Vyšší, nebo nižší režim NIS2? Kritéria vyhlášky 408/2025

Vyšší, nebo nižší režim NIS2? Jak vyhláška 408/2025 dělí povinnosti

Zákon č. 264/2025 Sb. zavádí od 1. 11. 2025 dvě různě náročné sady povinností – vyšší režim a nižší režim. Která z nich se vás týká, neurčuje zákon sám, ale prováděcí vyhláška č. 408/2025 Sb., a to pro každou regulovanou službu zvlášť. Přečtěte si tento článek, pokud chcete vědět přesně, kde stojíte – bez vaty a bez zbytečného poradenství.

Tento článek je obecná informace, nikoli individuální právní rada. Pro posouzení konkrétní situace vaší firmy doporučujeme odbornou konzultaci nebo rychlou prověrku.

---

Proč na rozdělení režimů záleží víc, než si myslíte

Rozdíl mezi oběma režimy není jen administrativní – je to rozdíl mezi desítkami a stovkami hodin práce navíc.

Vyšší režim znamená formální systém řízení bezpečnosti informací (ISMS), čtyři bezpečnostní role, audit kybernetické bezpečnosti, evidenci dodavatelů a přímé hlášení incidentů NÚKIB. Nižší režim je méně formální: menší sada opatření podle vyhlášky č. 410/2025, jedna pověřená osoba a hlášení pouze Národnímu CERT – a jen u incidentů s významným dopadem.

Sankce se liší: za jádro povinností vyššího režimu až 250 mil. Kč nebo 2 % čistého celosvětového ročního obratu, za jádro povinností nižšího režimu až 175 mil. Kč nebo 1,4 % (§ 59 odst. 4 písm. a) a b) zák. 264/2025). Nejsou to jediná pásma – § 59 odst. 4 zná ještě 100 mil. Kč, 50 mil. Kč a 35 mil. Kč pro vymezené skutkové podstaty. Ale pozor – neohlášení regulované služby je pokutováno stejně jako porušení povinností vyššího režimu: až 250 mil. Kč nebo 2 %, bez ohledu na to, do jakého režimu byste jinak patřili.

---

Základní logika vyhlášky 408: odvětví a velikost

Zákonné kritérium je v § 8 odst. 1 zákona: ve vyšším režimu je poskytovatel, který je z důvodu své velikosti, počtu uživatelů, geografického rozšíření služby, dopadu na fungování odvětví nebo jiného poskytovatele anebo rizikovosti provozu značně ekonomicky, společensky nebo bezpečnostně významný pro Českou republiku; ostatní jsou v nižším režimu. Rozdělení podle typů služeb pak podle § 8 odst. 2 stanoví Úřad vyhláškou.

Vyhláška 408/2025 Sb. to u většiny služeb převádí na jednoduchou čáru: velký podnik → vyšší režim, střední podnik → nižší režim. Dělá to zvlášť pro každou ze 22 sekcí přílohy, které pokrývají 15 odvětví podle § 4 odst. 1 zákona. Univerzální pravidlo to ale není – u části služeb vyhláška velikost vůbec nepoužívá a rozhoduje typ subjektu (například sekce 1, veřejná správa) nebo provozovaného zařízení.

Velikost se posuzuje podle doporučení 2003/361/ES – a klíčové je, že se počítá za celou skupinu (partnerské a propojené podniky). Prakticky to znamená:

• Velký podnik: 250 a více osob, anebo roční obrat nad 50 mil. EUR a zároveň bilanční suma nad 43 mil. EUR (tedy podnik, který už nespadá do kategorie malých a středních podniků).
• Střední podnik: 50 až 249 osob, anebo obrat nad 10 mil. EUR a zároveň bilanční suma nad 10 mil. EUR, při zachování hranic pro malé a střední podniky.

Pozor na odchylky, které zákon k doporučení 2003/361/ES sám přidává (§ 7): čl. 3 odst. 4 doporučení se neuplatní, organizační složky státu, územní samosprávné celky a ČNB se za podnik nepovažují a za partnerský ani propojený podnik se nepovažuje osoba se zcela oddělenými technickými aktivy.

