NIS2 v ČR: kompletní průvodce zákonem o kybernetické bezpečnosti (264/2025 Sb.)

Stručná odpověď: NIS2 je evropská směrnice o kybernetické bezpečnosti. V Česku ji převádí do praxe zákon č. 264/2025 Sb., o kybernetické bezpečnosti, který platí od 1. listopadu 2025. Týká se hlavně středních a velkých organizací ve vyjmenovaných odvětvích (například výroba, potravinářství, energetika, zdravotnictví, digitální služby a veřejná správa). Taková organizace musí svou službu sama oznámit Národnímu úřadu pro kybernetickou a informační bezpečnost (NÚKIB) do 60 dnů. Od doručení rozhodnutí o registraci má 1 rok na zavedení bezpečnostních opatření a na zahájení hlášení incidentů. Rozsah opatření závisí na režimu: nižší režim upravuje vyhláška č. 410/2025 Sb., vyšší režim vyhláška č. 409/2025 Sb.

Tento průvodce je psaný pro jednatele a ředitele, kteří nemají IT vzdělání a potřebují vědět, co zákon po jejich organizaci chce, v jakém pořadí to řešit a jak to doložit. Nejde o právní službu. U konkrétních rozhodnutí (zda spadáte pod zákon, v jakém režimu, jak vykládat konkrétní ustanovení) se obraťte na právníka nebo odborného konzultanta.

Obsah

1. Co je NIS2 a co je zákon 264/2025 Sb.
2. Kdo pod zákon spadá
3. Nižší a vyšší režim: v čem se liší
4. Registrace u NÚKIB
5. Lhůty na jednom místě (tabulka)
6. Povinnosti podle vyhlášek 410/2025 a 409/2025
7. Hlášení kybernetických incidentů
8. Dodavatelé
9. Odpovědnost vedení
10. Sankce
11. Jak postupovat krok za krokem
12. Časté otázky (FAQ)
13. Zdroje

1. Co je NIS2 a co je zákon 264/2025 Sb.

NIS2 je zkratka evropské směrnice (EU) 2022/2555 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti. Směrnice sama firmám povinnosti neukládá. Každý členský stát ji musí převést do vlastního zákona.

V Česku to udělal zákon č. 264/2025 Sb., o kybernetické bezpečnosti (často zkracovaný jako ZKB). Nahradil starší zákon č. 181/2014 Sb. a je účinný od 1. listopadu 2025. K zákonu patří tři prováděcí vyhlášky NÚKIB:

NÚKIB v červnu 2026 uvedl, že kromě zákona 264/2025 Sb., doprovodného zákona 265/2025 Sb. a těchto tří vyhlášek žádný další předpis transponující NIS2 neplánuje.

Důležitý pojem je regulovaná služba. Zákon nereguluje „firmu“ jako celek, ale konkrétní službu nebo činnost, kterou organizace poskytuje (například výrobu elektrických zařízení nebo zpracování potravin). Organizace, která takovou službu poskytuje a splní podmínky, se stává poskytovatelem regulované služby.

2. Kdo pod zákon spadá

Zjednodušeně platí dvě základní podmínky (§ 4 zákona):

1. Odvětví: poskytujete službu, která je uvedena ve vyhlášce č. 408/2025 Sb. Zákon pracuje s 15 sektory (například veřejná správa, energetika, doprava, zdravotnictví, digitální infrastruktura, výrobní průmysl, potravinářství, chemický průmysl, odpadové a vodní hospodářství).
2. Velikost: jste střední nebo velký podnik podle doporučení Evropské komise 2003/361/ES. Střední podnik má zpravidla 50–249 zaměstnanců a roční obrat do 50 mil. EUR nebo bilanční sumu do 43 mil. EUR. Do velikosti se mohou započítávat i propojené a partnerské podniky (například mateřská nebo sesterská firma).

Existují výjimky z pravidla velikosti. Některé služby jsou regulované bez ohledu na velikost (například vybraná digitální infrastruktura nebo veřejná správa, kde rozhoduje typ úřadu). Zákon v § 5 také popisuje případy, kdy NÚKIB může zařadit i menší organizaci, typicky pokud by výpadek její služby vážně zasáhl velký počet lidí nebo jinou regulovanou službu. Takovou registraci zahajuje úřad sám (z moci úřední).

Nejste si jistí? Projděte si náš krátký nástroj Spadám pod NIS2?. Po několika otázkách vám ukáže, zda pravděpodobně spadáte do nižšího nebo vyššího režimu, zda jste mimo regulaci, nebo zda se vás zákon týká nepřímo jako dodavatele. Výsledek je orientační. Rozhodující je text vyhlášky č. 408/2025 Sb. a případně posouzení právníkem.

