1 200 firem se NÚKIB neohlásilo – co jim hrozí?

1 200 firem se NÚKIB neohlásilo. Co jim hrozí a co udělat teď

K 8. únoru 2026 evidoval NÚKIB 4 825 ohlášených subjektů z přibližně 6 000 očekávaných. Zhruba 1 100 až 1 200 firem a organizací tak bylo v prodlení – zákonná lhůta přitom vypršela 31. prosince 2025. Pokud patříte mezi ně, nebo si nejste jisti, zda se vás zákon vůbec týká, čtete správný článek. Dozvíte se přesně, co hrozí, proč je situace vážnější, než se zdá, a jaký je první krok.

Tento článek je obecnou informací, nikoli individuální právní radou pro konkrétní firmu.

---

Co platí najisto: zákon, lhůta, čísla

Zákon č. 264/2025 Sb. o kybernetické bezpečnosti je účinný od 1. listopadu 2025. Ruší zákon č. 181/2014 Sb. i vyhlášku č. 82/2018 Sb. a transponuje evropskou směrnici NIS2 (EU) 2022/2555. (§ 1 odst. 3, § 72, § 73 zák. 264/2025)

Povinnost ohlásit regulovanou službu vzniká do 60 dnů od naplnění podmínek (§ 6 odst. 1 zák. 264/2025). Pro subjekty, které podmínky splňovaly již k 1. listopadu 2025, tak lhůta uplynula 31. prosince 2025 – nejde o zvláštní přechodné ustanovení, ale o prostý výpočet 60 dnů od účinnosti zákona podle § 6 odst. 1. Ohlášení je možné výlučně elektronicky přes Portál NÚKIB, ve formátu stanoveném vyhláškou č. 334/2025 Sb. (§ 45 odst. 2 zákona; úkon provedený jinak nebo v jiném formátu je podle téhož ustanovení neúčinný).

Čísla jsou jasná: NÚKIB odhadoval přibližně 6 000 povinných subjektů, ohlášeno bylo 4 825. Dopočet dává 1 100 až 1 200 subjektů v prodlení. NÚKIB přesné číslo neuvádí – odhad je ale dostatečně přesný na to, aby byl varující.

---

Koho se zákon týká: rychlý test před řešením sankcí

Než přistoupíte k řešení prodlení, ověřte, zda vás zákon skutečně zavazuje. Povinnost vzniká při splnění dvou podmínek současně.

Podmínka 1: Odvětví

Zákon pokrývá 15 odvětví definovaných v příloze vyhlášky č. 408/2025 Sb. (§ 4 odst. 1 zák. 264/2025):

• veřejná správa, energetika, výrobní průmysl, potravinářský průmysl, chemický průmysl
• vodní hospodářství, odpadové hospodářství, doprava
• digitální infrastruktura a služby, finanční trh, zdravotnictví
• věda, výzkum a vzdělávání, poštovní a kurýrní služby
• obranný průmysl, vesmírný průmysl

Podmínka 2: Velikost podniku

Zákon se vztahuje na středního nebo velkého podnikatele ve smyslu doporučení Komise 2003/361/ES – prakticky na subjekt s alespoň 50 osobami nebo s obratem nad 10 milionů EUR a zároveň bilanční sumou nad 10 milionů EUR. Velikost ale není jediná cesta: § 4 odst. 1 písm. b) zákona zní „je středním nebo velkým podnikem …, nebo je významný pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice“, a podmínky té významnosti stanoví u každé služby zvlášť příloha vyhlášky č. 408/2025. Klíčové upozornění: velikost se počítá za celou skupinu, tedy včetně partnerských a propojených podniků. (§ 4 odst. 1 zák. 264/2025; čl. 2 odst. 1 směrnice NIS2)

Výjimky bez velikostního prahu

Některé subjekty spadají pod zákon bez ohledu na velikost – například jediný poskytovatel zásadní služby v ČR, subjekt s dopadem na bezpečnost nebo zdraví obyvatel, nebo subjekt, jehož výpadek by závažně zasáhl do života více než 125 000 osob. Tyto subjekty NÚKIB registruje z moci úřední a vždy jim přiřazuje vyšší režim. (§ 5, § 6 odst. 3, § 8 odst. 3 zák. 264/2025)

