Průvodce NIS2
Hlášení kybernetických bezpečnostních incidentů
Režim vyšších povinností hlásí NÚKIB, režim nižších povinností Národnímu CERT, obojí přes Portál NÚKIB. Prvotní hlášení musí odejít do 24 hodin od zjištění incidentu. Co se hlásí, se ale mezi režimy výrazně liší.
Stav: říjen 2026 · Právní základ: zákon č. 264/2025 Sb., o kybernetické bezpečnosti, a vyhlášky NÚKIB
Které incidenty se hlásí
Zákon č. 264/2025 Sb. (ZKB) zde mezi režimy výrazně rozlišuje:
| Otázka | Režim vyšších povinností | Režim nižších povinností |
|---|---|---|
| Komu | NÚKIB (§ 15 odst. 1) | Národní CERT (§ 15 odst. 2) |
| Co | incidenty ve stanoveném rozsahu, s původem v kybernetickém prostoru, u nichž nelze do 24 hodin vyloučit úmyslné zavinění | totéž, ale jen incidenty s významným dopadem na poskytování regulované služby |
| Kdo posuzuje významnost | NÚKIB sdělí do 24 hodin, zda má incident významný dopad na kybernetický prostor státu (§ 16 odst. 2) | poskytovatel podle § 14 vyhlášky č. 410/2025 Sb. |
Významný dopad má incident, který poskytovateli způsobil nebo může způsobit závažné provozní narušení služeb nebo finanční ztráty, nebo způsobil či může způsobit jiným osobám značnou újmu (§ 15 odst. 3 ZKB). V nižším režimu si podle § 14 vyhlášky č. 410/2025 Sb. stanovíte únosnou míru újmy a oblasti posouzení: provozní dopad, počet zasažených uživatelů, zdroje potřebné k obnově, typ a umístění aktiv, citlivost dat a příčinu. Dopad je významný, když překročí únosnou míru a zároveň je některá oblast posouzena jako významná.
Provozovatelem Národního CERT je CZ.NIC (tým CSIRT.CZ). Hlášení podle nového zákona přijímá výhradně přes Portál NÚKIB.
Lhůty krok za krokem
Postup stanoví § 16 ZKB a obsah hlášení § 4 vyhlášky č. 334/2025 Sb.
Prvotní hlášení: do 24 hodin
Bez zbytečného odkladu, nejpozději do 24 hodin po zjištění. Identifikační údaje, základní údaje o incidentu a zda se domníváte, že jde o nezákonný zásah nebo může mít přeshraniční dopad (§ 16 odst. 1).
Oznámení: do 72 hodin
U incidentu s významným dopadem aktualizujete údaje, předložíte prvotní posouzení, dopad a indikátory kompromitace, jsou-li k dispozici (§ 16 odst. 3 písm. a). Poskytovatelé služeb vytvářejících důvěru do 24 hodin.
Průběžná zpráva: na výzvu
Pokud o ni NÚKIB nebo Národní CERT požádá, popíšete podstatné změny ve zvládání incidentu (písm. b).
Závěrečná zpráva: do 30 dnů od oznámení
Pokud incident po 30 dnech stále trvá, předložíte průběžnou zprávu o aktuálním stavu a závěrečnou zprávu do 30 dnů od vyřešení (písm. c).
NÚKIB nebo Národní CERT se k prvotnímu hlášení vyjádří do 24 hodin a na žádost poskytne metodickou či technickou podporu (§ 17 ZKB).
Kudy hlásit
Hlášení se podává přes Portál NÚKIB (§ 16 odst. 4 ZKB). Nelze-li portál použít, posílá vyšší režim hlášení na e-mail NÚKIB pro incidenty nebo do jeho datové schránky, nižší režim na e-mail nebo do datové schránky Národního CERT. Obsah zůstává stejný (§ 4 odst. 6 vyhlášky č. 334/2025 Sb.).
Hlášení obsahuje mimo jiné datum a čas zjištění, pravděpodobnou příčinu, popis, indikátory kompromitace, funkční dopad, odhad počtu zasažených aktiv nebo osob, čas na obnovu, citlivost dat a přijatá opatření (§ 4 odst. 1 vyhlášky č. 334/2025 Sb.).
Zvláštní případy
- Digitální služby podle § 18 ZKB (DNS, cloud, datová centra, CDN, MSP, MSSP, tržiště, vyhledávače, sociální sítě, registr TLD) hlásí všechny incidenty s významným dopadem; kritéria stanoví prováděcí předpis Komise (§ 18 odst. 2).
- Začátek povinnosti: nejpozději rok od doručení rozhodnutí o registraci (§ 15 odst. 4). Dříve regulované subjekty hlásí novým postupem už od doručení rozhodnutí (§ 71 odst. 1).
- Dobrovolná hlášení incidentů, událostí, hrozeb i zranitelností přijímá NÚKIB od kohokoli (§ 15 odst. 5).
- Osobní údaje: incident může zároveň vyžadovat ohlášení Úřadu pro ochranu osobních údajů podle čl. 33 GDPR, s vlastní lhůtou 72 hodin.
Informování uživatelů služby
Při incidentu s významným dopadem můžete uživatele informovat, pokud to považujete za vhodné. NÚKIB vám to může nařídit nebo zakázat (§ 19 odst. 1 ZKB). Povinně musíte uživatele, které může ovlivnit významná hrozba, bez zbytečného odkladu informovat o krocích, které mohou sami udělat (§ 19 odst. 2). Porušení obou povinností je přestupkem podle § 59 odst. 1 a 2 písm. j) a k).
Jak se připravit
- Sepište metodiku posuzování událostí a incidentů včetně únosné míry újmy (§ 10 a 14 vyhlášky č. 410/2025 Sb.).
- Určete, kdo hlásí, kdo ho zastupuje a kdo má přístup k Portálu NÚKIB, včetně víkendů.
- Uložte si náhradní e-mail a datovou schránku pro případ výpadku portálu.
- Jednou ročně si prvotní hlášení nacvičte v simulačním cvičení.
Jak připravený je váš postup hlášení, prověří NIS2-Scoring.
Časté otázky
Od kdy běží lhůta 24 hodin?
Od zjištění kybernetického bezpečnostního incidentu (§ 16 odst. 1 ZKB). Zákon nerozlišuje pracovní dny a víkendy.
Musíme v nižším režimu hlásit každý incident?
Ne. Jen incidenty s významným dopadem na poskytování regulované služby (§ 15 odst. 2 ZKB). Významnost posuzujete podle § 14 vyhlášky č. 410/2025 Sb.
Co hrozí za nenahlášení incidentu?
Je to přestupek podle § 59 odst. 1 nebo 2 písm. h) ZKB s pokutou až 250 mil. Kč nebo 2 % obratu ve vyšším režimu a až 175 mil. Kč nebo 1,4 % obratu v nižším režimu.
Musíme hlásit incident u svého dodavatele?
Pokud se projevil ve vašem stanoveném rozsahu a splňuje podmínky § 15 ZKB, ano. Smlouvy s dodavateli by proto měly obsahovat povinnost incidenty včas oznamovat.