Zákon č. 264/2025 Sb. ve zkratce
Stav k 19. říjnu 2026. Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, provádí v Česku směrnici NIS2 a 1. listopadu 2025 nahradil zákon č. 181/2014 Sb. Neregistruje se organizace, ale regulovaná služba: kdo poskytuje službu ze seznamu ve vyhlášce č. 408/2025 Sb. a splní podmínky, je jejím poskytovatelem.
Koho se zákon týká
Podle § 4 zákona jde o poskytovatele služby, kterou vyhláška č. 408/2025 Sb. uvádí v některém z odvětví (mimo jiné energetika, doprava, digitální infrastruktura a služby, finanční trh, zdravotnictví, výroba, potravinářství, veřejná správa) a který je středním nebo velkým podnikem podle doporučení Komise 2003/361/ES. Některé služby jsou regulované bez ohledu na velikost, například kvalifikované služby vytvářející důvěru nebo podle § 5 služby, jejichž narušení by mohlo zasáhnout život více než 125 000 osob.
- Režim vyšších povinností (vyhláška č. 409/2025 Sb.): typicky velké podniky v kritických odvětvích a ústřední orgány státní správy. Úplný systém řízení bezpečnosti informací, audit, hlášení NÚKIB.
- Režim nižších povinností (vyhláška č. 410/2025 Sb.): typicky střední podniky a řada výrobních odvětví. Kratší sada minimálních opatření, hlášení jen incidentů s významným dopadem, a to Národnímu CERT. Co přesně musíte splnit.
- Příklad: poskytovatel řízené služby (MSP) nebo cloud computingu pro firemní zákazníky je v režimu vyšších povinností, je-li velkým podnikem, a v režimu nižších povinností, je-li středním (vyhláška č. 408/2025 Sb., body 16.8 a 16.13).
Zda jste střední, nebo velký podnik, posuzujete včetně partnerských a propojených podniků, s výjimkami podle § 7 zákona. První odhad dá bezplatné ověření působnosti NIS2; rozhoduje vyhláška č. 408/2025 Sb. a NÚKIB.
Ohlášení a registrace u NÚKIB
- Kdo ohlašuje: poskytovatel služby, která splňuje podmínky, ji ohlásí NÚKIB přes Portál NÚKIB. Úřad poté rozhodne o registraci regulované služby (§ 6).
- Po rozhodnutí: do 30 dnů nahlásíte kontaktní osoby a doplňující údaje (vlastnická struktura, technické údaje, geografický rozsah); změny do 14 dnů (§ 11).
- Stanovený rozsah: určíte primární aktiva, posoudíte, zda souvisejí s regulovanou službou, a k nim podpůrná aktiva; vyjmutá aktiva evidujete s důvodem (§ 12).
Lhůta pro ohlášení už uplynula?
Pro služby, které podmínky splňovaly už 1. listopadu 2025, uplynula šedesátidenní lhůta 31. prosince 2025. Pokud jste službu neohlásili, ohlaste ji co nejdříve: neohlášení služby je přestupek (§ 60 odst. 1 písm. a) zákona). Pokud podmínky splníte až nyní (růst nad hranici středního podniku, nová služba), běží vám 60 dnů od tohoto dne. Lhůta 1 roku pro opatření a hlášení incidentů začíná až doručením rozhodnutí o registraci.
Hlášení kybernetických bezpečnostních incidentů
Komu: v režimu vyšších povinností NÚKIB, v režimu nižších povinností Národnímu CERT, a to jen incidenty s významným dopadem na poskytování služby (§ 15). V obou případech přes Portál NÚKIB; když nefunguje, e-mailem nebo do datové schránky (§ 16 odst. 4). Úřad nebo Národní CERT vám odpoví do 24 hodin od prvotního hlášení. Zda je incident významný, vám pomůže kontrola významného incidentu a lhůty spočítá kalkulačka lhůt.
Bezpečnostní opatření a pokuty
Opatření zavádíte v rámci stanoveného rozsahu a v míře nezbytné pro kybernetickou bezpečnost služby (§ 13). Seznam je v § 14: v režimu vyšších povinností 14 organizačních a 11 technických opatření včetně auditu, v režimu nižších povinností 13 oblastí od systému zajišťování minimální kybernetické bezpečnosti po kryptografické algoritmy. Když opatření zajišťuje dodavatel, musíte ho podle nich vybírat a požadavky dát do smlouvy (§ 13 odst. 5).
Pokuty (§ 59): v režimu vyšších povinností až 250 000 000 Kč nebo 2 % celosvětového ročního obratu, v režimu nižších povinností až 175 000 000 Kč nebo 1,4 % obratu, podle toho, co je vyšší. Za neohlášení změn nebo údajů platí nižší sazby.