Pozor na nepřímý dopad. I když sami pod zákon nespadáte, můžete být dodavatelem regulované organizace. Ta musí ve smlouvách s dodavateli řešit bezpečnost, takže po vás bude chtít doklady a nové smluvní podmínky. Více v kapitole 8 a na stránce NIS2 pro dodavatele.

3. Nižší a vyšší režim: v čem se liší

Zákon rozlišuje dva režimy povinností. Do kterého patříte, určuje vyhláška č. 408/2025 Sb. podle druhu služby a velikosti organizace. Pokud jedna organizace poskytuje služby v obou režimech, řídí se pro všechny služby vyšším režimem: režim se přiřazuje poskytovateli, ne službě (§ 8 odst. 1 zákona č. 264/2025 Sb.; odůvodnění vyhlášky č. 408/2025 Sb.).

ISMS (Information Security Management System) je systém řízení bezpečnosti informací, tedy soubor pravidel, rolí a pravidelných kontrol, podobný normě ISO/IEC 27001. MFA (multi-factor authentication) je vícefaktorové ověření, například heslo plus kód z aplikace v telefonu.

Podle registrovaných počtů převažuje nižší režim. Pro typickou českou firmu s 50–249 zaměstnanci je proto nejčastějším scénářem nižší režim a vyhláška č. 410/2025 Sb.

4. Registrace u NÚKIB

Registrace v zákoně 264/2025 Sb. funguje jinak než dřív: neregistruje vás úřad, ale musíte se ozvat sami.

1. Oznámení služby (§ 6 odst. 1): do 60 dnů ode dne, kdy splníte podmínky, oznámíte regulovanou službu NÚKIB. Podává se elektronicky přes Portál NÚKIB (portal.nukib.gov.cz). Organizace, které podmínky splňovaly už 1. 11. 2025, měly lhůtu do konce roku 2025.
2. Rozhodnutí o registraci (§ 6 odst. 2): NÚKIB vydá rozhodnutí. Od jeho doručení se počítají další lhůty.
3. Kontaktní a doplňující údaje (§ 11): do 30 dnů od doručení rozhodnutí doplníte kontakty (kdo za organizaci jedná) a doplňující údaje. Změny hlásíte do 14 dnů.
4. Změna služby (§ 9): pokud se změní rozsah služby nebo velikost organizace (například přerostete do vyššího režimu), hlásíte změnu, která může vést ke změně režimu, nejpozději do 60 dnů ode dne, kdy k ní došlo (§ 9 odst. 1 zákona č. 264/2025 Sb.).

Co když se podmínky splní později? Lhůta 60 dnů běží ode dne splnění podmínek. Typicky jde o situaci, kdy firma překročí 50 zaměstnanců, převezme jinou firmu nebo začne nabízet novou službu. Proto je dobré si velikost a předmět činnosti kontrolovat alespoň jednou ročně.

5. Lhůty na jednom místě

Co to znamená v listopadu 2026: kdo oznámil službu na konci roku 2025 a rozhodnutí o registraci dostal na přelomu let 2025 a 2026, tomu roční lhůta na zavedení opatření končí přibližně v prosinci 2026 až v lednu 2027. Přesné datum zjistíte z data doručení vašeho rozhodnutí, ne z data, kdy jste službu oznámili.

Lhůty si můžete vést v kalendáři. V Triconformu se lhůty i úkoly exportují do kalendáře ve formátu .ics, takže je uvidíte i mimo aplikaci.

6. Povinnosti podle vyhlášek 410/2025 a 409/2025

Zákon v § 14 jen vyjmenovává oblasti bezpečnostních opatření. Co přesně udělat, říkají vyhlášky. Ve všech případech platí, že opatření mají být přiměřená bezpečnostním potřebám dané služby. Zákon nechce, aby malá výrobní firma měla stejný aparát jako banka.

Nižší režim: vyhláška č. 410/2025 Sb.

