Registrace u NÚKIB: 60denní lhůta a jak ohlášení provést

Registrace u NÚKIB: 60denní lhůta a jak ohlášení provést

Tento článek je obecnou informací o právní úpravě, nikoli individuální právní radou pro konkrétní firmu. Pro posouzení vaší situace doporučujeme konzultaci s odborníkem nebo využijte rychlou prověrku.

Zákon č. 264/2025 Sb. je účinný od 1. 11. 2025 a přinesl jednu povinnost, která předchází všemu ostatnímu: ohlásit regulovanou službu NÚKIB. Bez tohoto kroku neběží žádné lhůty, nepřichází rozhodnutí o registraci a firma se ocitá v prodlení – s rizikem sankce, která je paradoxně stejně vysoká jako u subjektů vyššího režimu. K 8. 2. 2026 bylo ohlášeno přibližně 4 825 subjektů z odhadovaných zhruba 6 000, což znamená, že stovky firem jsou prokazatelně v prodlení.

Tento článek vysvětluje přesně: kdo ohlašuje, jak, v jaké lhůtě, co se děje po registraci a jaké jsou reálné důsledky nečinnosti.

---

Kdo má povinnost ohlásit: zákonné podmínky

Povinnost ohlásit regulovanou službu vzniká splněním dvou podmínek zároveň – velikostního prahu a odvětvového zařazení.

Velikostní práh

Zákon č. 264/2025 Sb. (§ 4 odst. 1) ve spojení s vyhláškou 408/2025 vychází z definice středního a velkého podniku dle doporučení Komise 2003/361/ES. Prakticky to znamená:

• 50 a více osob, nebo
• roční obrat nad 10 mil. EUR a zároveň bilanční suma nad 10 mil. EUR.

Velikost ale není jediná cesta do působnosti: § 4 odst. 1 písm. b) zákona zní „je středním nebo velkým podnikem …, nebo je významný pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice“. Podmínky té významnosti stanoví podle § 4 odst. 2 vyhláška – a příloha vyhlášky č. 408/2025 je určuje u každé služby zvlášť. U řady služeb velikost nerozhoduje vůbec.

Pozor: velikost se počítá za celou skupinu – tedy včetně partnerských a propojených podniků. Dceřiná společnost s 20 zaměstnanci, jejíž mateřská firma má 200 zaměstnanců, práh splňuje.

Existují výjimky, kde velikost nehraje roli. Jde o subjekty registrované z moci úřední dle § 5 zákona: jediný poskytovatel zásadní služby, subjekty s dopadem na bezpečnost nebo zdraví obyvatel, nebo ty, jejichž výpadek by závažně zasáhl do života více než 125 000 osob. Tyto subjekty NÚKIB registruje sám, bez ohledu na počet zaměstnanců. Stejně tak bez velikostního prahu spadají například správci autoritativní DNS pro více než 10 000 domén, správci TLD nebo telekomunikační operátoři již jako střední podnik (vyhláška 408/2025, sekce 16).

Odvětvové zařazení

Firma musí poskytovat službu v některém z 15 odvětví vymezených v příloze vyhlášky 408/2025:

veřejná správa, energetika, výrobní průmysl, potravinářský průmysl, chemický průmysl, vodní hospodářství, odpadové hospodářství, doprava, digitální infrastruktura a služby, finanční trh, zdravotnictví, věda, výzkum a vzdělávání, poštovní a kurýrní služby, obranný průmysl a vesmírný průmysl. Patnáct odvětví vyjmenovává přímo § 4 odst. 1 písm. a) zákona; příloha vyhlášky je člení do 22 sekcí (energetika je rozdělena podle komodit, doprava podle druhů).

Příklad: Provozujete e-shop s potravinami a máte 60 zaměstnanců. Potravinářský průmysl je v seznamu odvětví. Velikostní práh splňujete. Povinnost ohlásit regulovanou službu vám vznikla nejpozději k 1. 11. 2025 – lhůta pro ohlášení tedy uplynula 31. 12. 2025.

