Pokuty za NIS2 a odpovědnost vedení

Sankce jsou nejcitovanější část regulace, ale v praxi nebývají první. NÚKIB má k dispozici škálu nástrojů a pokuta je jejím koncem, ne začátkem.

Režim vyšších povinností

až 250 mil. Kč

nebo 2 % celkového ročního obratu, podle toho, která hodnota je vyšší. Odpovídá horní hranici podle čl. 34 směrnice NIS2 pro subjekty zásadní.

Režim nižších povinností

nižší horní hranice

Směrnice pro subjekty důležité stanoví maximum 7 mil. EUR nebo 1,4 % obratu. Konkrétní částku pro váš případ určuje zákon podle typu porušené povinnosti.

Co přichází dřív než pokuta

Kontrola a výzva

NÚKIB si vyžádá dokumentaci a záznamy. Nejčastěji požaduje hodnocení rizik, registr aktiv, doklady o školení a záznamy o řešených incidentech. Nedoložitelné opatření se posuzuje jako nezavedené.

Opatření k nápravě

Rozhodnutí, které stanoví, co a do kdy musíte udělat. Nesplnění je samostatný přestupek a zásadně zvyšuje výslednou sankci.

Reaktivní a ochranné opatření

V případě probíhající hrozby může regulátor nařídit konkrétní technický nebo organizační krok, včetně omezení použití určitého řešení nebo dodavatele.

Zveřejnění a dopad na vedení

Směrnice umožňuje zveřejnit informaci o porušení a v závažných případech pozastavit výkon řídicí funkce odpovědné osobě. Reputační dopad bývá nákladnější než samotná pokuta.

Odpovědnost se nedá delegovat na IT

NIS2 výslovně ukládá povinnosti vedení: schvalovat opatření k řízení kybernetických rizik, dohlížet na jejich zavedení a absolvovat školení. Statutární orgán tedy nemůže argumentovat tím, že bezpečnost byla věcí IT oddělení. Pokud vedení opatření neschválilo nebo se neškolilo, je to zjistitelné z dokumentace na první pohled.

Praktický důsledek: dokumentace musí obsahovat doklad o schválení konkrétní osobou s datem, záznam o školení vedení a záznam z přezkumu. Tři položky, které chybí nejčastěji a hledají se nejlépe.

Doložitelnost je celý smysl nástroje

Shodly ke každému opatření drží stav, důkaz, odpovědnou osobu a historii schválení. Report pro vedení a podklad pro kontrolu vygenerujete jedním kliknutím, včetně data a jména schvalovatele.

Vyzkoušet zdarma

Zdroje: zákon č. 264/2025 Sb., směrnice (EU) 2022/2555 čl. 20, 32 a 34. Uvedené hranice jsou maximální; skutečná výše sankce se určuje podle povahy a závažnosti porušení.

Pokračovat v průvodci

Část 1

Koho se NIS2 týká

Odvětví, regulované služby, velikostní kritéria a oba režimy povinností.

Část 2

Povinnosti a bezpečnostní opatření

Organizační a technická opatření, která musíte zavést a doložit.

Část 3

Lhůty, oznámení a hlášení incidentů

Oznámení NÚKIB, hlášení incidentů a přechodná období.