zákon č. 264/2025 Sb. – cz_par_12 (§ 12 zák. č. 264/2025 Sb.; § 2 odst. 1 písm. c) až f))

Každý poskytovatel regulované služby (vyšší i nižší režim) vymezuje stanovený rozsah řízení kybernetické bezpečnosti: určí všechna svá primární aktiva (informace a služby), posoudí, zda souvisejí s regulovanou službou, a k nim určí podpůrná aktiva (zaměstnanci, dodavatelé, technika, budovy) (§ 12 odst. 2). Eviduje aktiva ve stanoveném rozsahu i primární aktiva z něj vyjmutá včetně důvodu vyjmutí (§ 12 odst. 3). Dokud aktivum není posouzeno, platí, že do stanoveného rozsahu patří (§ 12 odst. 4). Rozsah musí pravidelně přezkoumávat a aktualizovat (§ 12 odst. 5). Bezpečnostní opatření i hlášení incidentů se vztahují jen na stanovený rozsah. Za neurčení, neposouzení nebo neevidování aktiv hrozí pokuta až 250 mil. Kč / 2 % (vyšší) resp. 175 mil. Kč / 1,4 % (nižší) (§ 59 odst. 1 a 2 písm. c) až e)).