Bez velikostního prahu dále spadají například autoritativní DNS servery spravující více než 10 000 domén, správci TLD nebo poskytovatelé kvalifikovaných služeb vytvářejících důvěru a elektronické identifikace. (příloha vyhl. 408/2025, body 16.1–16.18)

Rozhodovací vodítko

• Pokud vaše firma působí mimo všech 15 odvětví, zákon se vás netýká – ohlašovací povinnost nevzniká.
• Pokud odvětvím odpovídáte, ale jste mikropodnik nebo malý podnik (méně než 50 osob a obrat nebo bilanční suma pod 10 milionů EUR), zákon se vás zpravidla netýká. Rozhodující ale není tato obecná úvaha, nýbrž sloupec „Podmínky významnosti poskytovatele regulované služby a jeho režim“ u vaší konkrétní služby v příloze vyhlášky č. 408/2025 – u části služeb velikost nerozhoduje vůbec.
• Pokud odvětvím odpovídáte a jste střední nebo velký podnik, ohlašovací povinnost s největší pravděpodobností vznikla.

---

Sankce za neohlášení: čísla, která mluví za sebe

Neohlášení regulované služby se trestá jako porušení vyššího režimu – i když by firma jinak spadala do nižšího sankčního pásma.

Konkrétně (§ 59 odst. 4, § 60 zák. 264/2025):

• Za neohlášení hrozí pokuta až 250 milionů Kč nebo 2 % čistého celosvětového ročního obratu – platí vyšší z obou hodnot.
• Subjekty nižšího režimu za jiná porušení čelí pokutě až 175 milionů Kč nebo 1,4 % obratu.
• Subjekty vyššího režimu za jádro svých povinností čelí stejné sazbě jako za neohlášení: až 250 milionů Kč nebo 2 % obratu.
• Sazby 250 a 175 milionů ale nejsou jediné. § 59 odst. 4 zná pět pásem – vedle nich ještě 100 mil. Kč, 50 mil. Kč a 35 mil. Kč pro konkrétně vyjmenované skutkové podstaty.

Zákon záměrně nastavuje neohlášení jako jedno z nejpřísněji sankcionovaných porušení. Logika je zřejmá: bez registrace nemůže dohled vůbec začít.

Osobní postih statutárního orgánu

U subjektů vyššího režimu může NÚKIB členovi statutárního orgánu dočasně zakázat výkon funkce. Podmínkou je, že opakované nebo závažné porušení jeho povinností zmařilo splnění nápravného rozhodnutí Úřadu. Zákaz trvá nejméně 6 měsíců, zapisuje se do obchodního rejstříku a výkon funkce navzdory zákazu je pokutován až 20 miliony Kč. (§ 56 odst. 1, § 58, § 60 odst. 1 písm. h), odst. 7 písm. d) zák. 264/2025)

Osobní postih se tedy netýká přímo neohlášení jako takového, ale může nastat jako důsledek řetězce porušení, který neohlášením začíná.

---

Co se děje po ohlášení: časová osa povinností

Ohlášení není konec, ale začátek. Po doručení rozhodnutí o registraci běží další lhůty (§ 11 odst. 1, § 13 odst. 4, § 15 odst. 4 zák. 264/2025):

• Do 30 dnů od doručení rozhodnutí: doplnit kontaktní a doplňující údaje.
• Do 14 dnů: hlásit změny základních registračních údajů.
• Do 1 roku od doručení rozhodnutí: zavést bezpečnostní opatření a aktivovat povinnost hlásit incidenty.

Pro subjekty první vlny – ohlášení do konce roku 2025, rozhodnutí v průběhu roku 2026 – to znamená, že plná provozní povinnost nastupuje přibližně v prosinci 2026 až začátkem roku 2027. Kdo se ohlásí se zpožděním, posouvá si tuto lhůtu – ale nezbaví se rizika sankce za samotné prodlení s ohlášením.

---

Dva režimy: co vás čeká po registraci

Zákon rozlišuje vyšší a nižší režim povinností (§ 8 zák. 264/2025; příloha vyhl. 408/2025). Režim určuje vyhláška č. 408/2025 Sb. per typ služby, nikoli paušálně per firma.

