ZoKBPostup

    Hlášení incidentů NÚKIB: lhůty a postup

    Zákon č. 264/2025 Sb. nežádá dvě hlášení, ale pět podání. Tahle stránka je shrnuje tak, jak je uvádí zákon a metodika NÚKIB, včetně rozdílů mezi vyšším a nižším režimem a výjimky, o které se čte málokde.

    Shrnutí

    Když na to nemáte čas

    Tři věty, které platí vždycky.

    Prvotní hlášení podáváte nejpozději do 24 hodin od zjištění incidentu, a to výhradně elektronicky přes Portál NÚKIB. Jde-li o incident s významným dopadem, do 72 hodin od zjištění následuje oznámení; poskytovatelé služeb vytvářejících důvěru mají na oznámení jen 24 hodin. Incident je uzavřený až závěrečnou zprávou, ne zastavením útoku. Mezi tím může přijít průběžná zpráva, buď protože si ji NÚKIB vyžádá, nebo protože incident přerostl třicetidenní lhůtu. Nepředložení prvotního hlášení nebo nedoplnění údajů je přestupek. Lhůty běží od zjištění, ne od vyřešení, takže hodiny utíkají ve chvíli, kdy má tým nejvíc práce.

    Lhůty

    Pět podání a jejich lhůty

    Podle § 16 zákona č. 264/2025 Sb. a metodiky NÚKIB.

    Pět podání a jejich lhůty
    PodáníLhůtaCo v něm je
    Prvotní hlášeníDo 24 hodin od zjištěníIdentifikace organizace, základní údaje o incidentu a vaše stanovisko k tomu, zda mohlo jít o nezákonný zásah a zda incident může mít přeshraniční dopad. V téhle fázi se nečeká na úplná data.
    Posouzení NÚKIBDo 24 hodin od prvotního hlášeníNepodáváte vy. Ve vyšším režimu NÚKIB sdělí, zda má incident významný dopad na kybernetický prostor státu. Tím se rozhoduje, co následuje dál.
    OznámeníDo 72 hodin od zjištění; služby vytvářející důvěru do 24 hodinJen u incidentů s významným dopadem. Aktualizuje prvotní hlášení, přidává prvotní posouzení incidentu, dopad a indikátory kompromitace, pokud je máte k dispozici.
    Průběžná zprávaNa výzvu, nebo po uplynutí 30 dnů od oznámeníDvě různé situace pod jedním názvem. Buď si ji vyžádá NÚKIB nebo Národní CERT, nebo ji podáváte proto, že incident trvá i po třicetidenní lhůtě, a to bez zbytečného odkladu.
    Závěrečná zprávaDo 30 dnů od oznámení, u trvajícího incidentu do 30 dnů od vyřešeníUzavírá oznamovací povinnost. Popisuje, jak byl incident vyřešen. Dokud ji nepodáte, incident není z pohledu úřadu uzavřený.

    Podání probíhají výhradně elektronicky přes Portál NÚKIB. Formulář podává statutární orgán nebo pověřený zástupce, což je role, kterou je potřeba mít zřízenou dřív, než incident nastane.

    Režim

    Nejdřív zjistěte, ve kterém jste režimu

    Rozhoduje to, co vůbec hlásíte. Rozdíl je zásadní a bývá přehlížený.

    Vyšší režim povinností

    • Hlásíte každý incident, u kterého platí současně všechny podmínky: má původ v kyberprostoru, projevil se ve stanoveném rozsahu, nelze vyloučit úmyslné zavinění a je narušena bezpečnost informací, tedy integrita, dostupnost nebo důvěrnost.
    • Významnost neposuzujete sami. Do 24 hodin od prvotního hlášení ji posoudí NÚKIB.
    • Prahová hodnota je nižší, než většina týmů čeká. Posuzuje se splnění podmínek, ne velikost škody.

    Nižší režim povinností

    • Sami si stanovujete, které incidenty považujete za významné, a hlásíte pouze ty.
    • To znamená, že musíte mít vlastní pravidla pro posouzení významnosti, a musíte je mít dřív, než incident nastane. Jinak se rozhodujete pod tlakem a bez opory.
    • U vybraných digitálních služeb se za významné automaticky považují incidenty splňující podmínky prováděcího nařízení Komise (EU) 2024/2690, bez ohledu na vaše interní pravidla.

    Zařazení do režimu stanovuje Úřad vyhláškou podle poskytované regulované služby, nevybíráte si ho. Pokud nevíte, ve kterém jste, je to první věc k vyřešení, ne otázka na potom.

