NIS2 pro výrobní firmy: spadáte pod zákon 264/2025?

Výrobci strojů, elektroniky a aut: proč NIS2 dopadá právě na vás

Pokud vyrábíte stroje, průmyslovou elektroniku, automobily nebo komponenty pro ně, pravděpodobně jste se v posledních měsících setkali s pojmem NIS2. Možná jste si říkali, že jde o záležitost bank, nemocnic nebo energetiky – a výroby se to netýká. Tento článek vám ukáže, proč je tento předpoklad chybný, co přesně zákon po výrobcích chce a jak se na to připravit.

*Tento článek je obecná informace, nikoli individuální právní rada. Pro posouzení konkrétní situace vaší firmy doporučujeme konzultaci s odborníkem nebo rychlou prověrku.*

---

Co platí najisto od 1. 11. 2025

Zákon č. 264/2025 Sb. o kybernetické bezpečnosti je účinný od 1. 11. 2025 a transponuje evropskou směrnici (EU) 2022/2555, známou jako NIS2. Ruší dosavadní zákon č. 181/2014 Sb. i vyhlášku č. 82/2018 Sb. (§ 72, § 73 zák. 264/2025).

Výrobní průmysl je jedním z 15 odvětví, na která zákon explicitně dopadá. Konkrétně jde o odvětví vyjmenovaná v příloze vyhlášky č. 408/2025 Sb. – vedle energetiky, zdravotnictví nebo dopravy tam najdete i výrobní průmysl, potravinářský průmysl a chemický průmysl (§ 4 odst. 1 zák. 264/2025 + příloha vyhl. 408/2025).

---

Kdo z výrobců konkrétně spadá pod zákon

Samotné odvětví nestačí – musíte splnit i velikostní práh. Zákon se vztahuje na středního nebo velkého podnikatele ve smyslu doporučení 2003/361/ES. V praxi to znamená:

• 50 a více osob, nebo
• obrat nad 10 mil. EUR a zároveň bilanční suma nad 10 mil. EUR

Velikost ale není jediná cesta do působnosti: § 4 odst. 1 písm. b) zákona zná i alternativu „nebo je významný pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice“, jejíž podmínky stanoví u každé služby zvlášť příloha vyhlášky č. 408/2025.

Pozor na jedno zásadní pravidlo: velikost se počítá za celou skupinu, tedy včetně partnerských a propojených podniků (§ 4 odst. 1 zák. 264/2025; čl. 2 odst. 1 směrnice (EU) 2022/2555). Dceřiná společnost nadnárodního výrobního holdingu proto nemůže argumentovat tím, že sama o sobě je malá firma.

Které výrobní obory jsou v zákoně

Vyhláška č. 408/2025 Sb. vymezuje výrobní průmysl zejména prostřednictvím klasifikace NACE – konkrétně sekce 26 až 30:

• NACE 26 – výroba počítačů, elektronických a optických přístrojů
• NACE 27 – výroba elektrických zařízení
• NACE 28 – výroba strojů a zařízení
• NACE 29 – výroba motorových vozidel, přívěsů a návěsů
• NACE 30 – výroba ostatních dopravních prostředků

Příklad: Vyrábíte průmyslové roboty (NACE 28) a zaměstnáváte 80 lidí. Splňujete odvětvové i velikostní kritérium – zákon se na vás vztahuje.

Příklad: Jste subdodavatel plastových dílů pro automobilový průmysl, ale vaše NACE je 22 (výroba pryžových a plastových výrobků). Výrobní průmysl dle vyhlášky 408/2025 vás v tomto případě nezachytí – přesto si ověřte, zda vám odběratel nezačne klást smluvní požadavky (viz sekce o dodavatelích níže).

---

Dva režimy povinností: nižší a vyšší

Zákon rozlišuje vyšší a nižší režim povinností – a pro výrobce je toto rozlišení klíčové (§ 8 zák. 264/2025; příloha vyhl. 408/2025).

Nižší režim – pravidlo pro většinu výrobců

Výrobci v NACE 26–30 spadají zpravidla do nižšího režimu, a to i tehdy, jsou-li velkým podnikem. Totéž platí pro potravináře a chemiky. Nižší režim neznamená, že žádné povinnosti nemáte – znamená jen, že jsou méně přísné než ve vyšším režimu.