Základní vzorec: velký podnik → vyšší režim, střední podnik → nižší režim. Výjimky existují – například sériový výrobce osobních automobilů nebo provozovatel objektu skupiny B dle zákona o prevenci závažných havárií spadají do vyššího režimu i jako střední podnik. Naopak on-line tržiště, vyhledávače a sociální platformy jsou vždy jen v nižším režimu – vyhláška u nich vyšší režim nezná vůbec, ale regulovanými se stávají jen tehdy, jsou-li velkým nebo středním podnikem (body 16.15 až 16.17 přílohy).

Praktický dopad:

• Nižší režim (vyhl. 410/2025): nepodmíněné jádro podle § 3 odst. 1 písm. b) plus opatření kalibrovaná rizikem, povinný přehled bezpečnostních opatření s roční aktualizací a uchováním 4 roky, určení osoby pověřené kybernetickou bezpečností.
• Vyšší režim (vyhl. 409/2025): plné ISMS, analýza rizik a plán zvládání, audit kybernetické bezpečnosti, čtyři bezpečnostní role (manažer, architekt, garant aktiv, auditor KB), evidence dodavatelů.

Nižší režim není „skoro nic“ – je to reálná zátěž s konkrétními povinnostmi a sankcemi za jejich neplnění.

---

Příklady z praxe: kdo konkrétně mohl přehlédnout povinnost

Příklad 1: Výrobce průmyslových komponent, 80 zaměstnanců

Firma vyrábí kovové díly pro automobilový průmysl (NACE 25). Splňuje velikostní práh. Odvětví výrobního průmyslu je v příloze vyhl. 408/2025 explicitně uvedeno. Majitel si myslel, že NIS2 je „pro IT firmy a banky“. Omyl – výrobní průmysl je jedním z 15 odvětví bez výjimky. Firma měla povinnost ohlásit se do 31. prosince 2025. Pokud tak neučinila, je v prodlení a hrozí jí pokuta až 250 milionů Kč nebo 2 % obratu.

Příklad 2: Logistická firma, 120 zaměstnanců, vlastní e-shop

Firma provozuje kurýrní doručování – poštovní a kurýrní služby jsou jedním z 15 odvětví – a vedle toho e-shop s doplňkovým zbožím. E-shop sám o sobě pod zákon nespadá. Kurýrní část ano, a firma jako celek splňuje velikostní práh. Ohlásit bylo třeba regulovanou službu (kurýrní provoz), nikoli e-shop. Pokud firma ohlásila jen e-shop nebo neohlásila nic, je v prodlení.

Příklad 3: Holding s mateřskou firmou v zahraničí

Česká dceřiná společnost má 35 zaměstnanců a obrat pod 10 milionů EUR – sama o sobě pod práh. Ale mateřská firma v Německu má 200 zaměstnanců. Velikost se počítá za celou skupinu včetně propojených podniků. Česká dceřiná společnost proto splňuje velikostní práh a povinnost ohlásit se jí vznikla. Mnoho holdingových struktur tuto logiku přehlíží.

---

Akční plán 30/60/90 dní

Pokud jste v prodlení nebo si nejste jisti, postupujte v tomto pořadí.

Do 30 dnů – okamžitá priorita:

1. Ověřte odvětvový test: zkontrolujte přílohu vyhl. 408/2025 a zjistěte, zda vaše hlavní činnost spadá do některého z 15 odvětví.
2. Ověřte velikostní práh za celou skupinu podniků – počítejte zaměstnance a obrat mateřské i propojených firem.
3. Pokud obě podmínky splňujete, podejte ohlášení přes Portál NÚKIB bez dalšího odkladu. Každý den prodlení je dalším dnem porušení zákona.
4. Zdokumentujte datum a způsob podání pro případ budoucí kontroly.

Do 60 dnů:

1. Po doručení rozhodnutí o registraci doplňte kontaktní a doplňující údaje (lhůta 30 dnů od doručení rozhodnutí).
2. Zjistěte, do jakého režimu (vyšší/nižší) vás NÚKIB zařadil – od toho se odvíjí rozsah bezpečnostních opatření.
3. Jmenujte osobu pověřenou kybernetickou bezpečností (povinnost nižšího režimu dle § 4 vyhl. 410/2025) nebo zahajte obsazení čtyř bezpečnostních rolí (vyšší režim).