Pokud jste součástí skupiny, kde mateřská firma přesahuje tyto prahy, může se i vaše dceřiná společnost kvalifikovat jako velký podnik – i když sama o sobě zaměstnává jen desítky lidí.

---

Co platí najisto: výjimky z výchozího pravidla

Výrobní průmysl, potravinářství a chemie: zpravidla jen nižší režim

Tři odvětví se od výchozího pravidla odchylují. Výrobní průmysl (NACE 26–30), potravinářský průmysl a chemický průmysl jsou pro velké i střední podniky ve výchozím stavu zařazeny do nižšího režimu (příloha vyhl. 408/2025, sekce 7, 8, 9).

Existují ale dvě výjimky, které i v těchto odvětvích vedou do vyššího režimu:

1. Sériový výrobce osobních automobilů (bod 7.4 přílohy vyhl. 408/2025) – vyšší režim.
2. Provozovatel objektu skupiny B dle zákona o prevenci závažných havárií (bod 9.4 přílohy vyhl. 408/2025) – vyšší režim. Bod 9.4 přitom platí jen pro provozovatele, který je současně středním nebo velkým podnikem; provozovatel objektu zařazeného do skupiny A je v nižším režimu.

Příklad: Jste velký výrobce průmyslových komponent (NACE 28) s více než 250 zaměstnanci. Výchozí pravidlo by vás jako velkého výrobce zařadilo do vyššího režimu – ale vyhláška 408 pro výrobní průmysl říká nižší. Pokud ale provozujete chemický sklad klasifikovaný jako objekt skupiny B, přecházíte do vyššího režimu bez ohledu na odvětví.

Online tržiště, vyhledávače a sociální platformy: vždy jen nižší

Na druhé straně spektra stojí on-line tržiště, internetové vyhledávače a platformy sociálních sítí (body 16.15–16.17 přílohy vyhl. 408/2025). Ty jsou v nižším režimu bez ohledu na to, jak jsou velké – vyšší režim u nich vyhláška nezná vůbec. Nezaměňujte to ale s tím, že by regulace platila pro každého: body 16.15 až 16.17 znějí „je poskytovatelem regulované služby v režimu nižších povinností v případě, že je velkým nebo středním podnikem“. Malý provozovatel tržiště tedy pod vyhlášku nespadá vůbec; velký provozovatel ano, ale vždy jen v nižším režimu.

Výjimky bez velikostního prahu: digitální infrastruktura

Některé služby v sekci 16 vyhlášky 408 jsou regulovány bez ohledu na velikost podniku (§ 5 zák. 264/2025 a příloha vyhl. 408/2025, body 16.1–16.18):

• DNS rekurze nebo autoritativní DNS pro více než 10 000 domén → vyšší režim.
• Správce domény nejvyšší úrovně (TLD) → vyšší režim.
• Registrátor domén.cz s více než 100 000 doménami → nižší režim.
• Kvalifikované služby vytvářející důvěru a elektronická identifikace → vyšší režim.
• Telekomunikační operátor již jako střední podnik → vyšší režim.

Příklad: Provozujete hosting a spravujete autoritativní DNS pro více než 10 000 domén. Nezáleží na tom, zda máte 15 nebo 500 zaměstnanců – spadáte do vyššího režimu.

---

Registrace z moci úřední: kdy NÚKIB rozhodne za vás

Standardní cesta je, že firma sama ohlásí regulovanou službu NÚKIB do 60 dnů od naplnění podmínek (§ 6 odst. 1 zák. 264/2025). Zákon ale pamatuje i na situace, kdy velikostní práh nehraje roli.

