Spadáte pod NIS2? Rozhodovací strom krok za krokem

Spadáte pod nový zákon o kybernetické bezpečnosti? Rozhodovací strom

Zákon č. 264/2025 Sb. je účinný od 1. 11. 2025 a přináší povinnosti kybernetické bezpečnosti pro tisíce českých firem, které dosud žádnou regulaci v této oblasti neznaly. Problém je, že většina dostupných materiálů buď straší všechny, nebo uklidňuje ty, kteří by měli jednat. Tento článek vám dá přesný rozhodovací strom – tři otázky, jasná odpověď, konkrétní kroky.

Tento článek je obecná informace, nikoli individuální právní rada. Pokud si výsledkem nejste jisti, nechte si situaci prověřit – například přes rychlou prověrku.

---

Co platí najisto od 1. 11. 2025

Zákon č. 264/2025 Sb. je platný a účinný. Ruší zákon č. 181/2014 Sb. i vyhlášku č. 82/2018 Sb. a transponuje evropskou směrnici (EU) 2022/2555, známou jako NIS2. Nejde o návrh, nejde o přechodné období – zákon platí a lhůty běží.

Klíčové prováděcí předpisy, na které zákon odkazuje, jsou rovněž vydány:

• Vyhláška č. 408/2025 Sb. – definuje 15 odvětví a konkrétní typy regulovaných služeb.
• Vyhláška č. 334/2025 Sb. – upravuje formát ohlášení přes Portál NÚKIB.
• Vyhláška č. 409/2025 Sb. – bezpečnostní opatření vyššího režimu.
• Vyhláška č. 410/2025 Sb. – bezpečnostní opatření nižšího režimu.

Jeden mechanismus zatím neběží: prověřování bezpečnosti dodavatelského řetězce podle §§ 25 až 33 zákona (strategicky významné služby, podmínky a zákazy pro rizikové dodavatele) je neaktivní. Zákon jej totiž staví na dvou nařízeních vlády – na nařízení, kterým vláda podle § 25 stanoví, které služby jsou strategicky významné, a na nařízení se seznamem nepominutelných funkcí podle § 27 odst. 4. Oba návrhy šly do mezirezortního připomínkového řízení 30. 5. 2025 a k 7. srpnu 2026 se nám jejich vyhlášení ve Sbírce zákonů nepodařilo dohledat – NÚKIB o jejich vydání neinformoval a mezi vydanými prováděcími předpisy k zákonu nejsou. Bez nařízení vlády není určeno, které služby jsou strategicky významné, takže se povinnosti §§ 26 až 33 nespouštějí. Stav si ověřte u zdroje – jde o údaj, který se může změnit ze dne na den.

---

Rozhodovací strom: tři otázky, jedna odpověď

Celý test se skládá ze tří kroků. Projděte je v pořadí – pokud na kteroukoli otázku odpovíte „ne“, zákon se vás (zatím) netýká.

Krok 1: Poskytujete službu v některém z 15 odvětví?

Zákon reguluje poskytovatele služeb, nikoli firmy jako takové. Patnáct odvětví vyjmenovává přímo § 4 odst. 1 písm. a) zákona; konkrétní služby v nich a podmínky významnosti poskytovatele pak stanoví příloha vyhlášky č. 408/2025 Sb. (§ 4 odst. 2 zákona). Pozor na běžný zdroj zmatku: zákon zná 15 odvětví, ale příloha vyhlášky je člení do 22 sekcí – energetika je rozdělena na elektřinu, ropu, zemní plyn, teplárenství a vodík, doprava na leteckou, drážní, námořní a vodní a silniční. Odvětví jsou tato:

1. Veřejná správa
2. Energetika
3. Výrobní průmysl (NACE kódy 26–30 a další dle přílohy)
4. Potravinářský průmysl
5. Chemický průmysl
6. Vodní hospodářství
7. Odpadové hospodářství
8. Doprava
9. Digitální infrastruktura a služby
10. Finanční trh
11. Zdravotnictví
12. Věda, výzkum a vzdělávání
13. Poštovní a kurýrní služby
14. Obranný průmysl
15. Vesmírný průmysl

Pokud vaše firma neposkytuje žádnou službu, která by spadala do některého z těchto odvětví, zákon se vás jako povinné osoby přímo netýká. Pozor ale na nepřímý dopad – viz sekci o dodavatelích níže.