Do 90 dnů:

1. Zahajte mapování aktiv a identifikaci bezpečnostních mezer – máte přibližně 1 rok od doručení rozhodnutí na zavedení opatření.
2. Prověřte smlouvy s klíčovými dodavateli: zákon vyžaduje, abyste do nich vložili bezpečnostní požadavky (§ 13 odst. 5 zák. 264/2025; příloha 2 vyhl. 410/2025 pro nižší režim).
3. Naplánujte prokazatelné školení vrcholného vedení v oblasti kybernetické bezpečnosti – povinnost obou režimů.

Chcete vědět, zda se vás zákon týká a v jakém rozsahu? Využijte rychlou prověrku.

---

Časté omyly

Omyl 1: „Neohlášení je jen administrativní pochybení, pokuta bude symbolická.“

Není. Zákon záměrně nastavil sankci za neohlášení na stejnou úroveň jako za nejzávažnější porušení povinností vyššího režimu – až 250 milionů Kč nebo 2 % celosvětového obratu. Logika zákonodárce je zřejmá: bez registrace nelze vůbec zahájit dohled. Neohlášení proto není drobnost ani formalita.

Omyl 2: „Jsme výrobní firma, NIS2 je pro IT a telco.“

Výrobní průmysl (včetně potravinářského a chemického) je explicitně uveden mezi 15 odvětvími. Zákon se vztahuje na poskytovatele regulované služby v daném odvětví, nikoli jen na IT provozovatele. Pokud vyrábíte v odvětví pokrytém zákonem a splňujete velikostní práh, povinnost vznikla – bez ohledu na to, jak „nedigitální“ se vaše výroba zdá.

Omyl 3: „Počkáme, až nás NÚKIB sám osloví.“

Zákon ukládá povinnost ohlásit se aktivně. NÚKIB sice může registrovat z moci úřední (§ 5 zák. 264/2025), ale to se týká specifických kategorií – jediného poskytovatele zásadní služby, subjektů s dopadem na bezpečnost obyvatel apod. Standardní subjekty mají povinnost ohlásit se samy. Pasivní čekání prodlužuje prodlení a zvyšuje riziko sankce každým dalším dnem.

---

Zdroje

• Zákon č. 264/2025 Sb. o kybernetické bezpečnosti (§ 4, § 5, § 6, § 8, § 11, § 13, § 45, § 56, § 58, § 59, § 60): https://www.zakonyprolidi.cz/cs/2025-264
• Vyhláška č. 408/2025 Sb. (odvětví a velikostní prahy, příloha): https://www.zakonyprolidi.cz/cs/2025-408
• Vyhláška č. 334/2025 Sb. (formát ohlášení, Portál NÚKIB): https://www.zakonyprolidi.cz/cs/2025-264
• Vyhláška č. 409/2025 Sb. (bezpečnostní opatření vyššího režimu): https://www.zakonyprolidi.cz/cs/2025-409
• Vyhláška č. 410/2025 Sb. (bezpečnostní opatření nižšího režimu): https://www.zakonyprolidi.cz/cs/2025-410
• Směrnice (EU) 2022/2555 (NIS2), čl. 2, čl. 20, čl. 23, čl. 34: CELEX 32022L2555
• Doporučení Komise 2003/361/ES (definice velikosti podniku)
• NÚKIB aktualita ze dne 11. února 2026 (stav registrací): https://nukib.gov.cz

---

Shrnutí

K 8. únoru 2026 bylo v prodlení s ohlášením přibližně 1 100 až 1 200 subjektů. Zákon č. 264/2025 Sb. je účinný od 1. listopadu 2025 a lhůta pro první vlnu vypršela 31. prosince 2025. Za neohlášení hrozí pokuta až 250 milionů Kč nebo 2 % čistého celosvětového ročního obratu – bez ohledu na to, zda by firma jinak spadala do nižšího sankčního režimu. Pokud jste v prodlení, nejdůležitější krok je podat ohlášení přes Portál NÚKIB co nejdříve. Každý den prodlení je dalším dnem porušení zákona.