Řízení o registraci služby, která splňuje podmínky podle § 5, lze zahájit pouze z moci úřední (§ 6 odst. 3 zákona) – sami se v tomto režimu nepřihlašujete. Jsou-li podmínky splněny, Úřad o registraci rozhodne (§ 6 odst. 2). Podmínky § 5 jsou čtyři:

• písm. a) – jde o službu v některém z 15 odvětví a zároveň platí alespoň jedno z toho, že jste jejím jediným poskytovatelem v ČR a je zásadní pro kritické činnosti nebo bezpečnost, že by její narušení mělo významný dopad na bezpečnost ČR, vnitřní pořádek nebo život a zdraví, že by vyvolalo významná systémová rizika zejména s přeshraničním dopadem, anebo že jste kvůli specifickému významu na regionální či celostátní úrovni zásadní pro své odvětví, typ služby či propojená odvětví,
• písm. b) – narušení služby může způsobit závažný zásah do života více než 125 000 osob, a to prostřednictvím ohrožení bezpečnosti ČR, vnitřního pořádku, života a zdraví, majetkové hodnoty nebo životního prostředí,
• písm. c) – narušení služby může závažně zasáhnout do schopnosti poskytovat jinou regulovanou službu poskytovatele v režimu vyšších povinností,
• písm. d) – jste subjektem kritické infrastruktury podle předpisů o krizovém řízení.

Takto registrovaný subjekt je vždy v vyšším režimu (§ 8 odst. 3 zák. 264/2025).

---

Co každý režim konkrétně vyžaduje

Nižší režim (vyhláška 410/2025)

Vyhláška č. 410/2025 dělí opatření nižšího režimu na dvě skupiny – a dělá to přesně naopak, než se běžně píše. § 3 odst. 1 zní: povinná osoba a) zavede opatření přiměřená bezpečnostním potřebám a b) zavede alespoň opatření podle odstavců 2 až 6, § 4 až 6 a § 10.

Nepodmíněné jádro (§ 3 odst. 1 písm. b) vyhl. 410/2025):

• Přehled bezpečnostních opatření podle přílohy č. 1, s roční aktualizací a vyhodnocením účinnosti, uchovávaný alespoň 4 roky; nezavedená opatření musí být v přehledu odůvodněna (§ 3 odst. 2).
• Bezpečnostní politika a dokumentace, její přezkum a vynucování (§ 3 odst. 3).
• Řízení aktiv – pravidla pro používání a manipulaci s technickými aktivy (§ 3 odst. 4).
• Dodavatelé – zohlednění hrozeb a zranitelností spojených s dodavatelem a smluvní ujednání podle přílohy č. 2 (§ 3 odst. 5).
• Akvizice, vývoj a údržba technických aktiv (§ 3 odst. 6).
• Požadavky na vrcholné vedení (§ 4), bezpečnost lidských zdrojů (§ 5), řízení kontinuity činností včetně záloh (§ 6) a řešení kybernetických bezpečnostních incidentů (§ 10).

Opatření kalibrovaná rizikem – zavádějí se v rozsahu přiměřeném bezpečnostním potřebám a jejich nezavedení musíte písemně odůvodnit:

• řízení přístupu (§ 7),
• řízení identit a jejich oprávnění včetně vícefaktorové autentizace a hesel (§ 8) – minimálně 12 znaků pro uživatele, 17 pro administrátory, 22 pro technické účty,
• detekce a zaznamenávání kybernetických bezpečnostních událostí (§ 9),
• bezpečnost komunikačních sítí včetně segmentace (§ 11),
• aplikační bezpečnost (§ 12),
• kryptografické algoritmy (§ 13).

Vícefaktorová autentizace a délky hesel tedy do nepodmíněného jádra nepatří. Neznamená to, že je lze beztrestně vynechat – znamená to, že jejich nezavedení musíte umět písemně obhájit vůči svým bezpečnostním potřebám.

Pro vrcholné vedení platí: prokazatelné školení kybernetické bezpečnosti a určení jedné osoby pověřené kybernetickou bezpečností (§ 4 vyhl. 410/2025).

Hlášení incidentů: prvotní hlášení do 24 hodin od zjištění (§ 16 odst. 1 zákona), u incidentů s významným dopadem oznámení do 72 hodin a závěrečná zpráva do 30 dnů ode dne předložení onoho 72hodinového oznámení (§ 16 odst. 3). Adresátem je u nižšího režimu Národní CERT, nikoli NÚKIB, a hlásí se pouze incidenty s významným dopadem na poskytování regulované služby (§ 15 odst. 2 zákona).

