Od 11/2025 platí v Česku nZKB, který výrazně rozšiřuje okruh regulovaných firem – podle odhadů se nově týká tisíců společností, které dosud o kyberbezpečnostní legislativě vůbec nemusely přemýšlet. Koho zákon zavazuje, jaké má lhůty a co konkrétně musí firma zavést, aby splnila zákonné povinnosti a zároveň skutečně snížila riziko incidentu?
Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, je účinný od 1. listopadu 2025 a nahradil dosavadní úpravu z roku 2014. Nejde o kosmetickou novelu – zákon zásadně mění, kdo všechno musí řešit kybernetickou bezpečnost jako zákonnou povinnost, ne jen jako dobrovolné firemní opatření.
Zákon je českou implementací evropské směrnice NIS2 (2022/2555), která reaguje na rostoucí počet kybernetických útoků a rostoucí závislost firem i státu na digitální infrastruktuře. Směrnice sama o sobě firmám povinnosti neukládá – to dělá až národní zákon. Dozor nad dodržováním v Česku vykonává Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB).
Dosavadní pravidla dopadala jen na několik stovek strategických subjektů – typicky energetiku, bankovnictví nebo státní správu. Nová úprava je mnohem širší a rozhodujícím kritériem už není jen obor podnikání, ale kombinace odvětví a velikosti firmy. Podle odhadů se nová regulace dotkne řádově tisíců českých firem, které dosud kyberbezpečnostní legislativu vůbec neřešily.
Zákon rozlišuje dvě kategorie regulovaných subjektů:
Firmy, které kritéria naplňovaly už k účinnosti zákona, se měly u NÚKIB zaregistrovat do konce roku 2025. Pokud firma podmínky splní později, musí regulovanou službu ohlásit zpravidla do 60 dnů od chvíle, kdy se na ni povinnost začne vztahovat. Pokud jste registraci zmeškali, nejlepší strategie není mlčet a čekat, ale povinnost splnit co nejdřív – i po termínu.
Po úspěšné registraci má firma zpravidla jeden rok na to, aby zavedla požadovaná technická a organizační opatření. Tahle lhůta je klíčová – rok může znít dost, ale zahrnuje i školení lidí, úpravu smluv s dodavateli a nastavení procesů, které se nedají vyřešit za týden.
Jedna z nejvýraznějších změn: za kybernetickou bezpečnost nově osobně odpovídá statutární orgán firmy, ne jen IT oddělení. Vedení musí bezpečnostní rizika znát, schvalovat opatření a v případě selhání může nést i osobní odpovědnost.
U významných incidentů zákon počítá s přísnými lhůtami – prvotní hlášení NÚKIBu obvykle do 24 hodin od zjištění, doplňující informace do 72 hodin. To v praxi vyžaduje, aby firma měla nastavený monitoring a jasně určené role ještě předtím, než k incidentu dojde. Bez toho firma often ani nezjistí, že se něco děje, natož aby stihla zákonnou lhůtu.
Zákon tlačí i na bezpečnost dodavatelů – firma musí vědět, jaký přístup k jejím systémům a datům dodavatelé mají, a co se stane, pokud dojde k jejich výpadku nebo kompromitaci. To v praxi znamená revizi smluv a SLA, ne jen bezpečnostní politiku na papíře.
Nesplnění nového zákona o kybernetické bezpečnosti není jen teoretické riziko – jde o reálné pokuty, které se odvíjí od toho, do jakého režimu firma spadá.
Kromě přímé pokuty přináší nesoulad i další riziko: čas a reputaci ztracenou při samotném řízení s regulátorem, a to i v případě, že k reálnému úniku dat vůbec nedojde. Firma se navíc vystavuje i osobní odpovědnosti statutárního orgánu, pokud se prokáže, že vedení o rizicích vědělo a přesto potřebná opatření nezavedlo.
Zkontrolujte, jestli vaše firma spadá do regulovaného odvětví a splňuje kritéria velikosti podle vyššího nebo nižšího režimu. Nezapomeňte přitom na propojené a partnerské podniky v rámci holdingu – ty se do posouzení často počítají také.
Pokud jste termín zmeškali, nejlepší strategie je registraci dokončit co nejdřív, ne čekat a doufat, že si toho nikdo nevšimne. Čím déle firma vyčkává, tím hůř se to při případné kontrole vysvětluje.
Vytvořte si přehled toho, co potřebujete chránit, a jaká opatření už máte zavedená a jaká ještě chybí. Tenhle přehled je zároveň dokument, kterým firma prokazuje soulad se zákonem při kontrole.
Odpovědnost za kybernetická rizika nese podle nového zákona statutární orgán, takže rozhodování o opatřeních a jejich financování musí být na stole vedení, ne pouze v gesci IT.
Technická opatření nefungují bez lidí, kteří je dodržují. Proškolení je navíc potřeba doložitelně zdokumentovat – v případě kontroly nebo incidentu totiž rozhoduje to, co firma umí prokázat, ne co reálně udělala.
Potřebujete si ujasnit, jaké role a znalosti nový zákon o kybernetické bezpečnosti od vaší firmy vyžaduje?
V Pumpedu nabízíme akreditované certifikační kurzy pro manažery kybernetické bezpečnosti, auditory kybernetické bezpečnosti a mnoho dalších pozic, které odpovídají požadavkům NÚKIB na odbornou způsobilost.
Je to zákon č. 264/2025 Sb., účinný od 1. listopadu 2025, který implementuje evropskou směrnici NIS2 a nahrazuje dosavadní úpravu z roku 2014. Rozšiřuje okruh firem, které musí řešit kybernetickou bezpečnost jako zákonnou povinnost.
Firem v definovaných odvětvích, které splňují kritéria velikosti – zpravidla alespoň 50 zaměstnanců nebo obrat nad 10 milionů eur pro vyšší režim, menší firmy ve stejných odvětvích pak spadají do nižšího režimu.
Registraci je potřeba doplnit co nejdřív, i po termínu. Čekání a mlčení riziko sankce jen zvyšuje.
Nově odpovídá i statutární orgán firmy, ne jen IT oddělení. Vedení musí rizika znát a schvalovat opatření.
Výše se liší podle režimu, počítá se vyšší z pevné částky nebo procenta z celosvětového obratu firmy. U vyššího režimu mohou sankce dosáhnout výrazně vyšších částek než u nižšího.
