Kybernetická bezpečnost a kritická infrastruktura

Koho zákon zasahuje: regulovaná služba místo kritické infrastruktury

Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, platí od 1. listopadu 2025 a nahradil dosavadní zákon č. 181/2014 Sb. Vedení firmy z něj potřebuje vědět hlavně jedno: povinnosti se už neváží k tomu, zda firma provozuje kritickou informační infrastrukturu, ale k tomu, zda poskytuje regulovanou službu. Regulovanou službou je služba, o které tak rozhodne Národní úřad pro kybernetickou a informační bezpečnost (dále jen Úřad) rozhodnutím o registraci.

Podmínky registrace splní služba v jednom z patnácti odvětví, jejíž poskytovatel je středním nebo velkým podnikem. Vedle veřejné správy, energetiky, dopravy, zdravotnictví a digitální infrastruktury zákon jmenuje i výrobní, potravinářský a chemický průmysl, vodní a odpadové hospodářství, finanční trh, vědu a vzdělávání, poštovní a kurýrní služby a obranný a vesmírný průmysl (§ 4). Okruh dotčených firem je proto výrazně širší, než jak se o kritické infrastruktuře obvykle uvažuje.

Rozhodující ale není samotné odvětví. Konkrétní seznam služeb, podmínky významnosti poskytovatele i rozdělení poskytovatelů do režimů vyšších a nižších povinností stanoví vyhláška č. 408/2025 Sb., o regulovaných službách, účinná rovněž od 1. listopadu 2025. Firma proto nemá vycházet jen z výčtu odvětví v zákoně, ale musí svou činnost porovnat s přílohou vyhlášky, kde je u služeb uvedeno i to, do jakého režimu jejich poskytovatel patří.

Velikost podniku se posuzuje podle doporučení Komise 2003/361/ES, ale se zákonnými odchylkami. Pro skupiny firem je podstatné, že se za partnerský nebo propojený podnik nepovažuje osoba, jejíž technická aktiva jsou zcela oddělena od aktiv, která posuzovaná firma používá při poskytování služby (§ 7). Holding s odděleným IT tak může vyjít jako menší podnik, než by odpovídalo konsolidovaným číslům, oddělení ale musí být skutečné a doložitelné.

Zvláštní kategorii tvoří subjekty kritické infrastruktury. Služba odpovídající prvku kritické infrastruktury splňuje podmínky registrace vždy, bez ohledu na velikost poskytovatele, a ten je automaticky v režimu vyšších povinností (§ 5 písm. d) a § 8 odst. 3). Řízení o takové registraci zahajuje jen Úřad z moci úřední. Na zákon o kybernetické bezpečnosti tu navazuje zákon č. 266/2025 Sb., o kritické infrastruktuře, a oba režimy je potřeba řídit společně.

Zákon zároveň ustupuje odvětvovým předpisům Evropské unie. Pokud přímo použitelný předpis EU nebo zákon, který předpis EU zapracovává, ukládá povinnosti k bezpečnostním opatřením nebo hlášení incidentů alespoň se srovnatelným účinkem, příslušná ustanovení zákona se neuplatní, a to včetně dozoru (§ 70); typicky jde o finanční sektor. Širší přehled změn nabízí text o novém zákoně o kybernetické bezpečnosti.

Lhůty od ohlášení po zavedení opatření

Povinnosti nezačínají pro všechny firmy stejným dnem. Lhůty běží u každého poskytovatele individuálně a navazují na sebe: první se počítá od okamžiku, kdy firma splnila podmínky registrace, další od doručení rozhodnutí Úřadu. Firma, která si splnění podmínek nevšimne, proto neztrácí jen čas na přípravu, ale porušuje povinnost už v první fázi, kdy o regulaci ještě vůbec neví.

Prvním krokem je ohlásit službu Úřadu nejpozději do 60 dnů ode dne, kdy splnila podmínky registrace (§ 6 odst. 1). Úřad pak o registraci rozhodne, a může tak učinit i bez ohlášení, jsou-li podmínky splněny. Rozhodnutí může být prvním úkonem v řízení a rozklad proti němu nemá odkladný účinek, takže firma se o své nové roli může dozvědět až z doručeného rozhodnutí.

Neohlášení služby přitom není jen formální chyba. Zákon ho výslovně označuje za přestupek a umožňuje za něj uložit pokutu až 250 milionů Kč nebo 2 % čistého celosvětového ročního obratu podniku, podle toho, která částka je vyšší (§ 60 zákona o kybernetické bezpečnosti). Jde o stejnou horní hranici, jaká platí za nezavedení bezpečnostních opatření v režimu vyšších povinností.

