Průvodce NIS2
Pokuty a kontrola podle zákona o kybernetické bezpečnosti
Přestupky projednává přímo NÚKIB. Horní hranice pokut se liší podle režimu: až 250 mil. Kč nebo 2 % obratu ve vyšším režimu, až 175 mil. Kč nebo 1,4 % v nižším. Stejnou horní hranici jako vyšší režim má neohlášení služby.
Stav: říjen 2026 · Právní základ: zákon č. 264/2025 Sb., o kybernetické bezpečnosti, a vyhlášky NÚKIB
Kdo kontroluje a trestá
NÚKIB vykonává kontrolu v oblasti kybernetické bezpečnosti a zjišťuje, jak jsou plněny povinnosti ze zákona č. 264/2025 Sb. (ZKB) a z přímo použitelných předpisů EU (§ 55 ZKB). Přestupky podle zákona projednává sám (§ 62 odst. 1). Pokud by tentýž skutek byl porušením i předpisů o ochraně osobních údajů, NÚKIB a Úřad pro ochranu osobních údajů si vyměňují informace, aby nedošlo k dvojímu trestání (§ 64 odst. 5).
Horní hranice pokut
Pokuty stanoví § 59 odst. 4 a § 60 odst. 7 ZKB. Procentní hranice se počítá z čistého celosvětového ročního obratu podniku, jehož je obviněný součástí, za bezprostředně předcházející účetní období. Platí vyšší z obou částek. Procentní hranice 2 % a 1,4 % přebírá zákon ze směrnice NIS2 (čl. 34), pevné částky jsou stanoveny v korunách.
| Přestupek | Vyšší režim | Nižší režim |
|---|---|---|
| Nezavedení bezpečnostních opatření, nehlášení incidentu, neevidování aktiv, chybějící požadavky ve smlouvách s dodavateli, nesplnění nápravného opatření a další (§ 59 odst. 1 a 2 písm. a, c až m, o) | 250 mil. Kč nebo 2 % | 175 mil. Kč nebo 1,4 % |
| Nenahlášení kontaktních nebo doplňujících údajů (písm. b) | 100 mil. Kč | 50 mil. Kč |
| Neoznámení provedení reaktivního protiopatření (písm. n) | 50 mil. Kč | 35 mil. Kč |
| Neohlášení služby podle § 6 odst. 1 (§ 60 odst. 1 písm. a) | 250 mil. Kč nebo 2 % | |
Pro poskytovatele strategicky významných služeb platí další skutkové podstaty, například porušení podmínek nebo zákazu dodavatele (§ 59 odst. 3 ZKB).
Nápravná opatření a další nástroje
Pokuta není jediný nástroj. Zákon dává NÚKIB i tyto možnosti:
- Nápravné opatření (§ 56 ZKB): NÚKIB uloží odstranit zjištěné nedostatky ve stanovené lhůtě, případně určí jak, a může požadovat oznámení o provedení. Rozklad nemá odkladný účinek.
- Pozastavení certifikace (§ 57): poskytovateli ve vyšším režimu, který nápravné opatření nesplní, může NÚKIB pozastavit evropský certifikát kybernetické bezpečnosti nebo uložit subjektu posuzování shody pozastavit jím vydaný certifikát, nejméně na šest měsíců. Informaci zveřejní.
- Dočasný zákaz výkonu funkce člena statutárního orgánu (§ 58), opět jen ve vyšším režimu. Podrobnosti najdete na stránce o povinnostech vrcholného vedení.
- Pořádkové pokuty do 100 000 Kč, opakovaně až do souhrnu 10 mil. Kč nebo 1 % obratu, a donucovací pokuty do 10 mil. Kč nebo 1 % obratu (§ 63 odst. 1 a 2).
- Pokuta do 10 mil. Kč, pokud poskytovatel jako kontrolovaná osoba neplní povinnosti podle § 10 odst. 2 kontrolního řádu (§ 63 odst. 3).
Varování a protiopatření
Vedle sankcí vydává NÚKIB protiopatření: výstrahu, varování a reaktivní protiopatření (§ 20 ZKB). Nesplnění povinnosti z výstrahy nebo reaktivního protiopatření je přestupkem s nejvyšší sazbou podle režimu (§ 59 odst. 1 a 2 písm. l) a m). Varování vydaná podle starého zákona platí dál jako varování podle nového (§ 71 odst. 3).
Jak riziko snížit
- Mějte ohlášení služby a kontaktní údaje v pořádku. To jsou nejjednodušší a nejsnáze zjistitelné povinnosti.
- Dodržujte roční lhůtu od rozhodnutí o registraci pro opatření a hlášení incidentů.
- Vše dokumentujte: přehled opatření nebo dokumentaci ISMS, evidenci aktiv, zápisy vedení.
- Při kontrole spolupracujte. Neposkytnutí součinnosti je samostatně postižitelné.
- Pokud jste byli regulováni už podle zákona č. 181/2014 Sb., plníte do uplynutí nových lhůt alespoň dosavadní povinnosti. Řízení o povinnostech uložených podle starého zákona se vedou podle něj (§ 71 odst. 1 a 2 ZKB).
Kde máte mezery, které by mohly být přestupkem, ukáže NIS2-Scoring; povinnosti s přímým právním důsledkem mají v něm vyšší váhu.
Časté otázky
Počítá se 2 % z obratu naší společnosti, nebo celé skupiny?
Z čistého celosvětového ročního obratu podniku ve smyslu čl. 101 a 102 SFEU, jehož je obviněný součástí, tedy zpravidla skupiny (§ 59 odst. 4 ZKB).
Kdo pokuty ukládá?
NÚKIB, který přestupky podle zákona č. 264/2025 Sb. projednává sám (§ 62 odst. 1 ZKB).
Může nás NÚKIB pokutovat, když jsme službu neohlásili?
Ano. Neohlášení služby je přestupkem podle § 60 odst. 1 písm. a) ZKB s pokutou až 250 mil. Kč nebo 2 % obratu.
Dostaneme za porušení GDPR i ZKB dvě pokuty?
Zákon počítá se spoluprací NÚKIB a Úřadu pro ochranu osobních údajů, aby za porušení téže povinnosti nedošlo k dvojímu trestání (§ 64 odst. 5 ZKB).