Vyšší režim – dvě výjimky ve výrobě

Zákon stanoví dvě výjimky, kdy výrobce spadá do přísnějšího, vyššího režimu:

1. Sériový výrobce osobních automobilů (bod 7.4 přílohy vyhl. 408/2025) – pokud sériově vyrábíte osobní auta, jste automaticky v nejvyšším pásmu povinností bez ohledu na to, zda jste střední nebo velký podnik.
2. Provozovatel objektu skupiny B dle zákona o prevenci závažných havárií (bod 9.4 přílohy vyhl. 408/2025) – typicky chemické nebo petrochemické provozy s vysokým rizikem.

Pokud nespadáte do jedné z těchto dvou výjimek, počítejte s nižším režimem.

---

Co nižší režim konkrétně obnáší

Nižší režim není volná jízda. Opatření definuje vyhláška č. 410/2025 Sb. (§ 14 odst. 2 zák. 264/2025) a její § 3 odst. 1 je dělí na dvě skupiny: nepodmíněné jádro podle písm. b) – tedy § 3 odst. 2 až 6, § 4 až 6 a § 10 – a opatření přiměřená bezpečnostním potřebám podle písm. a), kam patří §§ 7 až 9 a 11 až 13. Nezavedení opatření z druhé skupiny musíte písemně odůvodnit v přehledu bezpečnostních opatření.

Organizační minimum

• Vrcholné vedení musí projít prokazatelným školením kybernetické bezpečnosti (§ 4 vyhl. 410/2025; čl. 20 směrnice (EU) 2022/2555).
• Firma musí určit osobu pověřenou kybernetickou bezpečností – nemusí jít o externistu, ale musí být jasně jmenována.
• Musíte vést přehled bezpečnostních opatření s roční aktualizací a uchovávat ho po dobu 4 let. Opatření, která nezavedete, musíte písemně zdůvodnit.

Technické minimum

Vyhláška č. 410/2025 Sb. stanoví konkrétní technické požadavky. Pozor na jejich zařazení: zálohy patří do nepodmíněného jádra (§ 6 písm. c)), zatímco vícefaktorová autentizace a hesla (§ 8), detekce, antimalware a logování (§ 9), segmentace sítě (§ 11) i bezpečnostní aktualizace a skenování zranitelností (§ 12) jsou ve skupině kalibrované rizikem:

• Vícefaktorová autentizace (nebo zero-trust kontinuální ověřování) – přednost před hesly.
• Pokud používáte hesla: minimálně 12 znaků pro běžné uživatele, 17 znaků pro administrátory, 22 znaků pro technické účty.
• Segmentace sítě včetně odděleného zálohovacího prostředí.
• Patch management, pravidelné skeny zranitelností, antimalware.
• Zálohy a logování.

Příklad: Vaše výrobní linka je řízena průmyslovým řídicím systémem (OT/SCADA) připojeným k podnikové síti. Segmentace sítě v tomto kontextu znamená, že OT síť musí být oddělena od IT sítě – a zálohovací prostředí od obou.

---

Co vyšší režim přidává navíc (pro sériové výrobce aut)

Sériový výrobce osobních automobilů čelí výrazně přísnějším požadavkům dle vyhlášky č. 409/2025 Sb. (§ 14 odst. 1 zák. 264/2025; vyhl. 409/2025 §§ 3–27).

Vyšší režim zahrnuje 14 organizačních a 11 technických opatření, mimo jiné:

• Zavedení ISMS (systém řízení bezpečnosti informací).
• Formální analýza rizik a plán jejich zvládání.
• Audit kybernetické bezpečnosti.
• Řízení změn, řízení dodavatelů s evidencí významných dodavatelů a hodnocením rizik.
• Čtyři bezpečnostní role: manažer KB, architekt KB, garant aktiv, auditor KB (§§ 4, 5 vyhl. 409/2025).
• Zřízení výboru kybernetické bezpečnosti.

Osobní postih: u vyššího režimu může NÚKIB při opakovaném nebo závažném porušení dočasně zakázat členovi statutárního orgánu výkon funkce. Zákaz trvá nejméně 6 měsíců a zapisuje se do obchodního rejstříku. Výkon funkce navzdory zákazu je pokutován až 20 mil. Kč (§ 56 odst. 1, § 58 zák. 264/2025).

