Nový zákon o kybernetické bezpečnosti (264/2025 Sb.) je účinný od 1. listopadu 2025. Od rozhodnutí NÚKIB o registraci běží roční lhůta na zavedení opatření a v režimu vyšších povinností hrozí za nesplnění pokuta až 250 mil. Kč nebo 2 % obratu. Kybit nestaví soulad na prezentacích. Postavíme a provozujeme přesně ta opatření, která zákon vyžaduje.
Zákon stojí na samoidentifikaci, kterou nazývá ohlášení regulované služby: organizace si sama posoudí, zda poskytuje některou ze služeb z vyhlášky 408/2025 Sb., a ohlásí ji přes portál NÚKIB. Zákon vyjmenovává 15 odvětví (§ 4 odst. 1), vyhláška je v příloze rozpadá na 22 částí a 102 regulovaných služeb a každé službě přiřazuje režim. Platí pravidlo jedna organizace, jeden režim. NÚKIB počítal s přibližně 6 000 subjekty; do února 2026 se ohlásilo přes 4 800 organizací.
Určuje ho konkrétní služba, ne celé odvětví. Patří sem například sériová výroba osobních automobilů nebo objekty skupiny B podle zákona o prevenci závažných havárií. Kritická infrastruktura je v tomto režimu vždy a registruje ji NÚKIB sám.
Typicky střední a velké firmy ve výrobě, potravinářství, chemii a odpadech: výrobci elektroniky, strojů, vozidel a dílů, průmysloví výrobci potravin, výrobci a distributoři chemických látek podle REACH nebo provozovatelé zařízení na nakládání s odpady, kterým tato služba tvoří aspoň 5 % obratu.
Zákon míří na střední a velké podniky: aspoň 50 zaměstnanců, nebo roční obrat i bilanční suma zároveň nad 10 mil. EUR. Započítávají se partnerské a propojené podniky. U některých služeb, například ve veřejné správě nebo u kritické infrastruktury, velikost nerozhoduje.
Od splnění kritérií běží konkrétní lhůty. Níže to podstatné. Přesné znění si ověřte u NÚKIB nebo právního poradce.
Ohlášení regulované služby přes portál NÚKIB do 60 dní od splnění kritérií (pro subjekty v rozsahu od 1. 11. 2025 byla lhůta 31. 12. 2025). NÚKIB poté vydá rozhodnutí o registraci. Neohlášení služby je přestupek s pokutou až 250 mil. Kč nebo 2 % obratu.
Do 30 dní od doručení rozhodnutí o registraci nahlásit kontaktní údaje přes portál NÚKIB.
Zavést podle přiděleného režimu nejpozději do 1 roku od doručení rozhodnutí o registraci: vyšší režim podle vyhlášky 409/2025 Sb., nižší podle vyhlášky 410/2025 Sb.
Vyšší režim hlásí NÚKIB, nižší režim Národnímu CERT a jen incidenty s významným dopadem. Prvotní hlášení do 24 hodin od zjištění, u incidentů s významným dopadem oznámení do 72 hodin a závěrečná zpráva do 30 dnů od oznámení.
Vyšší režim: analýza dopadů (BIA), doba obnovení chodu (RTO) a bod obnovení dat (RPO), testované plány kontinuity a registr významných dodavatelů. Nižší režim: priority obnovy, odpovědnosti a pravidelné zálohy. Požadavky na dodavatele patří v obou režimech do smluv.
Pokuta až 250 mil. Kč nebo 2 % celosvětového obratu v režimu vyšších povinností, 175 mil. Kč nebo 1,4 % v nižším, podle toho, co je vyšší. Osobní pokuty pro vedení zákon nezavádí; v režimu vyšších povinností ale NÚKIB může členovi statutárního orgánu dočasně zakázat výkon funkce, pokud opakovaným nebo závažným porušením povinností zmařil splnění nápravného opatření.
Povinnost po povinnosti, provozně a ne jen na papíře. Každou oblast pokrývá konkrétní služba, kterou reálně provozujeme.
Nepřetržitý dohled (SOC/MDR), který incident zachytí, zastaví a připraví podklady pro hlášení NÚKIB nebo Národnímu CERT v zákonných lhůtách.
