Zákon č. 264/2025 Sb. nežádá dvě hlášení, ale pět podání. Tahle stránka je shrnuje tak, jak je uvádí zákon a metodika NÚKIB, včetně rozdílů mezi vyšším a nižším režimem a výjimky, o které se čte málokde.
Tři věty, které platí vždycky.
Prvotní hlášení podáváte nejpozději do 24 hodin od zjištění incidentu, a to výhradně elektronicky přes Portál NÚKIB. Jde-li o incident s významným dopadem, do 72 hodin od zjištění následuje oznámení; poskytovatelé služeb vytvářejících důvěru mají na oznámení jen 24 hodin. Incident je uzavřený až závěrečnou zprávou, ne zastavením útoku. Mezi tím může přijít průběžná zpráva, buď protože si ji NÚKIB vyžádá, nebo protože incident přerostl třicetidenní lhůtu. Nepředložení prvotního hlášení nebo nedoplnění údajů je přestupek. Lhůty běží od zjištění, ne od vyřešení, takže hodiny utíkají ve chvíli, kdy má tým nejvíc práce.
Podle § 16 zákona č. 264/2025 Sb. a metodiky NÚKIB.
| Podání | Lhůta | Co v něm je |
|---|---|---|
| Prvotní hlášení | Do 24 hodin od zjištění | Identifikace organizace, základní údaje o incidentu a vaše stanovisko k tomu, zda mohlo jít o nezákonný zásah a zda incident může mít přeshraniční dopad. V téhle fázi se nečeká na úplná data. |
| Posouzení NÚKIB | Do 24 hodin od prvotního hlášení | Nepodáváte vy. Ve vyšším režimu NÚKIB sdělí, zda má incident významný dopad na kybernetický prostor státu. Tím se rozhoduje, co následuje dál. |
| Oznámení | Do 72 hodin od zjištění; služby vytvářející důvěru do 24 hodin | Jen u incidentů s významným dopadem. Aktualizuje prvotní hlášení, přidává prvotní posouzení incidentu, dopad a indikátory kompromitace, pokud je máte k dispozici. |
| Průběžná zpráva | Na výzvu, nebo po uplynutí 30 dnů od oznámení | Dvě různé situace pod jedním názvem. Buď si ji vyžádá NÚKIB nebo Národní CERT, nebo ji podáváte proto, že incident trvá i po třicetidenní lhůtě, a to bez zbytečného odkladu. |
| Závěrečná zpráva | Do 30 dnů od oznámení, u trvajícího incidentu do 30 dnů od vyřešení | Uzavírá oznamovací povinnost. Popisuje, jak byl incident vyřešen. Dokud ji nepodáte, incident není z pohledu úřadu uzavřený. |
Podání probíhají výhradně elektronicky přes Portál NÚKIB. Formulář podává statutární orgán nebo pověřený zástupce, což je role, kterou je potřeba mít zřízenou dřív, než incident nastane.
Rozhoduje to, co vůbec hlásíte. Rozdíl je zásadní a bývá přehlížený.
Zařazení do režimu stanovuje Úřad vyhláškou podle poskytované regulované služby, nevybíráte si ho. Pokud nevíte, ve kterém jste, je to první věc k vyřešení, ne otázka na potom.
Ne text hlášení. Podklady, které se za 24 hodin nedají vyrobit zpětně.
Rozdělení, které je potřeba říct otevřeně.
Z provozu SOC dodáváme do zákonných lhůt to, co se pod tlakem nedá dohnat: časovou osu incidentu, klasifikaci dopadu a indikátory kompromitace z telemetrie, kterou už sbíráme. Logy držíme 18 měsíců, takže je z čeho čerpat i u incidentu, který začal dávno před tím, než si ho někdo všiml. Podklady připravíme ve struktuře, kterou formuláře Portálu NÚKIB vyžadují. Hlášení ale podáváte vy. Formulář podává statutární orgán nebo pověřený zástupce vaší organizace a zákonná odpovědnost za splnění ohlašovací povinnosti zůstává na poskytovateli regulované služby. Žádný dodavatel ji z vás nesejme a nikdo, kdo tvrdí opak, vám neříká pravdu.
Přímé odpovědi na to, na co se nás ptáte nejčastěji.