Příklad: Provozujete e-shop s elektronikou a zároveň vlastní e-commerce platformu, na které prodávají i třetí strany (online tržiště). Online tržiště spadá do sekce 16 přílohy vyhlášky č. 408/2025 – odvětví digitálních služeb. Krok 1 splněn, pokračujte na krok 2.

Krok 2: Jste střední nebo velký podnik?

Základní velikostní práh vychází z doporučení Evropské komise 2003/361/ES (čl. 2 odst. 1 směrnice (EU) 2022/2555). Střední podnik splňuje alespoň jednu z podmínek:

• 50 a více osob, nebo
• obrat nad 10 mil. EUR a zároveň bilanční suma nad 10 mil. EUR.

Zásadní detail, který většina firem přehlíží: velikost se počítá za celou skupinu – tedy včetně partnerských a propojených podniků. Pokud jste dceřiná společnost většího holdingu, počítají se osoby a obrat skupiny, nikoli jen vaší entity.

Zákon k tomu ale přidává vlastní odchylky od doporučení 2003/361/ES (§ 7 zákona), na které se často zapomíná:

• čl. 3 odst. 4 doporučení (vyloučení podniků vlastněných veřejnými subjekty z kategorie MSP) se neuplatní,
• za podnik se nepovažují organizační složky státu, územní samosprávné celky a Česká národní banka,
• za partnerský ani propojený podnik se nepovažuje osoba, jejíž technická aktiva jsou zcela oddělena od technických aktiv, která používáte při poskytování regulované služby – tohle je reálná úleva pro holdingy s oddělenou IT infrastrukturou,
• v odvětví věda, výzkum a vzdělávání se pravidla o velikosti použijí obdobně i na subjekty, které podnikem nejsou.

⚠ Velikost ale není jediná brána do působnosti. § 4 odst. 1 písm. b) zákona zní: poskytovatel služby „je středním nebo velkým podnikem …, nebo je významný pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice“. Podmínky té významnosti stanoví Úřad vyhláškou (§ 4 odst. 2) – a příloha vyhlášky č. 408/2025 je určuje u každé služby zvlášť. U řady služeb velikost podniku vůbec nepoužívá: v sekci 1 (veřejná správa) je rozhodující typ orgánu, jinde držení licence, počet uživatelů nebo provozovaný typ zařízení.

Prakticky to znamená: být pod velikostním prahem není samo o sobě odpověď „netýká se mě“. Vždy si najděte svou konkrétní službu v příloze vyhlášky č. 408/2025 a přečtěte si sloupec „Podmínky významnosti poskytovatele regulované služby a jeho režim“. Teprve ten rozhoduje.

Krok 3: Existuje výjimka nebo zvláštní kategorie?

Některé subjekty spadají pod zákon bez ohledu na velikost (§ 5 zákona; řízení lze zahájit pouze z moci úřední – § 6 odst. 3). Podmínky jsou čtyři a první z nich má sama čtyři varianty:

• § 5 písm. a) – jde o službu v některém z 15 odvětví a zároveň platí alespoň jedno z toho, že (1) jste jejím jediným poskytovatelem v ČR a je zásadní pro kritické společenské nebo ekonomické činnosti nebo pro bezpečnost, (2) její narušení by mohlo mít významný dopad na bezpečnost ČR, vnitřní pořádek nebo život a zdraví, (3) její narušení by mohlo vyvolat významná systémová rizika, zejména s přeshraničním dopadem, nebo (4) jste kvůli specifickému významu na regionální či celostátní úrovni zásadní pro své odvětví, typ služby nebo pro jiná propojená odvětví.
• § 5 písm. b) – narušení služby může způsobit závažný zásah do života více než 125 000 osob, a to prostřednictvím ohrožení bezpečnosti ČR, vnitřního pořádku, života a zdraví, majetkové hodnoty nebo životního prostředí.
• § 5 písm. c) – narušení služby může závažně zasáhnout do schopnosti poskytovat jinou regulovanou službu poskytovatele v režimu vyšších povinností. (Tuto variantu články o NIS2 obvykle vynechávají – týká se dodavatelů uvnitř regulovaného řetězce.)
• § 5 písm. d) – jste subjektem kritické infrastruktury podle předpisů o krizovém řízení.

Kdo je registrován podle § 5, je vždy v režimu vyšších povinností (§ 8 odst. 3 zákona).

Bez velikostního prahu dále spadají (příloha vyhlášky č. 408/2025, sekce 16):

• Provozovatel rekurzivního nebo autoritativního DNS pro více než 10 000 domén – vyšší režim.
• Správce domény nejvyšší úrovně (TLD) – vyšší režim.
• Registrátor domén.cz s více než 100 000 doménami – nižší režim.
• Poskytovatel kvalifikovaných služeb vytvářejících důvěru a elektronické identifikace – vyšší režim.
• Telekomunikační operátor – vyšší režim již jako střední podnik.

---

Dva režimy povinností: vyšší a nižší

Pokud jste prošli všemi třemi kroky a zákon se vás týká, zařadíte se do jednoho ze dvou režimů. Konkrétní zařazení určuje příloha vyhlášky č. 408/2025 per typ služby (§ 8 zákona).

Zákonné kritérium je v § 8 odst. 1: ve vyšším režimu je poskytovatel, který je z důvodu své velikosti, počtu uživatelů, geografického rozšíření služby, dopadu na fungování odvětví nebo jiného poskytovatele anebo rizikovosti provozu značně ekonomicky, společensky nebo bezpečnostně významný pro Českou republiku; kdo tomu neodpovídá, je v nižším režimu. Rozdělení pak podle § 8 odst. 2 stanoví Úřad vyhláškou.

V praxi příloha vyhlášky č. 408/2025 u většiny odvětví používá čáru velký podnik → vyšší režim, střední podnik → nižší režim. Není to ale univerzální pravidlo – u části služeb vyhláška velikost nepoužívá vůbec a rozhoduje typ subjektu nebo provozovaného zařízení.

Výjimky ve výrobním průmyslu a příbuzných odvětvích: Výrobní průmysl (NACE 26–30), potravinářský a chemický průmysl jsou zpravidla zařazeny pouze do nižšího režimu – a to i pro velké podniky. Existují dvě výjimky, kdy velký výrobce padá do vyššího režimu:

• Sériový výrobce osobních automobilů (bod 7.4 přílohy vyhlášky č. 408/2025).
• Provozovatel objektu skupiny B podle zákona o prevenci závažných havárií (bod 9.4 přílohy).

Online tržiště, vyhledávače a sociální platformy (body 16.15–16.17 přílohy) jsou vždy jen v nižším režimu, bez ohledu na velikost.

Co znamená vyšší režim v praxi

Vyšší režim (vyhláška č. 409/2025) zahrnuje 14 organizačních a 11 technických opatření: zavedení ISMS, analýzu rizik s plánem zvládání, audit kybernetické bezpečnosti, řízení změn, řízení dodavatelů, opatření pro OT a průmyslová aktiva, detekci, logování, kryptografii a další (§§ 3–27 vyhlášky č. 409/2025). Vrcholné vedení musí zřídit výbor kybernetické bezpečnosti a čtyři bezpečnostní role: manažer, architekt, garant aktiv a auditor kybernetické bezpečnosti.