Aktivní vyhledávání hrozeb (threat hunting), analýza rizik a threat intelligence. Podklad pro řízení kybernetických rizik podle zákona.
Penetrační testy, red team a threat-led testování (TLPT), které prokážou účinnost opatření pro NIS2 i DORA.
Implementace SIEM/SOAR/XDR a detekce jako kód. Technická opatření, která zákon vyžaduje, nasazená a laděná.
Zero Trust, IAM a PKI, návrh ISMS a politik. Organizační opatření na úrovni řízení bezpečnosti.
Hardening cloudu, Infrastructure as Code a odolný provoz. Kontinuita činností a řízení dodavatelského řetězce.
Chybí vám lidé na splnění povinností? Doplníme senior kapacity do vašeho týmu krátkodobě i dlouhodobě.
NIS2 není jediná regulace, která na vás míří. Řešíme celé spektrum od financí po automotive.
Pět podání podle § 16, lhůty od zjištění incidentu, rozdíl mezi vyšším a nižším režimem a výjimka pro služby vytvářející důvěru.
Nařízení (EU) 2022/2554, použitelné od 17. 1. 2025. Řízení ICT rizik, TLPT a hlášení incidentů pro finanční sektor.
Posouzení informační bezpečnosti (VDA ISA / ENX) vyžadované u dodavatelů v automobilovém průmyslu. Připravíme vás na toto posouzení.
Systém řízení bezpečnosti informací jako základ, na kterém NIS2, DORA i TISAX staví. Návrh, zavedení i provoz.
Přímé odpovědi na to, na co se nás ptáte nejčastěji.
Zákon č. 264/2025 Sb. o kybernetické bezpečnosti byl vyhlášen ve Sbírce zákonů 4. srpna 2025 a účinný je od 1. listopadu 2025. Nahradil zákon č. 181/2014 Sb. a jeho vyhlášky a do českého práva převádí evropskou směrnici NIS2 (EU 2022/2555). Ve stejný den nabyly účinnosti čtyři prováděcí vyhlášky: 408/2025 Sb. o regulovaných službách, 409/2025 Sb. pro režim vyšších povinností, 410/2025 Sb. pro režim nižších povinností a 334/2025 Sb. o Portálu NÚKIB.
Zákon stojí na samoidentifikaci, kterou nazývá ohlášení regulované služby: organizace si sama posoudí, zda poskytuje některou ze 102 regulovaných služeb z přílohy vyhlášky 408/2025 Sb., rozdělených do 15 odvětví, a zda je středním nebo velkým podnikem (aspoň 50 zaměstnanců, nebo roční obrat i bilanční suma zároveň nad 10 mil. EUR). Režim určuje konkrétní služba, ne odvětví, a platí jedna organizace, jeden režim. Okruh je výrazně širší než podle zákona 181/2014 Sb.; podle NÚKIB z přibližně 400 subjektů na zhruba 6 000 a do února 2026 se ohlásilo přes 4 800 organizací.
Samoidentifikace je posouzení, které si organizace dělá sama: zda poskytuje některou z regulovaných služeb z přílohy vyhlášky 408/2025 Sb. a zda splňuje velikostní podmínky. Zákon výsledek nazývá ohlášení regulované služby (§ 6) a podává se výhradně přes portál NÚKIB, kde je k dispozici i kalkulačka; ohlášení podané jinou cestou je neúčinné. NÚKIB na jeho základě vydá rozhodnutí o registraci a od jeho doručení běží lhůty: 30 dní na kontaktní údaje a jeden rok na zavedení bezpečnostních opatření a hlášení incidentů.
Ohlášení regulované služby se podává přes portál NÚKIB do 60 dní od splnění kritérií. Organizace, které kritéria splňovaly k 1. listopadu 2025, měly lhůtu do 31. prosince 2025; kdo je splní později, má 60 dní od toho dne. Neohlášení služby je přestupek s pokutou až 250 mil. Kč nebo 2 % obratu a NÚKIB upozorňuje, že delší doba nesouladu výši pokuty zvyšuje.
