pro důležité společenské nebo ekonomické činnosti v jednom z 15 odvětví: veřejná správa, energetika, výrobní průmysl, potravinářský průmysl, chemický průmysl, vodní hospodářství, odpadové hospodářství, doprava, digitální infrastruktura a služby, finanční trh, zdravotnictví, věda, výzkum a vzdělávání, poštovní a kurýrní služby, obranný průmysl a vesmírný průmysl.
- Poskytovatel je středním nebo velkým podnikem podle doporučení Komise 2003/361/ES, nebo je jinak významný podle vyhlášky.
Konkrétní seznam služeb a podmínek obsahuje příloha vyhlášky č. 408/2025 Sb., o regulovaných službách. Tam najdete například výrobu elektřiny, provoz zdravotnického zařízení, cloud computing, řízené služby, výrobu strojů (oddíl 28 CZ-NACE) nebo kurýrní služby. Obranný průmysl je česká specialita, směrnice ho mezi odvětvími neuvádí.
Velikost podniku
Středním podnikem je podle doporučení 2003/361/ES podnik s alespoň 50 zaměstnanci, nebo s ročním obratem i bilanční sumou nad 10 mil. €. Velký podnik má alespoň 250 zaměstnanců, nebo obrat nad 50 mil. € a zároveň bilanční sumu nad 43 mil. €. Částky v eurech se přepočítávají kurzem ČNB k poslednímu dni předchozího roku (§ 2 odst. 2 vyhlášky č. 408/2025 Sb.).
§ 7 ZKB pravidla doporučení upravuje. Za partnerský nebo propojený podnik se nepovažuje osoba, jejíž technická aktiva jsou zcela oddělena od aktiv, která používá posuzovaná osoba pro regulovanou službu. Malá dceřiná společnost s vlastní, oddělenou IT tak nemusí kvůli koncernu automaticky spadat pod zákon.
Režim vyšších a nižších povinností
Každý poskytovatel regulované služby je v jednom ze dvou režimů (§ 8 ZKB). V režimu vyšších povinností je ten, kdo je kvůli velikosti, počtu uživatelů, geografickému rozsahu, dopadu na odvětví nebo rizikovosti provozu značně významný pro Českou republiku. Ostatní jsou v režimu nižších povinností. Rozdělení stanoví příloha vyhlášky č. 408/2025 Sb. u každé služby.
Ve srovnání se směrnicí odpovídá vyšší režim zhruba „základním subjektům“ a nižší režim „důležitým subjektům“. Tak to výslovně uvádí i § 18 odst. 4 ZKB pro digitální služby.
| Typ služby (příklady z vyhlášky 408/2025) | Režim vyšších povinností | Režim nižších povinností |
|---|---|---|
| Energetika, doprava, banky, zdravotní péče, cloud, datová centra, MSP a MSSP | velký podnik, u některých služeb i podle dalších kritérií | střední podnik |
| Výroba (CZ-NACE 26 až 30), potraviny, zdravotnické prostředky, pošta a kurýři, on-line tržiště, vyhledávače, sociální sítě | jen výjimky, například sériová výroba osobních automobilů | střední a velký podnik |
| Veřejně dostupné elektronické komunikace a veřejné komunikační sítě | střední a velký podnik, nebo nejméně 350 000 aktivních SIM či 100 000 pevných přípojek | malý podnik a mikropodnik |
| Kvalifikované služby vytvářející důvěru, registr domény nejvyšší úrovně | vždy | nepoužije se |
U některých služeb rozhodují i technické prahy. Výrobce elektřiny je ve vyšším režimu také tehdy, když provozuje výrobnu s instalovaným výkonem nejméně 100 MW. Provozovatel regionální distribuční soustavy elektřiny pak při nejméně 90 000 odběrných místech. Platební instituce a instituce elektronických peněz spadají pod zákon podle objemu transakcí, výzkumné organizace podle oblasti výzkumu. Proto se vyplatí přílohu vyhlášky přečíst u své konkrétní služby.
Kdy je režim vyšší bez ohledu na velikost
§ 5 ZKB doplňuje další podmínky registrace, například když je poskytovatel jediným poskytovatelem služby v Česku, když by narušení služby mohlo závažně zasáhnout život více než 125 000 osob, nebo když je poskytovatel subjektem kritické infrastruktury. Takovou službu registruje NÚKIB jen z moci úřední a její poskytovatel je vždy v režimu vyšších povinností (§ 6 odst. 3, § 8 odst. 3 ZKB).
Zvláštní skupinu tvoří strategicky významné služby (§ 25 ZKB), které určuje vláda nařízením. Jejich poskytovatelé mají navíc povinnosti k prověřování dodavatelů a k dostupnosti služby z území Česka (§ 31 a 33 ZKB). Pro většinu firem tato kategorie nebude relevantní.
Veřejná správa
Na rozdíl od řady jiných států reguluje česká úprava i velkou část veřejné správy. Podle vyhlášky č. 408/2025 Sb. jsou ve vyšším režimu například ústřední orgány státní správy, kraje, hlavní město Praha nebo zdravotní pojišťovny. V nižším režimu jsou správní úřady s krajskou či okresní působností, vysoké školy, profesní komory, obce s rozšířenou působností a městské části Praha 1 až 22.
Jak postupovat v praxi
Sepište své služby
Co poskytujete navenek a v jakém odvětví. Rozhoduje činnost, ne název ve výpisu z obchodního rejstříku.
Porovnejte je s přílohou vyhlášky 408/2025
U každé služby si přečtěte podmínky a režim. Výsledek i jeho zdůvodnění zapište.
Ověřte velikost podniku
Zaměstnanci, obrat a bilanční suma podle doporučení 2003/361/ES, se zvláštními pravidly § 7 ZKB.
Ohlaste službu
Pokud podmínky splňujete, máte na ohlášení 60 dnů. Postup popisuje stránka o ohlášení regulované služby.
Rychlý odhad, do kterého režimu pravděpodobně patříte, ukáže NIS2-Scoring hned v prvním kroku. Závazně rozhoduje NÚKIB rozhodnutím o registraci.
Časté otázky
Musí se registrovat celá skupina, nebo každá společnost zvlášť?
Ohlašuje se regulovaná služba a jejího poskytovatele tvoří konkrétní právnická osoba. Pokud službu poskytuje více společností skupiny, posuzuje se každá z nich. Velikost se počítá podle doporučení 2003/361/ES se zvláštními pravidly § 7 ZKB.
Jsme malá firma s 30 zaměstnanci. Týká se nás zákon?
Většinou ne, protože § 4 odst. 1 písm. b) ZKB vyžaduje střední nebo velký podnik. Výjimkou jsou například poskytovatelé veřejných komunikačních služeb, kvalifikované služby vytvářející důvěru nebo služby registrované podle § 5 ZKB z moci úřední.
Co když se nás zákon týká až později, třeba po růstu firmy?
Pak máte na ohlášení služby 60 dnů ode dne, kdy jste podmínky splnili (§ 6 odst. 1 ZKB). Změny, které mohou změnit váš režim, hlásíte rovněž do 60 dnů (§ 9 odst. 1).
Platí zákon i pro banky a pojišťovny?
Úvěrové instituce a provozovatelé infrastruktury finančního trhu jsou ve vyhlášce 408/2025 uvedeni. Pokud ale jiný předpis EU, typicky nařízení DORA, upravuje bezpečnostní opatření a hlášení incidentů se srovnatelným účinkem, příslušné povinnosti ZKB se podle § 70 neuplatní.