---

Co platí najisto: 60denní lhůta a její počítání

Lhůta 60 dnů běží od okamžiku, kdy firma podmínky regulace naplnila – tedy od dne, kdy současně splnila velikostní práh i odvětvové zařazení (§ 6 odst. 1 zákona č. 264/2025 Sb.).

Pro první vlnu subjektů, které podmínky splňovaly již k datu účinnosti zákona (1. 11. 2025), tak lhůta uplynula 31. 12. 2025. Nejde o zvláštní přechodné ustanovení – je to prostý výpočet 60 dnů podle § 6 odst. 1 od účinnosti zákona.

Pro firmy, které podmínky naplní až po 1. 11. 2025 – například proto, že překročí velikostní práh v průběhu roku – lhůta 60 dnů běží od tohoto pozdějšího okamžiku.

Kdy lhůta začíná běžet znovu

Pokud firma podmínky dočasně přestane splňovat (například klesne pod velikostní práh) a pak je znovu naplní, lhůta 60 dnů se počítá od nového naplnění podmínek. Zákon neobsahuje výjimku pro opakované splnění – každé nové naplnění podmínek zakládá novou povinnost ohlásit.

---

Jak ohlášení technicky provést

Ohlášení se podává výlučně elektronicky přes Portál NÚKIB ve formátu stanoveném vyhláškou 334/2025 (§ 45 odst. 2 zákona). Jiná forma podání – papír, e-mail, datová schránka mimo Portál – zákonnou povinnost nesplní: podle § 45 odst. 2 je takový úkon neúčinný. Náhradní cestu zákon připouští jen tam, kde ji sám výslovně upravuje – u ohlášení podle § 6 odst. 1 takové ustanovení není, na rozdíl od hlášení incidentů, kde § 16 odst. 4 povoluje e-mail nebo datovou schránku, není-li Portál z důvodů nezávislých na vaší vůli dostupný.

Co ohlášení obsahuje

Vyhláška 334/2025 stanoví formát ohlášení. Z povahy věci musí ohlášení obsahovat:

• identifikaci povinné osoby (IČO, název, sídlo),
• popis regulované služby a její zařazení do příslušné sekce přílohy vyhlášky 408/2025,
• určení režimu (vyšší nebo nižší) dle přílohy vyhlášky 408/2025,
• kontaktní údaje.

Přesnou strukturu formuláře na Portálu NÚKIB doporučujeme ověřit přímo na portálu – formulář se může aktualizovat.

Praktický postup krok za krokem

1. Ověřte, zda vaše firma splňuje velikostní práh (počítejte za celou skupinu podniků).
2. Identifikujte, do které sekce přílohy vyhlášky 408/2025 vaše služba spadá.
3. Určete, zda jde o vyšší nebo nižší režim (příloha vyhlášky 408/2025 to uvádí per typ služby).
4. Přihlaste se na Portál NÚKIB a vyplňte formulář ohlášení dle vyhlášky 334/2025.
5. Podejte ohlášení elektronicky – uchovejte si potvrzení o podání.
6. Vyčkejte na doručení rozhodnutí o registraci.

---

Co teprve upřesní prováděcí akty (výhled)

Samotný proces ohlášení a registrace je zákonem a prováděcími vyhláškami upraven dostatečně konkrétně – zde nejsou otevřené otázky čekající na další akty.

Naopak mechanismus prověřování bezpečnosti dodavatelského řetězce (§§ 25 až 33 zákona) zůstává neaktivní, protože stojí na dvou nařízeních vlády – podle § 25 a podle § 27 odst. 4. Oba návrhy šly do mezirezortního připomínkového řízení 30. 5. 2025 a k 7. srpnu 2026 se nám jejich vyhlášení ve Sbírce zákonů nepodařilo dohledat – mezi vydanými prováděcími předpisy k zákonu nejsou a NÚKIB o jejich vydání neinformoval. Stav si ověřte u zdroje; jde o údaj, který se může změnit ze dne na den. Tato oblast se ohlášení přímo netýká, ale je dobré vědět, že část zákona ještě nenabyla plné účinnosti.

