Co je režim nižších povinností
Stav k 19. říjnu 2026. Zákon č. 264/2025 Sb. dělí poskytovatele regulovaných služeb do dvou režimů (§ 8). V režimu vyšších povinností jsou ti, kdo jsou pro Česko značně ekonomicky, společensky nebo bezpečnostně významní; všichni ostatní jsou v režimu nižších povinností. Konkrétní rozdělení podle služby a velikosti stanoví vyhláška č. 408/2025 Sb. a NÚKIB ho uvede v rozhodnutí o registraci.
Nižší vs. vyšší povinnosti: hlavní rozdíly
- Rozsah opatření: nižší režim má 13 oblastí (§ 14 odst. 2 zákona), vyšší režim 14 organizačních a 11 technických opatření včetně auditu kybernetické bezpečnosti (§ 14 odst. 1).
- Hlášení incidentů: v nižším režimu jen incidenty s významným dopadem a Národnímu CERT; ve vyšším režimu NÚKIB, který vám do 24 hodin sdělí, zda má incident významný dopad na kybernetický prostor státu.
- Pokuty: v nižším režimu až 175 000 000 Kč nebo 1,4 % celosvětového obratu, ve vyšším až 250 000 000 Kč nebo 2 % (§ 59).
- Změna režimu: změny služby, které mohou vést ke změně režimu, hlásíte do 60 dnů; při přechodu do vyššího režimu běží nové lhůty (§ 9).
- Kdo bývá v nižším režimu: u mnoha služeb střední podnik (velký je ve vyšším), například cloud computing, datová centra, řízené a řízené bezpečnostní služby pro firmy, výroba elektřiny nebo obchod s plynem. Výroba počítačů a elektroniky nebo elektrických zařízení (CZ-NACE 26 a 27) je v nižším režimu i u velkých podniků.
Kontrolní seznam: vyhláška č. 410/2025 Sb. paragraf po paragrafu
Každý řádek níže shrnuje požadavek vyhlášky č. 410/2025 Sb. vlastními slovy. U každého si zapište, jaký důkaz máte (dokument, záznam, snímek nastavení) a kdo za něj odpovídá: přesně tohle chce příloha č. 1 v přehledu bezpečnostních opatření se stavy „Zavedeno“, „V procesu“ a „Nezavedeno“.
§ 3 Systém zajišťování minimální kybernetické bezpečnosti
- Přehled bezpečnostních opatření podle přílohy č. 1: co je zavedeno (a jak), co bude zavedeno (termín, priorita, odpovědná osoba) a co zavedeno není (s odůvodněním).
- Aktualizace přehledu alespoň jednou ročně, včetně vyhodnocení účinnosti; přehledy uchovávat alespoň 4 roky.
- Bezpečnostní politika a dokumentace k opatřením vyhlášky, jejich pravidelný přezkum a vynucování.
- Pravidla pro používání technických aktiv.
- Smlouvy s dodavateli ve stanoveném rozsahu: zohlednit jejich hrozby, kvalitu a bezpečný vývoj a dát do smluv ujednání podle přílohy č. 2.
- Bezpečnostní požadavky při akvizici, vývoji a údržbě technických aktiv.
§ 4 Požadavky na vrcholné vedení
- Určit osobu pověřenou kybernetickou bezpečností, která absolvuje odborné školení nebo prokáže odbornou znalost.
- Prokazatelné školení vrcholného vedení, zajištění zdrojů a pravidelné seznamování se stavem opatření.
- Podpora neustálého zlepšování a stanovení priority obnovy primárních aktiv.
§ 5 Bezpečnost lidských zdrojů
- Politika bezpečného chování uživatelů (témata z přílohy č. 3), pravidla rozvoje povědomí včetně pravidel pro hesla.
- Vstupní a pravidelná školení, odborná školení administrátorů; přehledy školení a seznamy školených osob.
- Kontrola dodržování politiky a postup při jejím porušení.
§ 6 Řízení kontinuity činností
- Priorita technických aktiv, pořadí a postupy obnovy navázané na prioritu primárních aktiv.
- Odpovědnosti konkrétních osob za kontinuitu a obnovu.
- Pravidelné zálohy informací, dat, konfigurací a nastavení potřebných pro obnovu služby.
§ 7 Řízení přístupu
- Přístupová práva na nezbytnou úroveň, jedinečné identifikátory, oddělené uživatelské a administrátorské účty.
- Pravidelný přezkum práv; bezodkladná změna nebo odebrání při změně pozice a deaktivace při ukončení vztahu.
- Opatření pro mobilní zařízení a fyzická bezpečnost aktiv.
§ 8 Řízení identit a jejich oprávnění
- Nástroj s omezením neúspěšných přihlášení, opětovným ověřením po nečinnosti a ochranou autentizačních údajů.
- Vícefaktorová autentizace (alespoň dva typy faktorů); do jejího zavedení klíče nebo certifikáty, a do té doby hesla.
- Pro hesla: alespoň 12 znaků u uživatelů, 17 u administrátorů a 22 u technických účtů, změna alespoň jednou za 18 měsíců a paměť 12 předchozích hesel.