Po doručení rozhodnutí běží dvě další lhůty. Do 30 dnů firma hlásí kontaktní údaje osob oprávněných jednat ve věcech zákona a doplňující údaje o vlastnické struktuře, technické údaje o službě a informace o jejím geografickém rozšíření, jejich změny pak do 14 dnů (§ 11). Nejpozději do 1 roku od doručení musí začít zavádět bezpečnostní opatření a plnit povinnost hlásit incidenty (§ 13 odst. 4 a § 15 odst. 4).

Firmy, které byly regulovány už podle zákona č. 181/2014 Sb., nemají přechodné období volné. Do uplynutí nových lhůt musí plnit alespoň povinnosti podle dosavadního zákona a incidenty už ode dne doručení rozhodnutí o registraci hlásí způsobem podle nového zákona (§ 71). Pro ně se tedy roční lhůta týká bezpečnostních opatření v novém rozsahu, nikoli způsobu hlášení.

Před zaváděním opatření musí firma vymezit, čeho se regulace týká. Určí všechna primární aktiva, tedy zpracovávané informace a poskytované služby, posoudí, která souvisejí s regulovanou službou, a k nim určí podpůrná aktiva, jako jsou zaměstnanci, dodavatelé, technika a budovy (§ 12). Dokud aktivum posouzeno není, platí, že do stanoveného rozsahu patří, takže odkládání analýzy rozsah nezužuje, ale rozšiřuje.

Změny je potřeba hlídat i po registraci. Pokud se služba změní tak, že to může vést ke změně režimu, hlásí to firma Úřadu do 60 dnů a při přechodu do režimu vyšších povinností jí začínají běžet nové lhůty (§ 9). Typicky jde o akvizici, rozšíření služby na nové zákazníky nebo začlenění do skupiny, u níž se změní posouzení velikosti podniku.

Kdy přesně firma podmínky registrace splnila a zda spadá do vyššího, nebo nižšího režimu, rozhoduje o všech dalších lhůtách – proto to právníci ARROWS advokátní kanceláře posuzují u každé služby zvlášť podle přílohy vyhlášky a skutečné struktury skupiny.

Hlášení incidentu: kdo, komu a do kdy

Hlásit se nemusí každá událost. Poskytovatel v režimu vyšších povinností hlásí Úřadu incidenty, které se projevily ve stanoveném rozsahu, mají původ v kybernetickém prostoru a nelze u nich ve lhůtě 24 hodin vyloučit úmyslné zavinění. Poskytovatel v režimu nižších povinností hlásí Národnímu CERT jen ty z nich, které mají navíc významný dopad na poskytování regulované služby (§ 15).

Prvotní hlášení se podává bez zbytečného odkladu, nejpozději do 24 hodin po zjištění incidentu. Stačí v něm identifikační údaje, základní údaje o incidentu a informace, zda firma předpokládá nezákonný zásah nebo přeshraniční dopad. Čekat na výsledek vyšetřování proto nedává smysl a nepředložení prvotního hlášení je samostatným přestupkem (§ 59).

Další kroky se v obou režimech liší. V režimu vyšších povinností Úřad do 24 hodin od hlášení sdělí, zda má incident významný dopad na kybernetický prostor státu, a jen tehdy následuje do 72 hodin od zjištění oznámení s prvotním posouzením a do 30 dnů od oznámení závěrečná zpráva. V režimu nižších povinností se hlásí jen významné incidenty, takže oznámení i závěrečná zpráva přicházejí vždy (§ 16 zákona o kybernetické bezpečnosti).

Co je významný dopad, si poskytovatel v režimu nižších povinností musí předem stanovit sám. Vyhláška č. 410/2025 Sb. po něm chce určit únosnou míru újmy a oblasti, podle kterých se dopad posuzuje, například provozní dopad, počet zasažených uživatelů, zdroje potřebné k obnově a citlivost dat. Významný je incident, který únosnou míru přesáhne a současně je některá z oblastí posouzena jako významná (§ 14 vyhlášky).

Hlásí se přes Portál Úřadu, a nelze-li ho použít, e-mailem nebo do datové schránky Úřadu, u režimu nižších povinností Národního CERT. Přístupy, oprávněné osoby a jejich zástupci by měly být připraveny dřív, než incident nastane, protože lhůta 24 hodin běží i o víkendu a hledání přihlašovacích údajů do ní nepatří.

