Průvodce
NIS2 a zákon o kybernetické bezpečnosti: kompletní průvodce pro české firmy
Směrnice NIS2 je v České republice provedena zákonem č. 264/2025 Sb. o kybernetické bezpečnosti, účinným od 1. listopadu 2025. Nahradila zákon č. 181/2014 Sb. a rozšířila okruh povinných subjektů z několika stovek na tisíce organizací. Tento průvodce popisuje, koho zákon zavazuje, co konkrétně požaduje, v jakých lhůtách a co hrozí při nesplnění.
Část 1
Koho se NIS2 týká
Přílohy zákona, regulované služby, velikostní kritéria a rozdíl mezi režimem vyšších a nižších povinností. Včetně případů, kdy velikost organizace nerozhoduje.
Část 2
Povinnosti a bezpečnostní opatření
Organizační a technická opatření podle prováděcí vyhlášky, povinná dokumentace a to, co po vás bude chtít kontrola.
Část 3
Lhůty, oznámení a hlášení incidentů
60 dnů na oznámení, 24 hodin na předběžné hlášení, 72 hodin na úplné. Přechodná období pro zavedení opatření.
Část 4
Pokuty a odpovědnost vedení
Horní hranice sankcí podle režimu, opatření k nápravě a proč se odpovědnost nedá delegovat na IT.
Dva režimy povinností v kostce
Česká úprava rozlišuje režim vyšších a nižších povinností. Rozdíl je v prováděcí vyhlášce, v rozsahu dokumentace i v horní hranici sankce. Povinnost oznámit se NÚKIB a hlásit incidenty ve lhůtách 24 a 72 hodin platí v obou.
| Nižší režim | Vyšší režim | |
|---|---|---|
| Prováděcí vyhláška | 410/2025 Sb. | 409/2025 Sb. |
| Analýza rizik | nevyžaduje se | vyžaduje se |
| Systém řízení bezpečnosti informací | nevyžaduje se | vyžaduje se |
| Přehled bezpečnostních opatření | povinný | v rozšířené podobě |
| Hlášení incidentů | ano | ano |
| Rozsah technických opatření | základní | rozšířený |
Co bude chtít kontrola
Kontrola nezačíná technikou, ale doklady. Nejčastější problém není chybějící technologie, ale chybějící důkaz o tom, že opatření skutečně funguje.
- aktuální a archivovaný přehled bezpečnostních opatření
- jmenování odpovědné osoby s vymezením pravomocí
- doklady o přezkoumání stavu vedením
- evidenci absolvování školení
- evidenci incidentů a odeslaná hlášení
- smlouvy nebo dodatky s významnými dodavateli
Časté dotazy
Časté dotazy k zákonu
Koho se týká zákon 264/2025 Sb.?
Poskytovatele regulované služby - firmy podnikající v některém z regulovaných odvětví, které překročí velikostní práh (zpravidla 50 zaměstnanců nebo obrat nad 10 mil. EUR). U některých služeb prah neplatí.
Jaký je rozdíl mezi nižším a vyšším režimem?
Nižší režim vyžaduje zavedení opatření podle vyhlášky 410/2025 Sb. a vedení přehledu opatření. Vyšší režim navíc vyžaduje řízení rizik a systém řízení bezpečnosti informací podle vyhlášky 409/2025 Sb.
Co je přehled bezpečnostních opatření?
Tabulka o šesti sloupcích podle přílohy 1 vyhlášky: opatření, stav, popis zavedení, termín, priorita a odpovědnost. Musí se nejméně jednou ročně aktualizovat a uchovávat čtyři roky.
Do kdy se hlásí incident?
Včasné varování do 24 hodin od zjištění, oznámení do 72 hodin a závěrečná zpráva do 30 dnů.
Musí firma jmenovat odpovědnou osobu?
Ano. Vrcholné vedení musí písemně určit konkrétní fyzickou osobu a vymezit jí působnost a pravomoci.
Začněte tím, že zjistíte, kde stojíte
Průvodce vám za deset minut sestaví přehled opatření na míru. Zkušební verze na 30 dní, bez platební karty.