- Zneplatnění hesla pro obnovu přístupu do 24 hodin a zabezpečené nouzové administrátorské účty.
§ 9 Detekce a zaznamenávání událostí
- Kontrola provozu na perimetru, nepřetržitá ochrana proti škodlivému kódu na serverech a koncových stanicích, řízení automatického spouštění.
- Záznam bezpečnostních událostí s datem a časem (včetně časového pásma), typem činnosti, aktivem a účtem a výsledkem.
- Doba uchování záznamů podle vašich bezpečnostních potřeb.
§ 10 Řešení incidentů
- Oznamování neobvyklého chování a zranitelností uživateli a administrátory.
- Metodika posuzování událostí a incidentů včetně významnosti dopadu podle § 14.
- Hlášení incidentů s významným dopadem a závěrečná zpráva podle § 15 a § 16 zákona.
§ 11 Bezpečnost komunikačních sítí
- Segmentace sítě včetně oddělení provozního a zálohovacího prostředí.
- Omezení komunikace na perimetru a odolné protokoly.
- Vzdálený přístup jen nezbytný, zabezpečený a s přehledem, kdo ho používá.
§ 12 Aplikační bezpečnost
- Bezodkladné nasazení schválených bezpečnostních aktualizací.
- Evidence nepodporovaných aktiv, náhradní opatření a omezení jejich komunikace.
- Pravidelné skenování zranitelností a reakce na výsledky.
§ 13 Kryptografické algoritmy
- Aktuálně odolné algoritmy a doporučení NÚKIB pro kryptografii.
- Bezpečná hlasová, video, textová a e-mailová komunikace a nouzová komunikace v organizaci.
§ 14 Významnost dopadu incidentu
- Únosná míra újmy a oblasti posouzení: provozní dopad, počet uživatelů, zdroje na obnovu, typ aktiv, citlivost dat, příčina.
- Incident je významný, když přesáhne únosnou míru újmy a zároveň je některá oblast posouzena jako významná.
Smlouvy s dodavateli podle přílohy č. 2
Smlouvy s dodavateli ve stanoveném rozsahu mají podle přílohy č. 2 pokrývat zejména: bezpečnost informací a mlčenlivost, audit dodavatele, řetězení dodavatelů, exit strategii, sankce, oprávnění užívat data, autorství kódu a licence, dodržování vašich bezpečnostních politik, řízení změn, incidenty související se smlouvou, kontinuitu činností, SLA a pravidla bezpečného vývoje. Pokud jste sami dodavatelem regulovaných zákazníků, čekejte tyto požadavky ve smlouvách a dotaznících: jak odpovídat na dotazníky NIS2.
Režim nižších povinností v Dazr
- Rámec NÚKIB: opatření vyhlášky č. 410/2025 Sb. jako kontroly s odkazem na paragraf, vlastníkem, důkazy a výchozím intervalem přezkumu, i v tarifu Free.
- Přehled opatření jako v příloze č. 1: stav, popis zavedení, termín, priorita a odpovědná osoba u každé kontroly; roční přezkum jako opakovaný úkol.
- Neaplikovatelné kontroly vyššího režimu (Pro): v prohlášení o aplikovatelnosti je označíte s rozhodnutím o registraci jako důvodem a výsledek vyexportujete.
- Incidenty: registr odpočítává 24 hodin, 72 hodin a 30 dnů a uchová posouzení významnosti podle § 14.
Zdroje: zákon č. 264/2025 Sb., o kybernetické bezpečnosti, vyhláška č. 408/2025 Sb., o regulovaných službách, vyhláška č. 409/2025 Sb., vyhláška č. 410/2025 Sb., NÚKIB: regulace a kontrola, Portál NÚKIB. Ověřeno 19. října 2026 proti textům ve Sbírce zákonů (e-Sbírka) a na webu NÚKIB.
Časté otázky
Musí se v režimu nižších povinností dělat audit?
Povinný audit kybernetické bezpečnosti je opatřením režimu vyšších povinností (§ 14 odst. 1 zákona). V nižším režimu místo toho alespoň jednou ročně aktualizujete přehled opatření a vyhodnotíte jejich účinnost.
Hlásíme v nižším režimu každý incident?
Ne. Povinně jen incidenty s významným dopadem na poskytování služby, které mají původ v kybernetickém prostoru a u nichž nelze vyloučit úmyslné zavinění; významnost posoudíte podle § 14 vyhlášky. Dobrovolně můžete hlásit i další incidenty.
Stačí ISO 27001?
ISO 27001 pokryje velkou část opatření, ale vyhláška má konkrétní požadavky navíc, například délky hesel, uchování přehledu opatření 4 roky nebo smluvní ujednání z přílohy č. 2. Proto se vyplatí mapovat oba rámce vedle sebe.
Kdy musíme být hotovi?
Nejpozději do 1 roku ode dne doručení rozhodnutí NÚKIB o registraci regulované služby. Datum doručení je tedy pro vás klíčové; zapište si ho.