Prvotní hlášení podáváte bez zbytečného odkladu, nejpozději do 24 hodin od zjištění incidentu, výhradně elektronicky přes Portál NÚKIB. Jde-li o incident s významným dopadem, následuje do 72 hodin od zjištění oznámení, které aktualizuje prvotní hlášení a doplní prvotní posouzení, dopad a indikátory kompromitace, pokud je máte k dispozici. U poskytovatelů služeb vytvářejících důvěru je lhůta pro oznámení 24 hodin, ne 72. Všechny lhůty běží od zjištění incidentu, ne od jeho vyřešení. Vyplývá to z § 16 zákona č. 264/2025 Sb.; metodiku vydává NÚKIB na portal.nukib.gov.cz.
Pět podání, ne dvě, jak se často uvádí. Prvotní hlášení do 24 hodin od zjištění. Posouzení významnosti ze strany NÚKIB do 24 hodin od prvotního hlášení, které nepodáváte vy. Oznámení do 72 hodin od zjištění u incidentů s významným dopadem. Průběžná zpráva, a to buď na výzvu NÚKIB či Národního CERT, nebo bez zbytečného odkladu poté, co incident přetrvá 30 dnů od oznámení. A závěrečná zpráva, která oznamovací povinnost uzavírá. Dokud nepodáte závěrečnou zprávu, není incident z pohledu úřadu uzavřený, i když jste útok dávno zastavili.
Do 30 dnů ode dne, kdy jste podali oznámení podle § 16 odst. 3 písm. a). Pokud incident po uplynutí této lhůty stále trvá, podáte bez zbytečného odkladu průběžnou zprávu o aktuálním stavu zvládání a závěrečnou zprávu pak nejpozději do 30 dnů ode dne, kdy byl incident vyřešen. Závěrečná zpráva popisuje, jak byl incident vyřešen, a teprve jí oznamovací povinnost končí.
V tom, kdo posuzuje významnost incidentu. Ve vyšším režimu hlásíte každý incident, který má původ v kyberprostoru, projevil se ve stanoveném rozsahu, nelze u něj vyloučit úmyslné zavinění a je u něj narušena bezpečnost informací; významnost pak do 24 hodin posoudí NÚKIB. V nižším režimu si sami stanovujete, které incidenty považujete za významné, a hlásíte pouze ty. To znamená mít vlastní pravidla pro posouzení významnosti připravená předem. U vybraných digitálních služeb se v obou případech za významné automaticky považují incidenty splňující podmínky prováděcího nařízení Komise (EU) 2024/2690. Zařazení do režimu stanovuje Úřad vyhláškou, není to vaše volba.
Nepředložení prvotního hlášení podle § 16 odst. 1 ani nedoplnění údajů podle § 16 odst. 3 není formalita, je to přestupek poskytovatele regulované služby. Sankční rámec zákona sahá u režimu vyšších povinností až ke 250 000 000 Kč nebo 2 % obratu a u nižšího režimu ke 175 000 000 Kč nebo 1,4 % obratu. Konkrétní výše se odvíjí od povahy porušení. Praktičtější riziko je ale jiné: lhůty běží od zjištění, takže se zmeškají tím, že nikdo neví, kdo hlášení podává, nebo že chybí podklady pro jeho vyplnění.
Ne. Formulář podává statutární orgán vaší organizace nebo jím pověřený zástupce a zákonná odpovědnost za splnění ohlašovací povinnosti zůstává na poskytovateli regulované služby. Co dodavatel dodat může, jsou podklady: časová osa incidentu, klasifikace dopadu a indikátory kompromitace z telemetrie, kterou sbírá, a to ve lhůtách, ve kterých je hlášení potřeba podat. To je v praxi ta část, která rozhoduje, protože podklady se za 24 hodin zpětně nevyrobí. Samotné podání a odpovědnost za něj ale zůstávají u vás.
Ověřte si to. Odkazy vedou na primární zdroje, ne na náš výklad.
Stránka shrnuje stav k 31. srpnu 2026. Metodiku vydává a mění NÚKIB, takže před podáním si postup ověřte na jeho portálu. Tohle není právní poradenství.
To se neřeší v den incidentu. Řekněte nám, co dnes sbíráte a jak dlouho to držíte.