Jedna událost může spustit více hlásicích povinností najednou. Útok, při kterém unikla osobní data, bývá současně kybernetickým incidentem podle zákona i porušením zabezpečení osobních údajů podle GDPR, které správce oznamuje Úřadu pro ochranu osobních údajů bez zbytečného odkladu a pokud možno do 72 hodin. Jde o dva adresáty a dva formuláře, a firma proto potřebuje jeden postup, který oba režimy pokryje souběžně.

Vedle hlášení úřadům řeší firma po incidentu i soukromoprávní následky vůči zákazníkům a dodavatelům, které rozebírá text o odpovědnosti za kybernetický incident. Záznamy o tom, kdy byl incident zjištěn, kdo rozhodl o hlášení a co bylo nahlášeno, přitom slouží oběma účelům: dokládají splnění lhůt i postup firmy v případném sporu.

Co vyhlášky ukládají vrcholnému vedení a kde končí jeho odpovědnost

Zákon řadí požadavky na vrcholné vedení mezi bezpečnostní opatření v obou režimech (§ 14). Konkrétní obsah přinesly prováděcí vyhlášky účinné od 1. listopadu 2025 a jsou podrobnější, než vedení firem často očekává. Vrcholným vedením se rozumí statutární orgán nebo jiná osoba či skupina osob v obdobném řídícím postavení, takže povinnosti nelze přenést jen na IT oddělení.

V režimu vyšších povinností vedení prokazatelně absolvuje školení, zajistí zdroje a zřídí výbor pro řízení kybernetické bezpečnosti. Ve výboru musí být alespoň jeden člen vrcholného vedení nebo jím pověřená osoba a manažer kybernetické bezpečnosti a výbor jedná nejméně jednou ročně se záznamem o průběhu. Vedení dále určí manažera, architekta a auditora kybernetické bezpečnosti a garanty aktiv a zajistí zastupitelnost manažera i architekta.

Vedení se také musí prokazatelně seznamovat se zprávou o přezkoumání systému řízení bezpečnosti informací, se zprávou o hodnocení rizik, s plánem zvládání rizik, s výsledky analýzy dopadů a s výsledky auditů (§ 4 vyhlášky č. 409/2025 Sb.). Slovo prokazatelně je podstatné: nestačí, že dokumenty existují, firma musí umět doložit, že je vedení skutečně dostalo a projednalo.

V režimu nižších povinností jsou požadavky skromnější, ale ne nulové. Vedení určí osobu pověřenou kybernetickou bezpečností a svěří jí potřebné pravomoci, samo prokazatelně absolvuje školení, zajistí zdroje, seznamuje se se stavem plnění opatření a stanoví prioritu obnovy primárních aktiv (§ 4 vyhlášky č. 410/2025 Sb.). Přehled bezpečnostních opatření se aktualizuje nejméně jednou ročně a uchovává se alespoň čtyři roky.

Osobní sankce, kterou zákon u členů vedení zná, je úzce vymezená. Úřad může členovi statutárního orgánu poskytovatele v režimu vyšších povinností zakázat výkon funkce až do odstranění nedostatků, nejméně na 6 měsíců, pokud v přímé souvislosti s plněním rozhodnutí Úřadu o nápravě opakovaně nebo závažně porušil své povinnosti a zmařil tím jeho splnění (§ 58). Zákaz se zapisuje do obchodního rejstříku.

Širší odpovědnost plyne z obecné povinnosti péče řádného hospodáře. Člen voleného orgánu jedná pečlivě, pokud mohl v dobré víře rozumně předpokládat, že jedná informovaně a v obhajitelném zájmu korporace (§ 51 zákona o obchodních korporacích), a ve sporu nese důkazní břemeno on sám (§ 52 odst. 2). Záznamy z jednání výboru, doklady o školení a o seznámení se zprávami jsou proto nejlepší obranou samotných členů vedení.

Jak se tyto povinnosti promítají do osobního postavení jednatelů a členů představenstva, podrobněji rozebírá text o tom, proč se kyberbezpečnost stává osobní odpovědností jednatelů. Pro praxi z obou textů plyne totéž: rozhodnutí o kybernetické bezpečnosti mají mít stopu v dokumentech orgánu, ne jen v e-mailech IT oddělení.

Jestli dokumentace vedení obstojí při kontrole i v případném sporu, závisí na režimu poskytovatele a na tom, jak je řízení skupiny skutečně rozděleno mezi mateřskou a dceřinou společnost – proto to právníci ARROWS advokátní kanceláře prověřují u každého orgánu zvlášť.