K zákonu č. 264/2025 Sb. patří čtyři vyhlášky, všechny účinné od 1. listopadu 2025. Vyhláška 408/2025 Sb. o regulovaných službách obsahuje seznam 102 služeb, velikostní podmínky a režim každé služby. Vyhláška 409/2025 Sb. stanoví bezpečnostní opatření pro režim vyšších povinností, vyhláška 410/2025 Sb. pro režim nižších povinností, včetně posouzení, zda má incident významný dopad. Vyhláška 334/2025 Sb. upravuje Portál NÚKIB a formát ohlášení i hlášení incidentů. Původní vyhláška o kybernetické bezpečnosti 82/2018 Sb. byla zrušena.
Maximální pokuta je 250 milionů Kč nebo 2 % celosvětového ročního obratu v režimu vyšších povinností a 175 milionů Kč nebo 1,4 % v režimu nižších povinností, podle toho, která částka je vyšší. Za neohlášení regulované služby hrozí až 250 milionů Kč nebo 2 %. Osobní pokuty pro vedení zákon nezavádí; v režimu vyšších povinností ale může NÚKIB členovi statutárního orgánu dočasně, nejméně na 6 měsíců, zakázat výkon funkce, pokud opakovaným nebo závažným porušením povinností zmařil splnění nápravného opatření.
Zákon č. 264/2025 Sb. stanoví v § 16 tři stupně. Prvotní hlášení předkládáte bez zbytečného odkladu, nejpozději do 24 hodin od zjištění incidentu. U incidentu s významným dopadem následuje nejpozději do 72 hodin od zjištění oznámení, které doplní prvotní posouzení, dopad a indikátory kompromitace. Do 30 dnů od oznámení podáváte závěrečnou zprávu; pokud incident stále trvá, podáte průběžnou zprávu a závěrečnou do 30 dnů po vyřešení. Jinak se průběžná zpráva podává jen na vyžádání. Režim vyšších povinností hlásí NÚKIB, režim nižších povinností Národnímu CERT, a to jen incidenty s významným dopadem. Kybit tyto podklady připravuje jako součást služby SOC/MDR.
Bezpečnostní opatření podle přiděleného režimu je nutné zavést nejpozději do jednoho roku od doručení rozhodnutí o registraci: režim vyšších povinností podle vyhlášky 409/2025 Sb. (14 organizačních a 11 technických opatření), režim nižších povinností podle vyhlášky 410/2025 Sb. (13 opatření). Pro většinu organizací registrovaných po 1. listopadu 2025 tato lhůta právě běží.
V režimu vyšších povinností vyhláška 409/2025 Sb. (§ 15) požaduje analýzu dopadů na činnost (BIA), minimální úroveň služby, dobu obnovení chodu (RTO) a bod obnovení dat (RPO), politiku kontinuity a plány kontinuity a obnovy, které se pravidelně testují; na analýze dopadů se musí podílet i vrcholné vedení. V režimu nižších povinností vyhláška 410/2025 Sb. (§ 6) požaduje určit priority a pořadí obnovy technických aktiv, odpovědné osoby a pravidelné zálohování.
Ano, pokud jde o střední nebo velké podniky ve vyjmenovaných oborech. Výroba elektroniky, elektrických zařízení, strojů, vozidel a dílů a ostatních dopravních prostředků (CZ-NACE 26 až 30) spadá do režimu nižších povinností, stejně jako průmyslová výroba potravin a výrobci a distributoři chemických látek podle REACH. Do režimu vyšších povinností patří sériová výroba osobních automobilů a objekty skupiny B podle zákona o prevenci závažných havárií. V odpadovém hospodářství se zákon týká provozovatelů zařízení, obchodníků, zprostředkovatelů a dopravců odpadů, kterým tato činnost tvoří aspoň 5 % obratu, a to v režimu nižších povinností. Přesné zařazení určuje příloha vyhlášky 408/2025 Sb.
Povinnosti plníme v reálném provozu. SOC/MDR pokrývá detekci, reakci a hlášení incidentů. Penetrační testy prokazují účinnost opatření. Security engineering a architektura zavádějí technická i organizační opatření. A když chybí lidé, doplníme kapacity do vašeho týmu.
Domluvte si konzultaci se senior specialistou. Projdeme rozsah vašich povinností, ukážeme, kde máte mezery, a navrhneme reálný plán souladu. Žádná úvodní prezentace, jdeme rovnou k věci.