Co znamená nižší režim v praxi

Nižší režim upravuje vyhláška č. 410/2025 Sb. a její § 3 odst. 1 dělí opatření na dvě skupiny – pozor, jde přesně naopak, než se obvykle píše:

• Nepodmíněné jádro (§ 3 odst. 1 písm. b): opatření podle § 3 odst. 2 až 6, § 4 až 6 a § 10 vyhlášky. Tedy: přehled bezpečnostních opatření podle přílohy č. 1 s roční aktualizací a uchováním 4 roky, bezpečnostní politika a dokumentace, řízení aktiv, požadavky na dodavatele podle přílohy č. 2, akvizice a vývoj, požadavky na vrcholné vedení, bezpečnost lidských zdrojů, řízení kontinuity činností včetně záloh a řešení kybernetických bezpečnostních incidentů. Tato opatření zavádíte vždy.
• Přiměřená bezpečnostním potřebám (§ 3 odst. 1 písm. a): řízení přístupu (§ 7), řízení identit a jejich oprávnění včetně vícefaktorové autentizace a hesel (§ 8), detekce a zaznamenávání událostí (§ 9), bezpečnost komunikačních sítí (§ 11), aplikační bezpečnost (§ 12) a kryptografické algoritmy (§ 13). Zavádíte je v rozsahu odpovídajícím vašim bezpečnostním potřebám – a nezavedení každého z nich musíte písemně odůvodnit v přehledu opatření.

Vícefaktorová autentizace a minimální délky hesel (12 znaků uživatel, 17 administrátor, 22 technický účet) tedy nejsou nepodmíněným jádrem, ale opatřením kalibrovaným rizikem. To ovšem neznamená, že je lze vynechat bez následku – nezavedení musíte umět obhájit písemně a NÚKIB si odůvodnění může vyžádat.

---

Termíny, které nesmíte promeškat

Ohlášení regulované služby NÚKIB probíhá výlučně elektronicky přes Portál NÚKIB ve formátu dle vyhlášky č. 334/2025 Sb. Lhůta je 60 dnů od naplnění podmínek (§ 6 odst. 1 zákona). Pro první vlnu – subjekty, které splnily podmínky k 1. 11. 2025 – byla lhůta do 31. 12. 2025.

K 8. 2. 2026 bylo podle NÚKIB ohlášeno přibližně 4 825 subjektů z odhadovaných zhruba 6 000 (novější číslo k 7. 8. 2026 nemáme – ověřte si aktuální stav u NÚKIB). Podle dopočtu z odhadu NÚKIB je tedy přibližně 1 100–1 200 subjektů v prodlení. Pokud jste neohlásili a podmínky splňujete, jste v prodlení – jednejte okamžitě.

Po doručení rozhodnutí o registraci (§ 11 odst. 1 a 2 zákona):

• Kontaktní a doplňující údaje doplníte do 30 dnů.
• Změny v základních údajích hlásíte do 14 dnů.
• Bezpečnostní opatření a povinnost hlásit incidenty nabíhají do 1 roku od doručení rozhodnutí – pro první vlnu tedy přibližně v průběhu roku 2026 až začátkem roku 2027.

---

Sankce: co vám hrozí konkrétně

Sankce jsou nastaveny tak, aby bolely i velké firmy (§ 59 odst. 4, § 60 zákona):