Vyhláška je krátká a dobře čitelná. Hlavní povinnosti podle paragrafů:

• § 3 Systém minimální kybernetické bezpečnosti. Vedete přehled bezpečnostních opatření podle přílohy č. 1: co je zavedené, co plánujete (s termínem, prioritou a odpovědnou osobou) a co nezavádíte (s odůvodněním). Přehled aktualizujete alespoň jednou ročně a uchováváte nejméně 4 roky. Dále stanovíte bezpečnostní politiku, pravidla pro používání techniky a bezpečnostní požadavky na dodavatele a nákup.
• § 4 Požadavky na vrcholné vedení. Vedení (statutární orgán, například jednatelé nebo představenstvo, případně jiné osoby v obdobném řídicím postavení) má konkrétní povinnosti, mimo jiné absolvovat doložené školení.
• § 5 Bezpečnost lidských zdrojů. Vstupní a pravidelná školení zaměstnanců, odborné školení správců IT, evidence školení a proškolených osob. Příloha č. 3 obsahuje doporučená témata (hesla, MFA, phishing a sociální inženýrství, zálohy, hlášení podezřelých událostí a další).
• § 6 Řízení kontinuity činností. Priority obnovy, odpovědné osoby a pravidelné zálohy dat, konfigurací a nastavení.
• § 7 a § 8 Přístupy a identity. Přístup jen v rozsahu, který člověk potřebuje, oddělené účty správců a uživatelů, vícefaktorové ověření (MFA). Dokud MFA není zavedeno, platí minimální délky hesel (12 znaků pro uživatele, 17 pro správce, 22 pro technické účty).
• § 9 Detekce a zaznamenávání událostí. Kontrola provozu na hranici sítě, antivir na serverech a počítačích, záznamy (logy) bezpečnostních událostí.
• § 10 Řešení incidentů. Zaměstnanci hlásí podezřelé chování techniky, máte postup pro posouzení událostí a incidentů a zajistíte hlášení incidentů s významným dopadem.
• § 11 až § 13 Bezpečnost sítí, bezpečnost aplikací (například aktualizace) a používání vhodných šifrovacích algoritmů.
• § 14 Jak posoudit, zda má incident významný dopad (viz kapitola 7).

Vyšší režim: vyhláška č. 409/2025 Sb.

Vyšší režim staví na stejných základech, ale chce plnohodnotný systém řízení. Navíc oproti nižšímu režimu mimo jiné:

• Bezpečnostní role (§ 5): manažer kybernetické bezpečnosti, architekt, garant aktiv a auditor. Auditor musí být nezávislý.
• Výbor pro kybernetickou bezpečnost (§ 4 odst. 3): schází se nejméně jednou ročně a vede zápisy.
• Řízení rizik (§ 8): metodika, posouzení rizik nejméně jednou ročně, prohlášení o aplikovatelnosti a plán zvládání rizik.
• Řízení dodavatelů (§ 9): evidence významných dodavatelů, jejich písemné vyrozumění a smluvní ujednání podle přílohy č. 5.
• Audit (§ 16): nejméně jednou za 2 roky a po významných změnách.
• Dále řízení změn, fyzická bezpečnost, vyhodnocování událostí, dostupnost služby a bezpečnost průmyslových a řídicích systémů.

ISO/IEC 27001 automaticky nestačí. NÚKIB v červnu 2026 uvedl, že normu ISO 27001 i rámec NIST lze při řízení bezpečnosti využít, ale certifikace sama splnění zákona nenahrazuje. Zákon je v některých oblastech širší nebo konkrétnější, například u technických opatření a bezpečnostních rolí.

7. Hlášení kybernetických incidentů

Kybernetický bezpečnostní incident je zjednodušeně událost, která narušila nebo ohrozila bezpečnost informací a služeb (například zašifrování dat ransomwarem, únik dat, napadení e-mailového účtu nebo výpadek kvůli útoku).

Kdo komu hlásí:

• Nižší režim: hlásíte Národnímu CERT, a to jen incidenty s významným dopadem (§ 15 odst. 2 zákona). Národní CERT dosud provozovalo sdružení CZ.NIC (tým CSIRT.CZ) na základě smlouvy podle starého zákona. Tyto smlouvy pozbyly platnosti 1. 11. 2026 (§ 71 odst. 5 zákona č. 264/2025 Sb.) a NÚKIB vyhlásil řízení o výběru provozovatele (§ 53).
• Vyšší režim: hlásíte NÚKIB incidenty, které spadají do rozsahu řízení bezpečnosti, mají původ v kyberprostoru a u nichž nelze včas vyloučit úmysl (§ 15 odst. 1 zákona).
• Hlášení se podává přes Portál NÚKIB. Když portál nefunguje, zákon umožňuje náhradní způsob (§ 16 odst. 4), například e-mail nebo datovou schránku. Telefonát se za hlášení nepovažuje. NÚKIB k 6. 11. 2026 uvádí pro vyšší režim cert@nukib.gov.cz a datovou schránku zzfnkp3, pro nižší režim abuse@csirt.cz a datovou schránku h4axdn8 (nukib.gov.cz, Hlášení incidentů).

