Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, převádí do českého práva evropskou směrnici NIS2. Platí od 1. listopadu 2025 a dopadá na výrazně víc organizací než předchozí zákon. Podle Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB) se do února 2026 přihlásilo přes 4 800 subjektů. Úřad přitom dlouhodobě počítal zhruba se 6 000. Řada firem tedy dodnes neví, že se jich zákon týká.
Článek je orientační přehled, ne právní rada. Závazné posouzení vychází ze zákona, vyhlášky č. 408/2025 Sb. o regulovaných službách a z Portálu NÚKIB.
Koho se zákon týká
Zjednodušeně musí platit dvě podmínky zároveň:
- Poskytujete regulovanou službu v jednom z 15 odvětví: veřejná správa, energetika, výroba, potravinářství, chemický průmysl, vodní hospodářství, odpadové hospodářství, doprava, digitální infrastruktura a služby, finanční trh, zdravotnictví, věda, výzkum a vzdělávání, poštovní a kurýrní služby, obranný průmysl a vesmírný průmysl. Které konkrétní činnosti spadají pod regulaci, určuje vyhláška č. 408/2025 Sb. Kódy CZ-NACE slouží jen jako vodítko.
- Jste aspoň středně velký podnik. To znamená zpravidla 50 a více zaměstnanců, nebo roční obrat i bilanční sumu nad 10 milionů eur. Do velikosti se započítávají i propojené a partnerské podniky.
Výroba v zákoně neznamená každou výrobu. Jde o vybrané obory, například výrobu počítačů a elektroniky, elektrických zařízení, strojů, motorových vozidel a dalších dopravních prostředků nebo zdravotnických prostředků. Strojírenská firma s 60 lidmi se tak zákona týkat může, i když s kybernetikou nemá nic společného.
Některé subjekty jsou regulované bez ohledu na velikost, například prvky kritické infrastruktury nebo vybraní poskytovatelé digitálních služeb. NÚKIB také může určit povinnou osobu z moci úřední. Z veřejné správy jsou regulované mimo jiné obce s rozšířenou působností.
Registrace a lhůty
Kdo podmínky splňoval už 1. 11. 2025, měl se přes Portál NÚKIB přihlásit do 31. 12. 2025. Kdo je začne splňovat později, třeba když firma přeroste 50 zaměstnanců, má na registraci 60 dnů. Na plné zavedení většiny bezpečnostních opatření je pak přechodné období zhruba jeden rok.
Zákon rozlišuje režim vyšších povinností (vyhláška č. 409/2025 Sb.) a režim nižších povinností (vyhláška č. 410/2025 Sb.). Střední firmy budou většinou spadat do nižšího režimu. Ten je výrazně jednodušší, ale pořád znamená konkrétní práci. Patří k němu například určení odpovědné osoby, řízení přístupů, zálohy a plán obnovy po výpadku, vzdělávání zaměstnanců a hlášení významných incidentů NÚKIB.
Za neplnění hrozí sankce, které mohou dosáhnout až 250 milionů Kč nebo 2 % celosvětového obratu. Podle NÚKIB hraje roli i to, jak dlouho povinný subjekt své povinnosti neplnil. Pokud jste se tedy registrovat měli a neudělali jste to, je lepší to napravit co nejdřív.
Jak zjistit, jestli se vás to týká
- Projděte odvětví a služby ve vyhlášce č. 408/2025 Sb. nebo použijte samoidentifikaci na Portálu NÚKIB.
- Ověřte velikost podniku podle počtu zaměstnanců, obratu a bilanční sumy za poslední dvě uzavřená účetní období, včetně propojených firem.
- Pokud podmínky splňujete, zaregistrujte se a určete, do kterého režimu patříte.
- Udělejte posouzení současného stavu (GAP analýzu) a plán, jak chybějící opatření zavést v přechodném období.
Malé firmy: zákon se vás netýká, jeho požadavky ano
Firma s 20 lidmi pod zákon většinou nespadá. Pokud ale dodává regulovanému odběrateli, například větší strojírně, nemocnici nebo městu, dotkne se jí zákon nepřímo. Regulované organizace musejí řídit bezpečnost svých dodavatelů. Proto posílají bezpečnostní dotazníky a do smluv dávají požadavky na zabezpečení, hlášení incidentů nebo audit.
V praxi tedy i malá firma potřebuje stejné základy: dvoufázové přihlášení, vyzkoušené zálohy, aktualizovaný software, přehled o přístupech a jednoduchý plán, co dělat při výpadku. Kdo je má, vyplní dotazník odběratele za odpoledne. Kdo je nemá, řeší je pod tlakem termínu.
Jak pomáháme
U firem a obcí, na které zákon dopadá, posoudíme, jestli a v jakém režimu jsou regulované, pomůžeme s registrací a připravíme plán opatření, který odpovídá velikosti organizace. Technická opatření pak sami zavedeme a spravujeme. Podrobnosti najdete na stránce NIS2 a zákon o kybernetické bezpečnosti. Menším dodavatelům pomáháme splnit požadavky odběratelů, viz Audity odběratelů a TISAX.