---

Co se děje po podání ohlášení

Podání ohlášení je začátek, nikoli konec. Po doručení rozhodnutí NÚKIB o registraci nastupují další lhůty.

Doplnění kontaktních a dalších údajů: 30 dnů

Do 30 dnů od doručení rozhodnutí o registraci musíte doplnit kontaktní a doplňující údaje (§ 11 odst. 1 zákona č. 264/2025 Sb.). Pokud se tyto údaje následně změní, máte na nahlášení změny 14 dnů (§ 11 odst. 2 zákona).

Bezpečnostní opatření a hlášení incidentů: 1 rok

Bezpečnostní opatření a povinnost hlásit incidenty nenabíhají okamžitě – zákon dává lhůtu 1 rok od doručení rozhodnutí o registraci (§ 13 odst. 4 a § 15 odst. 4 zákona č. 264/2025 Sb.). Pro subjekty první vlny, jejichž rozhodnutí dorazí v průběhu roku 2026, to znamená, že plná provozní povinnost nastane přibližně v období prosinec 2026 až začátek roku 2027.

Tento rok není volno – je to čas na přípravu bezpečnostních opatření, která jsou pro nižší režim definována vyhláškou 410/2025 a pro vyšší režim vyhláškou 409/2025.

Příklad: Jste výrobce elektroniky se 120 zaměstnanci, spadáte do výrobního průmyslu (NACE 26–30), nižší režim. Ohlásili jste se v prosinci 2025, rozhodnutí o registraci vám dorazí řekněme v březnu 2026. Bezpečnostní opatření musíte mít zavedena do března 2027. Máte rok na to, aby vaše IT oddělení nebo externě najatý specialista provedl analýzu a zavedl opatření podle vyhlášky 410/2025 – nepodmíněné jádro podle § 3 odst. 1 písm. b) v plném rozsahu a opatření kalibrovaná rizikem v rozsahu, který dokážete písemně obhájit.

---

Sankce za neohlášení: proč to nelze odkládat

Neohlášení regulované služby je sankcionováno stejně přísně jako nejzávažnější porušení povinností vyššího režimu – a to bez ohledu na to, do jakého režimu subjekt patří.

Konkrétně (§ 59 odst. 4 a § 60 zákona č. 264/2025 Sb.):

• Za neohlášení hrozí pokuta až 250 milionů Kč nebo 2 % čistého celosvětového ročního obratu – platí vyšší z obou hodnot.
• Tato sazba platí i pro subjekty nižšího režimu, kde by jiné porušení bylo sankcionováno mírněji (až 175 mil. Kč nebo 1,4 % obratu).

Osobní postih statutárního orgánu (dočasný zákaz výkonu funkce dle § 56 odst. 1 a § 58 zákona) se vztahuje primárně na subjekty vyššího režimu při opakovaném nebo závažném porušení, které zmařilo nápravné rozhodnutí NÚKIB. U neohlášení jako prvního pochybení k tomuto kroku zpravidla nedojde – ale pokud NÚKIB vydá nápravné rozhodnutí a firma ho ignoruje, osobní postih je reálný.

---

Akční plán 30/60/90 dní

Prvních 30 dní: zjistěte, zda vás zákon vůbec zasahuje

1. Spočítejte velikost skupiny (zaměstnanci, obrat, bilance) dle doporučení 2003/361/ES – nezapomeňte na partnerské a propojené podniky.
2. Projděte přílohu vyhlášky 408/2025 a identifikujte, zda vaše hlavní nebo vedlejší činnost spadá do některé ze 22 sekcí.
3. Pokud splňujete obě podmínky a lhůta již uplynula – podejte ohlášení neprodleně. Každý den prodlení zvyšuje riziko sankce.
4. Pokud si nejste jisti zařazením, využijte rychlou prověrku nebo konzultaci s odborníkem.