---

Hlášení incidentů: lhůty, které nelze ignorovat

Povinnost hlásit kybernetické incidenty platí pro oba režimy – liší se jen adresát (§ 15 odst. 1–3, § 16 odst. 1, 3, 4 zák. 264/2025; čl. 23 směrnice (EU) 2022/2555):

• Prvotní hlášení do 24 hodin od zjištění incidentu.
• Oznámení do 72 hodin při incidentu s významným dopadem.
• Závěrečná zpráva do 30 dnů od předložení 72hodinového oznámení.
• Vyšší režim hlásí přímo NÚKIBu, nižší režim Národnímu CERT (pouze incidenty s významným dopadem).
• Hlásí se incidenty, které se projevily ve stanoveném rozsahu, mají původ v kybernetickém prostoru a nelze u nich vyloučit úmyslné zavinění (§ 15 odst. 1 a 2 zákona).

Podává se přes Portál NÚKIB; není-li z důvodů nezávislých na vaší vůli dostupný, zákon připouští e-mail nebo datovou schránku příslušného orgánu (§ 16 odst. 4).

---

Dodavatelé: nepřímý dopad, ale reálné smluvní požadavky

Dodavatelé regulovaných subjektů nejsou přímo regulováni zákonem – ale dostanou požadavky smluvně (§ 13 odst. 5 zák. 264/2025; § 3 odst. 5 vyhl. 410/2025; § 9 vyhl. 409/2025).

Pokud jste subdodavatel výrobce, který sám pod NIS2 spadá, musí vám tento odběratel vložit do smlouvy bezpečnostní požadavky:

• Nižší režim: rozsah požadavků dle přílohy 2 vyhlášky č. 410/2025.
• Vyšší režim: evidence jako významný dodavatel, písemná notifikace, hodnocení rizik, náležitosti smluv dle přílohy 5 vyhlášky č. 409/2025.

Mechanismus prověřování bezpečnosti celého dodavatelského řetězce (§§ 25 až 33 zák. 264/2025 – strategicky významné služby, podmínky a zákazy pro rizikové dodavatele) je zatím neaktivní. Stojí na dvou nařízeních vlády – podle § 25 a podle § 27 odst. 4. Oba návrhy šly do mezirezortního připomínkového řízení 30. 5. 2025 a k 7. srpnu 2026 se nám jejich vyhlášení ve Sbírce zákonů nepodařilo dohledat – mezi vydanými prováděcími předpisy k zákonu nejsou a NÚKIB o jejich vydání neinformoval. Stav si ověřte u zdroje; jde o údaj, který se může změnit ze dne na den.

---

Registrace a sankce: co hrozí za nečinnost

Ohlášení regulované služby NÚKIBu je povinné do 60 dnů od naplnění podmínek (§ 6 odst. 1 zák. 264/2025). Subjekty, které podmínky splnily k 1. 11. 2025, měly lhůtu do 31. 12. 2025. K 8. 2. 2026 bylo ohlášeno přibližně 4 825 subjektů z odhadovaných přibližně 6 000 – zhruba tisíc subjektů je dle dopočtu z odhadu NÚKIB v prodlení. Datum 31. 12. 2025 není zvláštní přechodné ustanovení – je to 60 dnů podle § 6 odst. 1 od účinnosti zákona.

Po doručení rozhodnutí o registraci:

• Kontaktní a doplňující údaje doplníte do 30 dnů (§ 11 odst. 1 zák.).
• Změny hlásíte do 14 dnů (§ 11 odst. 2 zák.).
• Bezpečnostní opatření a povinnost hlásit incidenty nabíhají do 1 roku od doručení rozhodnutí – pro první vlnu tedy přibližně v průběhu roku 2026 až začátkem roku 2027 (§ 13 odst. 4, § 15 odst. 4 zák.).

Sankce

• Nižší režim, jádro povinností: až 175 mil. Kč nebo 1,4 % čistého celosvětového ročního obratu (vyšší z obou).
• Vyšší režim, jádro povinností: až 250 mil. Kč nebo 2 % obratu.
• Pásma nejsou jen dvě – § 59 odst. 4 zná ještě 100 mil., 50 mil. a 35 mil. Kč pro vyjmenované skutkové podstaty.
• Neohlášení služby: až 250 mil. Kč nebo 2 % obratu – i pro subjekt nižšího režimu (§ 59 odst. 4, § 60 zák. 264/2025).