Průvodci a nástroje
Zdarma a v češtině, s odkazy na paragrafy.
Režim nižších povinností: co musíte splnit
Vyhláška č. 410/2025 Sb. paragraf po paragrafu jako kontrolní seznam s důkazy.
Otevřít seznam ›Týká se nás NIS2?
Odvětví, velikost včetně skupiny a výjimky: základní, důležitý, nebo mimo působnost.
Ověřit ›Je incident významný?
Prahové hodnoty prováděcího nařízení (EU) 2024/2690 krok za krokem.
Ověřit incident ›Rámec NÚKIB v Dazr
Opatření obou vyhlášek jako kontroly s vlastníkem, důkazy a připomínkami, i v tarifu Free.
Zobrazit ›Dotazníky pro dodavatele
Na co se zákazníci pod NIS2 ptají dodavatelů a jak odpovědět jednou a dobře.
Přečíst ›NIS2 na úrovni EU
Článek 21, lhůty podle článku 23 a jak spolu souvisí s ISO 27001.
Zobrazit ›Jak to zvládnout v Dazr Compliance
- Rámec NÚKIB připravený k použití: opatření vyhlášek č. 409/2025 Sb. a č. 410/2025 Sb. jako opakované kontroly s vlastníkem, důkazy, připomínkami a odkazem na paragraf. Rámec NÚKIB v Dazr.
- Registr incidentů se lhůtami: odpočet 24 hodin, 72 hodin a 30 dnů podle § 16 zákona a 72 hodin podle GDPR, s časovými razítky každého hlášení.
- Registrace na jednom místě: datum ohlášení, rozhodnutí o registraci, váš režim a roční lhůta pro zavedení opatření.
- Dodavatelé a smlouvy (Pro): registr dodavatelů s daty přezkumu, kde si odškrtnete smluvní ujednání z přílohy č. 2.
- Prohlášení o aplikovatelnosti a politiky (Pro): zdůvodnění u neaplikovatelných opatření, šablony politik v češtině, schvalování a export do PDF nebo Excelu.
- Data v EU: Dazr je italská firma, data aplikace a zálohy zůstávají v EU (Německo) a záznamy pracovního prostoru jsou šifrované algoritmem AES-256-GCM.
Dazr za vás službu neohlašuje ani nepodává hlášení incidentů: to se dělá na Portálu NÚKIB. Dazr drží data, důkazy a časovou osu, aby bylo vidět, kdo co a kdy udělal.
Zdroje: zákon č. 264/2025 Sb., o kybernetické bezpečnosti, vyhláška č. 408/2025 Sb., o regulovaných službách, vyhláška č. 409/2025 Sb., vyhláška č. 410/2025 Sb., NÚKIB: regulace a kontrola, Portál NÚKIB. Ověřeno 19. října 2026 proti textům ve Sbírce zákonů (e-Sbírka) a na webu NÚKIB.
Časté otázky
Musí se registrovat každá firma v odvětví z vyhlášky?
Ne. Kromě služby ze seznamu ve vyhlášce č. 408/2025 Sb. musíte zpravidla být středním nebo velkým podnikem; malé a mikropodniky jsou regulované jen výjimečně, například jako kvalifikovaní poskytovatelé služeb vytvářejících důvěru nebo z rozhodnutí NÚKIB podle § 5.
Zmeškali jsme ohlášení do konce roku 2025. Co teď?
Ohlaste službu co nejdříve přes Portál NÚKIB. Lhůta 1 roku pro zavedení opatření a hlášení incidentů začne běžet až doručením rozhodnutí o registraci, takže čas na zavedení opatření neztrácíte, ale neohlášení je přestupek podle § 60 zákona.
Jsme v režimu nižších, nebo vyšších povinností?
Rozhoduje vyhláška č. 408/2025 Sb. podle služby a velikosti; NÚKIB to uvede v rozhodnutí o registraci. Velký podnik bývá ve vyšším režimu, střední v nižším, ale u řady služeb platí zvláštní pravidla.
Podává Dazr hlášení za nás?
Ne. Ohlášení i hlášení incidentů se podávají na Portálu NÚKIB. Dazr hlídá lhůty, uchovává časová razítka a důkazy a ukazuje, kdo a kdy co udělal.
Jaký tarif potřebujeme?
Rámec NÚKIB i registr incidentů jsou v tarifu Free pro jednoho uživatele a jeden rámec. Pro za 99 € měsíčně přidává až pět uživatelů a pět rámců, prohlášení o aplikovatelnosti, politiky, registr dodavatelů a přístup pro auditora; lze ho 14 dní vyzkoušet zdarma.