• Vyšší režim, jádro povinností (§ 59 odst. 1 písm. a), c) až m) a o)): až 250 mil. Kč nebo 2 % čistého celosvětového ročního obratu podniku, jehož je obviněný součástí – platí vyšší z obou hodnot.
• Nižší režim, jádro povinností (§ 59 odst. 2 písm. a), c) až m) a o)): až 175 mil. Kč nebo 1,4 %.
• Neohlášení regulované služby (§ 60 odst. 1 písm. a) ve spojení s odst. 7 písm. a)): až 250 mil. Kč nebo 2 % – a to i pro subjekt, který by jinak patřil do nižšího režimu.
• Ne všechna pochybení mají ale stejný strop. Zákon má u poskytovatele regulované služby pět pásem (§ 59 odst. 4): vedle 250 a 175 milionů jsou to 100 mil. Kč (nenahlášení kontaktních a doplňujících údajů podle § 11 u vyššího režimu), 50 mil. Kč (neoznámení provedení reaktivního protiopatření u vyššího režimu, opatření u nižšího režimu podle § 18 odst. 1) a 35 mil. Kč.

Osobní postih statutárního orgánu: NÚKIB může členovi statutárního orgánu subjektu vyššího režimu dočasně zakázat výkon funkce, pokud opakované nebo závažné porušení jeho povinností zmařilo splnění nápravného rozhodnutí Úřadu (§ 56 odst. 1, § 58 zákona). Zákaz trvá nejméně 6 měsíců, zapisuje se do obchodního rejstříku. Výkon funkce navzdory zákazu je pokutován až 20 mil. Kč.

---

Jste dodavatel regulované firmy? Přímá regulace se vás netýká – ale nepřímá ano

Dodavatelé regulovaných subjektů nejsou přímo povinnou osobou podle zákona č. 264/2025 Sb. Regulovaný odběratel vám ale povinnosti přenáší smluvně (§ 13 odst. 5 zákona, § 3 odst. 5 vyhlášky č. 410/2025, § 9 vyhlášky č. 409/2025):

• Nižší režim: odběratel vkládá do smluv požadavky dle přílohy 2 vyhlášky č. 410/2025.
• Vyšší režim: odběratel vede evidenci významných dodavatelů, zasílá písemné notifikace, provádí hodnocení rizik a sjednává smluvní náležitosti dle přílohy 5 vyhlášky č. 409/2025.

Prakticky to znamená: pokud dodáváte IT služby, cloudové řešení, facility management nebo jiné klíčové služby regulované firmě, dostanete od ní smluvní požadavky na kybernetickou bezpečnost. Nepřipravenost vás může stát zakázku.

---

Akční plán 30/60/90 dní

Prvních 30 dní – zjistěte, kde stojíte:

1. Projděte rozhodovací strom výše a určete, zda poskytujete službu v některém z 15 odvětví.
2. Ověřte skutečnou velikost firmy za skupinu (zaměstnanci, obrat, bilance) – nezapomeňte na partnerské a propojené podniky.
3. Pokud podmínky splňujete a dosud jste neohlásili, ohlaste regulovanou službu přes Portál NÚKIB neprodleně – jste v prodlení.
4. Pokud si nejste jisti zařazením, nechte si situaci prověřit – například přes rychlou prověrku.

31.–60. den – připravte organizační základ:

1. Určete osobu pověřenou kybernetickou bezpečností (nižší režim) nebo zahajte zřizování výboru a čtyř bezpečnostních rolí (vyšší režim).
2. Zajistěte prokazatelné školení kybernetické bezpečnosti pro vrcholné vedení.
3. Zmapujte klíčová aktiva a zahajte přípravu přehledu bezpečnostních opatření.

61.–90. den – technická opatření a procesy:

1. Zaveďte vícefaktorovou autentizaci na všechny kritické systémy.
2. Nastavte správu hesel dle minimálních délek (12/17/22 znaků dle role).
3. Ověřte segmentaci sítě a oddělení zálohovacího prostředí.
4. Nastavte proces hlášení incidentů – prvotní hlášení do 24 hodin, oznámení do 72 hodin, závěrečná zpráva do 30 dnů od 72h oznámení (§ 15 odst. 1–3 zákona).
5. Pro každé opatření, které nezavádíte, připravte písemné zdůvodnění.