Lhůty (§ 16 zákona):

1. Prvotní hlášení do 24 hodin od zjištění.
2. Oznámení s aktualizovanými informacemi a prvním posouzením do 72 hodin od zjištění.
3. Závěrečná zpráva do 30 dnů od oznámení.

Kdy má incident v nižším režimu „významný dopad“ (§ 14 vyhlášky 410/2025): organizace si předem stanoví únosnou míru újmy, tedy hranici, kterou ještě unese, aniž by byly ohroženy životy, zdraví nebo plnění jejích povinností. Incident má významný dopad, pokud tuto hranici překročí a zároveň je alespoň jedna z posuzovaných oblastí (například dopad na provoz, počet zasažených uživatelů, citlivost dat) vyhodnocena jako významná. Tuto hranici je rozumné stanovit a schválit vedením dřív, než se něco stane.

Praktická rada: mějte jednu stránku „co dělat při incidentu“ s kontakty, s tím, kdo rozhoduje o hlášení, a s odkazem na portál. V Triconformu je k tomu modul incidentů, který hlídá lhůty 24 h / 72 h / 30 dní a připraví podklady ve struktuře Portálu NÚKIB. Samotné hlášení podáváte vy.

8. Dodavatelé

Zákon (§ 13 odst. 5) říká, že pokud pro bezpečnostní opatření využíváte dodavatele, musíte ho vybírat s ohledem na tato opatření a požadavky zapsat do smlouvy.

• Nižší režim (§ 3 odst. 5 a příloha č. 2 vyhlášky 410/2025): při uzavírání smluv zohledníte rizika spojená s dodavatelem. Smlouvy mají obsahovat ujednání ze 14 oblastí, například bezpečnost informací, audit dodavatele, řetězec subdodavatelů, řešení incidentů, kontinuitu, úroveň služeb (SLA), výstupní strategii a sankce.
• Vyšší režim (§ 9 a příloha č. 5 vyhlášky 409/2025): navíc evidence významných dodavatelů, jejich písemné vyrozumění, posouzení rizik před uzavřením smlouvy a pravidelná kontrola plnění.

Pro regulovanou firmu to znamená projít seznam dodavatelů IT a služeb a postupně doplnit smlouvy. Pro dodavatele to znamená, že od odběratelů dostanou dotazníky, dodatky ke smlouvám a žádosti o doklady. Více na stránce NIS2 pro dodavatele.

9. Odpovědnost vedení

NIS2 přenáší kybernetickou bezpečnost z IT oddělení na úroveň vedení.

• Vyhlášky ukládají povinnosti přímo „vrcholnému vedení“. V nižším režimu (§ 4 vyhlášky 410/2025) to zahrnuje mimo jiné absolvování doloženého školení o povinnostech a bezpečnostní politice a určení priorit u důležitých činností. Ve vyšším režimu (§ 4 vyhlášky 409/2025) vedení navíc zajišťuje zdroje, schvaluje klíčové dokumenty, zřizuje výbor a jmenuje bezpečnostní role.
• Zákaz výkonu funkce (§ 58 zákona): ve vyšším režimu může NÚKIB člena statutárního orgánu, který opakovaně nebo závažně porušuje povinnosti a kvůli tomu není splněno nápravné opatření, dočasně zbavit výkonu funkce, nejméně na 6 měsíců. Netýká se volených funkcí a nižšího režimu.
• Obecná odpovědnost statutárního orgánu: jednatelé a členové představenstva mají vykonávat funkci s péčí řádného hospodáře (zákon o obchodních korporacích).

Stručně: vedení nemusí rozumět technickým detailům, ale musí vědět, co je hotové, co chybí, kdo za to odpovídá, a umět to doložit.

10. Sankce

Zákon stanoví přestupky zvlášť pro vyšší režim (§ 59 odst. 1) a nižší režim (§ 59 odst. 2). Horní hranice pokut jsou v § 59 odst. 4:

Jde o horní hranice. Konkrétní výše pokuty se určuje podle závažnosti, okolností a dalších kritérií zákona o přestupcích. Před pokutou zpravidla stojí kontrola a nápravné opatření.

Rozumný přístup není strach z pokut, ale doložitelnost: při kontrole ukážete přehled opatření, záznamy o školení, smlouvy s dodavateli a postup pro incidenty.