Kde firmy chybují: od přehlédnuté registrace po smlouvy s dodavateli

Nejdražší chyby se v praxi neodehrávají při útoku, ale měsíce předtím. Patří k nim přehlédnutá registrace, nevymezený rozsah, smlouvy s dodavateli bez bezpečnostních požadavků a proces hlášení, který existuje jen na papíře. Každá z nich je přestupkem sama o sobě, i když k žádnému incidentu nedojde, a některé se projeví až při první kontrole Úřadu.

První chybou je spoléhat na to, že firma nepatří do kritické infrastruktury. Střední výrobní podnik s několika sty zaměstnanci může splnit podmínky registrace, aniž by to vedení sledovalo, a lhůta 60 dnů mu běží bez ohledu na to, zda o ní ví. Výsledkem není jen ztracený čas na přípravu, ale riziko pokuty v nejvyšší sazbě, kterou zákon zná.

Druhou chybou je odkládat vymezení stanoveného rozsahu. Neurčení primárních nebo podpůrných aktiv, jejich neposouzení, chybějící evidence i neaktualizace rozsahu jsou samostatnými přestupky (§ 59 odst. 1 a 2). Firma, která rozsah nevymezí, navíc nemůže rozumně plánovat opatření, protože podle zákona do něj spadá vše, co dosud neposoudila.

Třetí chybou jsou smlouvy s dodavateli bez požadavků z bezpečnostních opatření. Zákon ukládá vybírat dodavatele v souladu s těmito požadavky a zahrnout je do smluv (§ 13 odst. 5) a nesplnění je přestupkem poskytovatele, nikoli dodavatele. V režimu vyšších povinností navíc musí poskytovatel určit významné dodavatele, písemně je o tom informovat a do smluv s nimi promítnout ustanovení z přílohy č. 5 vyhlášky č. 409/2025 Sb.

Pro režim nižších povinností obsahuje obdobný výčet příloha č. 2 vyhlášky č. 410/2025 Sb.: ustanovení o důvěrnosti a mlčenlivosti, audit dodavatele, řetězení dodavatelů, exit strategii, sankce, incidenty související s plněním, řízení kontinuity, úroveň služeb a pravidla bezpečného vývoje. Rámcové IT smlouvy uzavřené dříve tyto body často neobsahují a je potřeba je projít a doplnit dodatkem.

Čtvrtou chybou je proces hlášení, který nikdo nevyzkoušel. Prvotní hlášení vyžaduje jen základní údaje, ale firma potřebuje vědět, kdo incident posoudí, kdo má přístup do Portálu Úřadu a kdo hlášení schválí. Krátký nácvik na modelové situaci, například na útok v pátek večer, ukáže mezery rychleji než jakákoli směrnice.

Pátou chybou je považovat zavedení opatření za jednorázový projekt. V režimu vyšších povinností vyhláška vyžaduje nejméně jednou ročně vyhodnotit účinnost systému řízení bezpečnosti informací a hodnocení rizik provádět alespoň jednou ročně a při významných změnách. Kybernetická bezpečnost se tak stává pravidelnou agendou vedení, podobně jako roční účetní závěrka nebo revize rizik v pojištění.

Rizika pro firmu a vedení při neplnění zákona

Závěrečné shrnutí

Zákon o kybernetické bezpečnosti a jeho prováděcí vyhlášky přenášejí povinnosti z kritické infrastruktury na široký okruh poskytovatelů regulovaných služeb. Článek ukázal, že o regulaci rozhoduje příloha vyhlášky o regulovaných službách, že lhůty běží každé firmě individuálně a že neohlášení služby je přestupkem se stejnou horní sazbou, jaká hrozí za nezavedení opatření v režimu vyšších povinností.

Pro vedení firmy z toho plynou tři rozhodnutí: prověřit, zda poskytuje regulovanou službu, určit, kdo odpovídá za hlášení, a doložit vlastní školení a seznámení se zprávami. Všechna tři lze udělat během několika týdnů a bez nich se firma nedokáže bránit ani při kontrole, ani ve sporu.

Odklad se nevyplácí, protože lhůty neběží od okamžiku, kdy se firma o regulaci začne zajímat, ale od splnění podmínek a od doručení rozhodnutí Úřadu. Vedení, které rozhodnutí odloží, tak riskuje, že první informaci o své povinnosti dostane až v zahájeném řízení.

Právníci ARROWS advokátní kanceláře posuzují, zda služby firem spadají do regulace, připravují ohlášení a dodatky smluv s dodavateli a nastavují dokumentaci vedení i proces hlášení incidentů. Napište nám na konzultace@arws.cz nebo si projděte naši praxi IT a softwarového práva a kyberbezpečnosti.