31–60 dní: podejte ohlášení a připravte se na rozhodnutí

1. Vyplňte a podejte formulář na Portálu NÚKIB dle vyhlášky 334/2025.
2. Určete, kdo ve firmě bude odpovědnou osobou pro kybernetickou bezpečnost (pro nižší režim: pověřená osoba KB; pro vyšší: výbor KB a čtyři bezpečnostní role).
3. Uchovejte potvrzení o podání ohlášení.

61–90 dní a dále: připravte se na rok po registraci

1. Po doručení rozhodnutí o registraci doplňte kontaktní údaje do 30 dnů (§ 11 odst. 1 zákona).
2. Zahajte analýzu stavu kybernetické bezpečnosti – máte 1 rok od doručení rozhodnutí na zavedení bezpečnostních opatření.
3. Nastavte interní proces pro sledování změn údajů (lhůta 14 dnů na nahlášení změn dle § 11 odst. 2 zákona).

---

Časté omyly

Omyl 1: „Ohlášení stačí poslat e-mailem nebo datovou schránkou.“

Zákon č. 264/2025 Sb. ve spojení s vyhláškou 334/2025 vyžaduje výlučně elektronické podání přes Portál NÚKIB. Jiná forma podání povinnost nesplní a lhůta dál běží.

Omyl 2: „Po ohlášení mám hned povinnost zavést bezpečnostní opatření.“

Bezpečnostní opatření a povinnost hlásit incidenty nabíhají až 1 rok po doručení rozhodnutí o registraci (§ 13 odst. 4 a § 15 odst. 4 zákona). Ohlášení samo o sobě žádnou okamžitou provozní povinnost nezakládá – kromě doplnění kontaktních údajů do 30 dnů od doručení rozhodnutí.

Omyl 3: „Jsme malá dceřiná firma, nás se to netýká.“

Velikost se počítá za celou skupinu podniků včetně partnerských a propojených. Dceřiná firma s 15 zaměstnanci, jejíž mateřská skupina zaměstnává stovky lidí, může práh snadno překročit. Toto je nejčastější důvod, proč firmy povinnost přehlédnou.

---

Zdroje

• Zákon č. 264/2025 Sb. o kybernetické bezpečnosti, zejména § 4 odst. 1, § 5, § 6 odst. 1 a 3, § 8 odst. 3, § 11 odst. 1 a 2, § 13 odst. 4, § 15 odst. 4, § 45 odst. 2, § 56 odst. 1, § 58, § 59 odst. 4, § 60: https://www.zakonyprolidi.cz/cs/2025-264
• Vyhláška č. 408/2025 Sb. (odvětví a režimy), příloha: https://www.zakonyprolidi.cz/cs/2025-408
• Vyhláška č. 334/2025 Sb. (Portál NÚKIB a požadavky na vybrané úkony): https://www.zakonyprolidi.cz/cs/2025-334
• Směrnice (EU) 2022/2555 (NIS2), čl. 2 odst. 1, čl. 34: CELEX 32022L2555
• Doporučení Komise 2003/361/ES (definice MSP): dohledatelné v EUR-Lex
• Aktualita NÚKIB ze dne 11. 2. 2026 (stav ohlášení): https://nukib.gov.cz

---

Shrnutí

Ohlášení regulované služby NÚKIB je první a nejdůležitější povinností podle zákona č. 264/2025 Sb. Lhůta je 60 dnů od naplnění podmínek; pro první vlnu uplynula 31. 12. 2025. Podání probíhá výlučně přes Portál NÚKIB dle vyhlášky 334/2025. Za neohlášení hrozí pokuta až 250 milionů Kč nebo 2 % obratu – a to i pro subjekty nižšího režimu. Po doručení rozhodnutí o registraci máte 30 dnů na doplnění kontaktních údajů a 1 rok na zavedení bezpečnostních opatření. Pokud si nejste jisti, zda se vás zákon týká, začněte rychlou prověrkou.