Vyšší režim (vyhláška 409/2025)

Vyšší režim je výrazně náročnější: 14 organizačních a 11 technických opatření (§§ 3–27 vyhl. 409/2025). Klíčové rozdíly oproti nižšímu:

• Formální ISMS (systém řízení bezpečnosti informací).
• Čtyři bezpečnostní role: manažer KB, architekt KB, garant aktiv, auditor KB (§ 5 vyhl. 409/2025).
• Výbor kybernetické bezpečnosti na úrovni vedení.
• Audit kybernetické bezpečnosti a formální analýza rizik s plánem zvládání.
• Evidence významných dodavatelů, písemná notifikace, hodnocení rizik dodavatelského řetězce a smluvní náležitosti dle přílohy 5 vyhl. 409/2025 (§ 9 vyhl. 409/2025).
• Hlášení incidentů přímo NÚKIB (§ 16 odst. 1 zák. 264/2025).

Osobní riziko pro statutáry: při opakovaném nebo závažném porušení povinností, které zmaří nápravné rozhodnutí NÚKIB, může úřad členovi statutárního orgánu dočasně zakázat výkon funkce – nejméně na 6 měsíců, se zápisem do obchodního rejstříku (§ 56 odst. 1, § 58 zák. 264/2025).

---

Co teprve upřesní prováděcí akty (výhled)

Mechanismus prověřování bezpečnosti dodavatelského řetězce – ustanovení o strategicky významných službách a o podmínkách či zákazech pro rizikové dodavatele (§§ 25 až 33 zák. 264/2025) – je zatím neaktivní. Stojí totiž na dvou nařízeních vlády: na nařízení, kterým vláda podle § 25 určí strategicky významné služby, a na nařízení se seznamem nepominutelných funkcí podle § 27 odst. 4. Oba návrhy šly do mezirezortního připomínkového řízení 30. 5. 2025 a k 7. srpnu 2026 se nám jejich vyhlášení ve Sbírce zákonů nepodařilo dohledat. Sledujte Sbírku zákonů a web NÚKIB; jakmile nařízení vyjdou, dotknou se zejména poskytovatelů, jejichž službu vláda označí za strategicky významnou. Stav si před rozhodnutím ověřte u zdroje.

---

Jedna firma, více služeb: každá se posuzuje samostatně

Pokud poskytujete více regulovaných služeb, každá se zařazuje do režimu zvlášť. Je tedy zcela možné, že vaše firma bude mít jednu službu v nižším a druhou ve vyšším režimu – a pro každou povedete oddělené záznamy a plníte odpovídající sadu povinností.

Příklad: Telekomunikační operátor (střední podnik) provozuje zároveň datové centrum. Jako telco je ve vyšším režimu (bod 16 přílohy vyhl. 408/2025). Datové centrum se posuzuje samostatně podle své sekce – pokud jako střední podnik splňuje kritéria, může být v nižším režimu.

---

Přechodné období: co platí pro subjekty z původního zákona

Subjekty regulované již podle zákona č. 181/2014 Sb. plní v mezidobí staré povinnosti (vyhláška 82/2018 Sb.), ale incidenty hlásí novým způsobem již ode dne doručení rozhodnutí o registraci podle nového zákona (§ 71 odst. 1 zák. 264/2025, § 28 vyhl. 409/2025). Nepředpokládejte, že přechod proběhne automaticky – aktivní kroky jsou nutné.

---

Akční plán 30/60/90 dní

Do 30 dnů – zjistěte, kde stojíte

1. Identifikujte všechny služby, které poskytujete, a přiřaďte je k sekcím přílohy vyhlášky 408/2025.
2. Ověřte velikost firmy za celou skupinu (partnerské a propojené podniky) podle doporučení 2003/361/ES.
3. Zkontrolujte výjimky: jste výrobce aut, provozovatel objektu skupiny B, DNS provider nebo telco? Pokud ano, výchozí pravidlo neplatí.
4. Pokud jste ještě neohlásili regulovanou službu NÚKIB, udělejte to neprodleně – lhůta pro první vlnu uplynula 31. 12. 2025 a prodlení hrozí sankcí až 250 mil. Kč nebo 2 % obratu.

