NIS2 v Česku: bezpečnostní opatření do jednoho roku od registrace u NÚKIB
Podle zákona č. 264/2025 Sb. se bezpečnostní opatření a hlášení incidentů plní do 1 roku od rozhodnutí NÚKIB o registraci: u mnohých začátkem roku 2027.
Český zákon k NIS2, zákon č. 264/2025 Sb., o kybernetické bezpečnosti, je účinný od 1. listopadu 2025. Fáze ohlašování je za námi. Další lhůta je ta nejdůležitější: podle § 13 a § 15 zákona musí poskytovatel začít zavádět bezpečnostní opatření a hlásit incidenty nejpozději do 1 roku ode dne doručení rozhodnutí NÚKIB o registraci regulované služby.
Koho se zákon týká a kde je registrace
Kritéria stanoví vyhláška č. 408/2025 Sb., o regulovaných službách. NÚKIB dlouhodobě počítá s tím, že pod zákon spadne asi 6 000 organizací: firmy, úřady, kraje, obce a další subjekty. Kdo kritéria splňoval k 1. listopadu 2025, měl 60denní lhůtu k ohlášení, která uplynula 31. prosince 2025. K 8. únoru 2026 se ohlásilo 4 825 subjektů a NÚKIB jim zaslal rozhodnutí o registraci.
NÚKIB vyzývá ty, kdo se dosud neohlásili, aby tak učinili co nejdříve. Upozorňuje, že délka období, kdy nejsou povinnosti plněny, má vliv na případnou sankci.
Hlavní lhůty
- Ohlášení: do 60 dnů ode dne splnění podmínek, přes Portál NÚKIB (§ 6).
- Kontaktní a doplňující údaje: do 30 dnů od doručení rozhodnutí o registraci; změny do 14 dnů (§ 11).
- Bezpečnostní opatření: do 1 roku od doručení rozhodnutí o registraci, podle vyhlášky č. 409/2025 Sb. (režim vyšších povinností) nebo č. 410/2025 Sb. (režim nižších povinností) (§ 13).
- Hlášení incidentů: prvotní hlášení do 24 hodin od zjištění; u incidentu s významným dopadem oznámení do 72 hodin a závěrečná zpráva do 30 dnů od oznámení (§ 16). Povinnost začíná ve stejné roční lhůtě (§ 15).
Organizaci, které bylo rozhodnutí doručeno začátkem roku 2026, uplyne rok začátkem roku 2027. Přesné datum se odvíjí od doručení vašeho vlastního rozhodnutí.
Pokuty
V režimu vyšších povinností až 250 000 000 Kč nebo 2 % čistého celosvětového ročního obratu, podle toho, která částka je vyšší. V režimu nižších povinností až 175 000 000 Kč nebo 1,4 % (§ 59).
Co dělat teď
Zjistěte datum doručení rozhodnutí o registraci, stanovte rozsah řízení kybernetické bezpečnosti podle § 12 a naplánujte opatření svého režimu, než rok uplyne. Pro režim nižších povinností vydal NÚKIB manuál s praktickými příklady a vzorem povinného přehledu bezpečnostních opatření.
Dazr Compliance obsahuje opatření vyhlášek č. 409/2025 Sb. a č. 410/2025 Sb. jako hotový rámec ve všech tarifech, včetně bezplatného. Každé opatření se stane opakovaným úkolem s vlastníkem, důkazy a připomínkami a evidence incidentů odpočítává lhůty 24 hodin, 72 hodin a 30 dnů.
Zdroje
- e-Sbírka: zákon č. 264/2025 Sb., o kybernetické bezpečnosti
- e-Sbírka: vyhláška č. 409/2025 Sb. (režim vyšších povinností)
- e-Sbírka: vyhláška č. 410/2025 Sb. (režim nižších povinností)
- NÚKIB: Byl publikován nový zákon o kybernetické bezpečnosti
- NÚKIB: Portál NÚKIB se mění na povinnou komunikační platformu (3. listopadu 2025)
- NÚKIB: Ohlášení podle nového zákona o kybernetické bezpečnosti provedlo přes 4800 organizací (11. února 2026)
- NÚKIB: Nový manuál pro subjekty v režimu nižších povinností (31. března 2026)
Pouze pro informaci, nejde o právní poradenství. Naposledy aktualizováno 7. listopadu 2026.
K dispozici také v jazyce: English