Čo vyžaduje zákon č. 264/2025?
Zákon č. 264/2025 Sb. o kybernetickej bezpečnosti transponuje NIS2 v Česku a 1. novembra 2025 nahradil zákon č. 181/2014 Sb. Poskytovateľ služby, ktorá spĺňa podmienky, ju do 60 dní ohlási Národnému úradu pre kybernetickú a informačnú bezpečnosť (NÚKIB) a NÚKIB rozhodne o jej registrácii ako regulovanej služby. Do 30 dní od tohto rozhodnutia poskytovateľ oznámi kontaktné a doplňujúce údaje a ich zmeny do 14 dní. Ohlásenia a hlásenia sa podávajú cez Portál NÚKIB.
Režim vyšších, alebo nižších povinností
- Režim vyšších povinností: poskytovatelia s významným hospodárskym, spoločenským alebo bezpečnostným významom postupujú podľa vyhlášky č. 409/2025, s úplným systémom riadenia, bezpečnostnými rolami, hodnotením rizík, auditmi a technickými opatreniami.
- Režim nižších povinností: ostatní poskytovatelia postupujú podľa vyhlášky č. 410/2025, kratšej sady minimálnych opatrení s prehľadom opatrení, ktorý sa každý rok aktualizuje.
- Lehota: bezpečnostné opatrenia a hlásenie incidentov musia byť zavedené do jedného roka od rozhodnutia o registrácii.
V Dazr zaznamenáte režim v jednej kontrole. Kontroly druhého režimu sa vo vyhlásení o aplikovateľnosti označia ako neaplikovateľné, s rozhodnutím o registrácii ako dôvodom.
Čo v Dazr získate
Každá kontrola uvádza paragraf, napríklad vyhláška č. 409/2025 § 8, a mení jeho požiadavky na kroky s predvoleným intervalom preskúmania.
Hlásenie incidentov NÚKIB alebo Národnímu CERT
Podľa § 16 zákona č. 264/2025 sa prvotné hlásenie podáva bez zbytočného odkladu, najneskôr do 24 hodín od zistenia incidentu. Incident s významným dopadom si navyše vyžaduje oznámenie do 72 hodín od zistenia, priebežnú správu na výzvu a záverečnú správu do 30 dní od oznámenia. Poskytovatelia v režime vyšších povinností hlásia NÚKIB, poskytovatelia v režime nižších povinností hlásia incidenty s významným dopadom Národnímu CERT, v oboch prípadoch cez Portál NÚKIB. So zapnutým rámcom NÚKIB register incidentov v Dazr odpočítava každú z týchto lehôt.
Vyhlášky vedľa NIS2
Každé opatrenie v Dazr uvádza opatrenia ISO 27001 a článok NIS2, ktorým zodpovedá. Zapnite rámec NÚKIB vedľa NIS2 alebo ISO 27001 a prepojte so všetkými rovnaké dôkazy.
| Oblasť | Režim vyšších povinností (409/2025) | Režim nižších povinností (410/2025) | NIS2 |
|---|---|---|---|
| Riadenie a roly | § 3 až § 6 | § 3 a § 4 | Čl. 20; čl. 21 ods. 2 písm. a) |
| Aktíva, riziká a dodávatelia | § 7 až § 9 | § 3 | Čl. 21 ods. 2 písm. a) a d) |
| Ľudia a bezpečnostné povedomie | § 10 | § 5 | Čl. 20 ods. 2; čl. 21 ods. 2 písm. g) a i) |
| Zmeny, akvizícia a prístup | § 11 až § 13 | § 7 | Čl. 21 ods. 2 písm. e) a i) |
| Incidenty a kontinuita | § 14 a § 15 | § 6, § 10 a § 14 | Čl. 21 ods. 2 písm. b) a c); čl. 23 |
| Audit a preskúmanie | § 16 | § 3 (každoročné hodnotenie účinnosti) | Čl. 21 ods. 2 písm. f) |
| Technické opatrenia | § 17 až § 27 | § 7 až § 9 a § 11 až § 13 | Čl. 21 ods. 2 písm. b), e), h) a j) |
Ako Dazr pomáha s opatreniami NÚKIB
S Dazr Compliance môžete:
- Zaznamenať rozhodnutie o registrácii, váš režim a ročnú lehotu a udržiavať oznámené údaje aktuálne
- Plniť opatrenia svojho režimu podľa plánu, s vlastníkmi, dôkazmi, pripomienkami a týždenným upozornením na meškanie
- Uchovávať schválenia a vzdelávanie vrcholového vedenia
- Hlásiť incidenty včas: register incidentov odpočítava lehoty 24 hodín, 72 hodín a 30 dní
- Dať audítorovi časovo obmedzený prístup len na čítanie alebo odovzdať auditnú stopu v PDF
Zdroje: zákon č. 264/2025 Sb. o kybernetickej bezpečnosti, vyhláška č. 409/2025, vyhláška č. 410/2025, NÚKIB, hlásenie incidentov, Portál NÚKIB.