Kyberbezpečnost: Česko (2026)
Česko přijalo nový, samostatný zákon o kyberbezpečnosti (č. 264/2025 Sb.), který vstoupil v platnost dne 1. listopadu 2025, nahradil dosavadní režim kyberbezpečnosti a plně transponoval směrnici EU NIS2. Zákon výrazně rozšiřuje okruh regulovaných subjektů v 15 odvětvích, zavádí dvoustupňovou klasifikaci (klíčové / důležité subjekty) a ukládá povinnosti v oblasti řízení rizik, hlášení incidentů a dodavatelského řetězce, jejichž dodržování zajišťuje NÚKIB. Některé sekundární prováděcí předpisy (např. o klíčových funkcích a strategicky významných službách) zůstaly do roku 2026 v procesu schvalování.
Základní rámec
Zákon č. 264/2025 Sb. o kybernetické bezpečnosti, který vstoupil v platnost dne 1. listopadu 2025 a kterým se provádí směrnice EU NIS2 (2022/2555); pod dohledem NÚKIB (Národní agentura pro kybernetickou a informační bezpečnost)
Hlavní body
Transpozice směrnice NIS2, zákon č. 264/2025
Poslanecká sněmovna schválila tento zákon dne 25. dubna 2025; prezident jej podepsal dne 26. června 2025, byl vyhlášen ve Sbírce zákonů dne 4. srpna 2025 a vstoupil v platnost dne 1. listopadu 2025, čímž nebyl dodržen termín EU stanovený na 17. října 2024. Tento zákon zcela nahrazuje předchozí zákon o kyberbezpečnosti.
Rozsah, základní vs. důležité entity
Tento zákon se vztahuje na subjekty s ≥50 zaměstnanci nebo s ročním obratem/rozvahou >10 milionů EUR, které působí v 15 odvětvích (energetika, zdravotnictví, doprava, finance, digitální infrastruktura, potravinářství, zpracovatelský průmysl atd.) a jsou zařazeny buď do kategorie „klíčových subjektů“ (vyšší povinnosti), nebo „důležitých subjektů“ (nižší povinnosti). Subjekty měly od 1. listopadu 2025 lhůtu 60 dnů na provedení vlastní posouzení a registraci u NÚKIB.
Povinnosti týkající se hlášení incidentů
Zásadní subjekty jsou povinny hlásit NÚKIBu všechny incidenty v oblasti kyberbezpečnosti, které mají dopad na jejich regulovanou službu, mají původ v kyberprostoru a u nichž nelze vyloučit úmyslné jednání; důležité subjekty jsou povinny hlásit incidenty s významným dopadem na poskytování služeb, přičemž hlášení směřují k národnímu CSIRT. Tento zákon jde nad rámec minimálních požadavků směrnice NIS2 tím, že od klíčových subjektů vyžaduje hlášení všech (nikoli pouze významných) incidentů.
Povinnosti v oblasti řízení rizik a správy a řízení
Regulované subjekty musí zavést technická a organizační opatření v oblasti kyberbezpečnosti, zajistit dohled ze strany vrcholového vedení a školení v oblasti kyberbezpečnosti, provádět posouzení rizik v dodavatelském řetězci a udržovat plány na zajištění kontinuity činnosti pro případ závažných kybernetických incidentů. NÚKIB může požadovat podrobné informace o dodavatelském řetězci a zakázat či omezit využívání konkrétních dodavatelů, kteří jsou považováni za bezpečnostní riziko.
Tresty
Zásadním subjektům hrozí pokuty až do výše 250 milionů Kč nebo 2 % celosvětového ročního obratu (podle toho, která z těchto částek je vyšší); významným subjektům hrozí pokuty až do výše 175 milionů Kč nebo 1,4 % celosvětového ročního obratu. NÚKIB může rovněž uložit donucovací pokuty až do výše 10 milionů Kč, pozastavit provoz, nařídit nápravu a v případě opakovaných závažných selhání vedení přijmout opatření s dopadem na orgány společnosti.
Připravované prováděcí předpisy a výhled na rok 2026
Na počátku roku 2026 stále nebylo přijato několik vládních nařízení provádějících tento zákon, zejména těch, která se týkají klíčových funkcí a strategicky významných služeb s přísnějšími požadavky na odolnost dodavatelského řetězce. NÚKIB zpracovával registrace subjektů podané do termínu v prosinci 2025; po jejich potvrzení začíná jednoroční přechodné období na splnění požadavků, než dojde k plnému uplatnění všech bezpečnostních opatření a oznamovacích povinností.
Tato stránka je překladem pro větší přehlednost; rozhodující je anglická verze, která nepředstavuje právní radu.