---

Akční plán 30/60/90 dní

Do 30 dnů – zjistěte, kde stojíte

1. Ověřte NACE kód vaší firmy a porovnejte ho s přílohou vyhlášky č. 408/2025 Sb.
2. Spočítejte velikost za celou skupinu (zaměstnanci, obrat, bilance) – ne jen za právnickou osobu samotnou.
3. Pokud splňujete odvětvové i velikostní kritérium a ještě jste neohlásili: podejte ohlášení přes Portál NÚKIB co nejdříve – jste pravděpodobně v prodlení.
4. Určete, zda jste sériový výrobce osobních automobilů nebo provozovatel objektu skupiny B – pokud ano, počítejte s vyšším režimem.

Do 60 dnů – připravte organizační základ

1. Jmenujte osobu pověřenou kybernetickou bezpečností (nižší režim) nebo zahajte budování čtyř bezpečnostních rolí (vyšší režim).
2. Zajistěte prokazatelné školení kybernetické bezpečnosti pro vrcholné vedení.
3. Zmapujte klíčová aktiva (IT systémy, OT/řídicí systémy, data) a začněte sestavovat přehled bezpečnostních opatření.

Do 90 dnů – technická opatření a dodavatelé

1. Zaveďte nebo ověřte vícefaktorovou autentizaci pro přístupy do klíčových systémů.
2. Zkontrolujte segmentaci sítě – zejména oddělení OT od IT a zálohovacího prostředí.
3. Projděte smlouvy s klíčovými dodavateli a identifikujte, kde chybí bezpečnostní doložky dle přílohy 2 vyhl. 410/2025 (nižší režim) nebo přílohy 5 vyhl. 409/2025 (vyšší režim).
4. Nastavte interní postup pro hlášení incidentů – kdo, co, do kdy, přes jaký kanál.

---

Časté omyly

Omyl 1: „Výroba pod NIS2 nespadá, to je pro IT firmy a banky.“

Výrobní průmysl (NACE 26–30) je explicitně jedním z 15 odvětví zákona č. 264/2025 Sb. Zákon se vztahuje na každého středního a velkého výrobce v těchto oborech – bez výjimky.

Omyl 2: „Jsme velký výrobce, takže musíme plnit vyšší režim.“

Většina výrobců v NACE 26–30 spadá do nižšího režimu i tehdy, jsou-li velkým podnikem. Vyšší režim se ve výrobě týká pouze sériových výrobců osobních automobilů a provozovatelů objektů skupiny B dle zákona o prevenci závažných havárií (příloha vyhl. 408/2025, body 7.4 a 9.4).

Omyl 3: „Naši dodavatelé NIS2 neřeší, to je jejich věc.“

Jako regulovaný subjekt jste povinni bezpečnostní požadavky vložit do smluv s dodavateli. Pokud to neuděláte, porušujete zákon – bez ohledu na to, co dělá nebo nedělá váš dodavatel.

---

Zdroje

• Zákon č. 264/2025 Sb. o kybernetické bezpečnosti: https://www.zakonyprolidi.cz/cs/2025-264
• Vyhláška č. 408/2025 Sb. (odvětví a velikostní kritéria): https://www.zakonyprolidi.cz/cs/2025-408
• Vyhláška č. 409/2025 Sb. (opatření vyššího režimu): https://www.zakonyprolidi.cz/cs/2025-409
• Vyhláška č. 410/2025 Sb. (opatření nižšího režimu): https://www.zakonyprolidi.cz/cs/2025-410
• Směrnice (EU) 2022/2555 (NIS2): CELEX 32022L2555
• Doporučení Komise 2003/361/ES (definice MSP): použito pro velikostní práh

---

Shrnutí

Výrobní průmysl – stroje, elektronika, auta – je plnohodnotnou součástí NIS2 regulace v České republice od 1. 11. 2025. Pokud zaměstnáváte 50 a více lidí nebo překračujete obratový práh, a vaše NACE kód odpovídá sekcím 26–30, zákon se na vás vztahuje. Většina výrobců plní nižší režim povinností – s výjimkou sériových výrobců osobních automobilů a provozovatelů rizikových chemických objektů, kteří mají přísnější vyšší režim. Klíčové kroky jsou tři: ohlásit se NÚKIBu (pokud jste tak ještě neučinili), jmenovat odpovědnou osobu a zavést technické minimum do jednoho roku od doručení rozhodnutí o registraci. Neohlášení je nejdražší chybou – hrozí stejná sankce jako za porušení vyššího režimu.

Pro rychlé ověření, zda a jak přesně se zákon týká vaší firmy, využijte rychlou prověrku.