Do 60 dnů – připravte se na konkrétní povinnosti

1. Podle přiřazeného režimu si stáhněte a prostudujte vyhlášku 410/2025 (nižší) nebo 409/2025 (vyšší).
2. Jmenujte osobu pověřenou kybernetickou bezpečností (nižší) nebo zahajte obsazování čtyř bezpečnostních rolí (vyšší).
3. Zmapujte aktiva a zahajte analýzu rizik.

Do 90 dnů – základ dokumentace

1. Sestavte přehled bezpečnostních opatření (nižší) nebo zahajte budování ISMS (vyšší).
2. Nastavte procesy hlášení incidentů – interní eskalaci i cestu k NÚKIB nebo Národnímu CERT.
3. Prověřte smlouvy s klíčovými dodavateli a doplňte smluvní požadavky dle přílohy 2 vyhl. 410/2025 (nižší) nebo přílohy 5 vyhl. 409/2025 (vyšší).

Nejste si jistí, kde začít? Využijte rychlou prověrku.

---

Časté omyly

Omyl 1: „Jsme velká firma ve výrobě, takže nás čeká vyšší režim.“

Neplatí automaticky. Výrobní průmysl (NACE 26–30), potravinářství a chemie jsou ve výchozím stavu v nižším režimu i pro velké podniky – s výjimkou sériových výrobců osobních automobilů a provozovatelů objektů skupiny B. Pokud do těchto výjimek nespadáte, nižší režim je váš výchozí bod.

Omyl 2: „Neohlásili jsme se, ale jsme v nižším režimu, takže pokuta bude nižší.“

Chybně. Sankce za neohlášení regulované služby je stejná jako pro vyšší režim: až 250 mil. Kč nebo 2 % čistého celosvětového ročního obratu (§ 60 zák. 264/2025). Režim, do kterého byste jinak patřili, na výši sankce za neohlášení nemá vliv.

Omyl 3: „Máme dceřinou firmu s malým počtem zaměstnanců, takže NIS2 se nás netýká.“

Velikost se počítá za celou skupinu – partnerské a propojené podniky se sčítají podle doporučení 2003/361/ES. Pokud je mateřská firma velký podnik, dceřiná společnost se může kvalifikovat jako střední nebo velký podnik i při malém vlastním počtu zaměstnanců.

---

Zdroje

• Zákon č. 264/2025 Sb. o kybernetické bezpečnosti: https://www.zakonyprolidi.cz/cs/2025-264
• Vyhláška č. 408/2025 Sb. (určení regulovaných služeb a režimů): https://www.zakonyprolidi.cz/cs/2025-408
• Vyhláška č. 409/2025 Sb. (bezpečnostní opatření vyššího režimu): https://www.zakonyprolidi.cz/cs/2025-409
• Vyhláška č. 410/2025 Sb. (bezpečnostní opatření nižšího režimu): https://www.zakonyprolidi.cz/cs/2025-410
• Směrnice (EU) 2022/2555 (NIS2): CELEX 32022L2555
• Doporučení Komise 2003/361/ES (definice velikosti podniku)
• NÚKIB – odpověď dle zák. 106/1999, č.j. 9246/2025 (stav nařízení vlády k §§ 25–33): https://nukib.gov.cz/download/uredni_deska/odpovedi_106/2025_13_Informace_ke_kyberneticke_bezpecnosti_normativni_akty.pdf

---

Shrnutí

Vyhláška 408/2025 Sb. dělí regulované subjekty na vyšší a nižší režim podle kombinace odvětví a velikosti podniku počítané za celou skupinu. Výchozí pravidlo je: velký podnik → vyšší, střední → nižší. Výjimky existují v obou směrech – výrobní průmysl, potravinářství a chemie jsou zpravidla v nižším režimu i pro velké podniky (s výjimkou výrobců aut a provozovatelů objektů skupiny B), zatímco telco operátoři a klíčoví DNS provideři jsou ve vyšším režimu bez ohledu na velikost. Každá regulovaná služba se posuzuje samostatně. Mechanismus prověřování rizikových dodavatelů zatím čeká na nařízení vlády. Neohlášení je sankcionováno stejně přísně jako porušení povinností vyššího režimu – čekání se nevyplácí.