11. Jak postupovat krok za krokem

1. Zjistěte, zda a jak spadáte pod zákon. Projděte Spadám pod NIS2? a vyhlášku č. 408/2025 Sb. Zkontrolujte velikost včetně propojených firem.
2. Oznamte službu NÚKIB přes Portál NÚKIB, pokud jste to ještě neudělali. Lhůta je 60 dnů od splnění podmínek (§ 6 odst. 1 zákona č. 264/2025 Sb.). Pokud jste ji zmeškali, oznamte službu co nejdřív. Neohlášení je přestupek (§ 60 odst. 1 písm. a)) a NÚKIB uvádí, že délka období, kdy povinnosti nejsou plněny, ovlivňuje řízení o přestupku i výši sankce (NÚKIB, aktualita z 11. 2. 2026).
3. Do 30 dnů od rozhodnutí doplňte kontaktní údaje.
4. Poznamenejte si datum doručení rozhodnutí a od něj odpočítejte 1 rok. To je váš hlavní termín.
5. Určete odpovědnou osobu a zapojte vedení. Vedení absolvuje školení a schválí priority.
6. Vymezte, co chráníte: seznam důležitých činností (primárních aktiv) a techniky, na které stojí (servery, počítače, cloudové služby, výrobní systémy).
7. Sestavte přehled opatření (u nižšího režimu podle přílohy č. 1 vyhlášky 410/2025): co máte, co chybí, termín a odpovědná osoba.
8. Udělejte rychlé technické kroky s velkým účinkem: MFA na e-mail a vzdálený přístup, ověřené zálohy (včetně zkoušky obnovy), oddělené správcovské účty, aktualizace.
9. Proškolte zaměstnance a veďte evidenci školení.
10. Připravte postup pro incidenty: únosná míra újmy, kdo rozhoduje, kontakty, lhůty.
11. Projděte dodavatele a smlouvy a doplňte bezpečnostní ujednání.
12. Jednou ročně přezkoumejte přehled opatření a nechte ho schválit vedením.

Pokud nemáte bezpečnostní tým, je nejtěžší udržet to v chodu po celý rok, ne jednorázově sepsat dokumenty. Triconform vám každý týden ukáže, co je potřeba udělat: katalog opatření podle vyhlášek 409/2025 a 410/2025 s místem pro doklady, registr dodavatelů, lhůty incidentů a roční přehled pro vedení. Soulad nehodnotí a za vás nerozhoduje, pomáhá ale mít vše na jednom místě a doložitelné. Můžete si ho 30 dní vyzkoušet zdarma.

Upozornění: Tento text je informativní a vychází z právního stavu k 3. 11. 2026. Nejde o právní službu. ABUCO ICT s.r.o. ani její partner neposkytují právní služby. Triconform nevydává prohlášení o shodě a nehodnotí soulad, rozhodujete vy.

Zdroje

• Zákon č. 264/2025 Sb., o kybernetické bezpečnosti – e-Sbírka, Zákony pro lidi (§ 4, 5, 6, 9, 11, 13, 14, 15, 16, 58, 59, 71)
• Vyhláška č. 408/2025 Sb., o regulovaných službách – e-Sbírka, Zákony pro lidi
• Vyhláška č. 409/2025 Sb. (vyšší režim) – e-Sbírka, Zákony pro lidi
• Vyhláška č. 410/2025 Sb. (nižší režim) – e-Sbírka, Zákony pro lidi
• Směrnice (EU) 2022/2555 (NIS2) – EUR-Lex
• Doporučení Komise 2003/361/ES (definice MSP) – EUR-Lex
• NÚKIB, odpověď podle zákona 106/1999 Sb. ze dne 23. 6. 2026, č. j. 18436/2026-NÚKIB-E/210 (struktura předpisů, ISO 27001, vzdělávací portál) – PDF
• NÚKIB, odůvodnění vyhlášky č. 408/2025 Sb. o regulovaných službách (jeden režim pro poskytovatele, služby v obou režimech) – PDF
• NÚKIB, odpověď podle zákona č. 106/1999 Sb. z 26. 2. 2026 (počet poskytovatelů ve vyšším režimu: 1435, rozložení podle odvětví) – PDF
• Portál NÚKIB – portal.nukib.gov.cz
• NÚKIB, vzdělávací portál – osveta.nukib.gov.cz
• ITHOPE: Hlášení kybernetického incidentu podle zákona 264/2025 (náhradní kanály hlášení) – ithope.cz
• Lupa.cz: Regulace podle NIS2, registrovat se musíte sami – lupa.cz