---

Časté omyly

Omyl 1: „Jsme malá firma, nás se to netýká.“

Velikost se počítá za celou skupinu. Pokud jste součástí holdingu nebo máte propojené podniky, může skupina jako celek překročit práh 50 zaměstnanců nebo obratový limit – a vy jako poskytovatel regulované služby v rámci skupiny spadáte pod zákon. Ověřte konsolidovanou velikost, ne jen vlastní entitu.

Omyl 2: „Výrobní firma do NIS2 nespadá.“

Výrobní průmysl je jedním z 15 odvětví. Pokud vyrábíte produkty spadající pod NACE kódy vymezené v příloze vyhlášky č. 408/2025 a jste střední nebo velký podnik, zákon se vás týká – zpravidla v nižším režimu. Výjimkou jsou sériový výrobce osobních automobilů a provozovatel objektu skupiny B dle zákona o prevenci závažných havárií, kteří spadají do vyššího režimu.

Omyl 3: „Dodavatelé regulovaných firem jsou mimo zákon.“

Přímá regulace se dodavatelů netýká – ale smluvní přenos povinností ano. Regulovaný odběratel je ze zákona povinen vkládat bezpečnostní požadavky do smluv s dodavateli. Pokud jako dodavatel tyto požadavky nesplníte, riskujete ztrátu zakázky, nikoli pokutu od NÚKIB. Připravte se na to, že zákazníci budou tyto požadavky vyžadovat stále důsledněji.

---

Zdroje

• Zákon č. 264/2025 Sb. o kybernetické bezpečnosti (§ 1, § 4–8, § 11, § 13, § 15–16, § 56, § 58–60, § 71–73): https://www.zakonyprolidi.cz/cs/2025-264
• Vyhláška č. 408/2025 Sb. – odvětví a typy regulovaných služeb: https://www.zakonyprolidi.cz/cs/2025-408
• Vyhláška č. 409/2025 Sb. – bezpečnostní opatření vyššího režimu: https://www.zakonyprolidi.cz/cs/2025-409
• Vyhláška č. 410/2025 Sb. – bezpečnostní opatření nižšího režimu: https://www.zakonyprolidi.cz/cs/2025-410
• Vyhláška č. 334/2025 Sb. – Portál NÚKIB a požadavky na vybrané úkony: https://www.zakonyprolidi.cz/cs/2025-334
• Směrnice (EU) 2022/2555 (NIS2): CELEX 32022L2555
• Doporučení Komise 2003/361/ES – definice velikosti podniku: CELEX 32003H0361
• NÚKIB – odpověď dle zákona č. 106/1999 Sb., č.j. 9246/2025 (stav prováděcích aktů k §§ 25–33): https://nukib.gov.cz/download/uredni_deska/odpovedi_106/2025_13_Informace_ke_kyberneticke_bezpecnosti_normativni_akty.pdf

---

Shrnutí

Zákon č. 264/2025 Sb. platí od 1. 11. 2025. Týká se vás, pokud poskytujete službu v některém z 15 odvětví podle § 4 odst. 1 písm. a) zákona a zároveň u ní splníte podmínky významnosti, které pro tu konkrétní službu stanoví příloha vyhlášky č. 408/2025. U většiny služeb je tou podmínkou velikost středního nebo velkého podniku počítaná za skupinu – u řady jiných ale velikost nerozhoduje vůbec. Být pod velikostním prahem tedy sám o sobě neznamená, že se vás zákon netýká. Lhůta pro ohlášení první vlny subjektů uplynula 31. 12. 2025 – pokud jste neohlásili a podmínky splňujete, jste v prodlení a hrozí vám pokuta až 250 mil. Kč nebo 2 % čistého celosvětového obratu. Bezpečnostní opatření musíte zavést do 1 roku od doručení rozhodnutí o registraci. Dodavatelé nejsou přímo regulováni, ale povinnosti na ně přenáší odběratel smluvně. Pokud si výsledkem rozhodovacího stromu nejste jisti, využijte rychlou prověrku.