    Podklady

    Co po vás lhůty fakticky chtějí

    Ne text hlášení. Podklady, které se za 24 hodin nedají vyrobit zpětně.

    Časová osa incidentu
    Kdy to začalo, co bylo první zasažené aktivum, jak se to šířilo. Bez dostatečně hlubokých logů ji do 72 hodin nesestavíte a do oznámení nemáte co napsat.
    Klasifikace dopadu
    Které regulované služby to zasáhlo a jak. Tohle rozhoduje, jestli vůbec spadnete do sedmdesátidvouhodinové větve.
    Indikátory kompromitace
    Zákon je chce, pokud je máte k dispozici. Jestli je máte, se rozhoduje měsíce předem podle toho, co sbíráte a jak dlouho to držíte.
    Doklad o zvládnutí
    Závěrečná zpráva popisuje, jak byl incident vyřešen. Musíte umět doložit, co konkrétně útok zastavilo.
    Zřízené role
    Formulář podává statutární orgán nebo pověřený zástupce. Pověření se vyřizuje předem, ne v den incidentu.
    Retence
    Osmnáct měsíců logů u vyššího režimu není jen položka v kontrolním seznamu. Je to rozdíl mezi tím, že časovou osu sestavíte, a tím, že napíšete, že ji sestavit nelze.
    Kybit

    Co s tím děláme my a co zůstává na vás

    Rozdělení, které je potřeba říct otevřeně.

    Z provozu SOC dodáváme do zákonných lhůt to, co se pod tlakem nedá dohnat: časovou osu incidentu, klasifikaci dopadu a indikátory kompromitace z telemetrie, kterou už sbíráme. Logy držíme 18 měsíců, takže je z čeho čerpat i u incidentu, který začal dávno před tím, než si ho někdo všiml. Podklady připravíme ve struktuře, kterou formuláře Portálu NÚKIB vyžadují. Hlášení ale podáváte vy. Formulář podává statutární orgán nebo pověřený zástupce vaší organizace a zákonná odpovědnost za splnění ohlašovací povinnosti zůstává na poskytovateli regulované služby. Žádný dodavatel ji z vás nesejme a nikdo, kdo tvrdí opak, vám neříká pravdu.

    FAQ

    Často kladené otázky

    Přímé odpovědi na to, na co se nás ptáte nejčastěji.

    Prvotní hlášení podáváte bez zbytečného odkladu, nejpozději do 24 hodin od zjištění incidentu, výhradně elektronicky přes Portál NÚKIB. Jde-li o incident s významným dopadem, následuje do 72 hodin od zjištění oznámení, které aktualizuje prvotní hlášení a doplní prvotní posouzení, dopad a indikátory kompromitace, pokud je máte k dispozici. U poskytovatelů služeb vytvářejících důvěru je lhůta pro oznámení 24 hodin, ne 72. Všechny lhůty běží od zjištění incidentu, ne od jeho vyřešení. Vyplývá to z § 16 zákona č. 264/2025 Sb.; metodiku vydává NÚKIB na portal.nukib.gov.cz.

    Pět podání, ne dvě, jak se často uvádí. Prvotní hlášení do 24 hodin od zjištění. Posouzení významnosti ze strany NÚKIB do 24 hodin od prvotního hlášení, které nepodáváte vy. Oznámení do 72 hodin od zjištění u incidentů s významným dopadem. Průběžná zpráva, a to buď na výzvu NÚKIB či Národního CERT, nebo bez zbytečného odkladu poté, co incident přetrvá 30 dnů od oznámení. A závěrečná zpráva, která oznamovací povinnost uzavírá. Dokud nepodáte závěrečnou zprávu, není incident z pohledu úřadu uzavřený, i když jste útok dávno zastavili.

    Do 30 dnů ode dne, kdy jste podali oznámení podle § 16 odst. 3 písm. a). Pokud incident po uplynutí této lhůty stále trvá, podáte bez zbytečného odkladu průběžnou zprávu o aktuálním stavu zvládání a závěrečnou zprávu pak nejpozději do 30 dnů ode dne, kdy byl incident vyřešen. Závěrečná zpráva popisuje, jak byl incident vyřešen, a teprve jí oznamovací povinnost končí.

    V tom, kdo posuzuje významnost incidentu. Ve vyšším režimu hlásíte každý incident, který má původ v kyberprostoru, projevil se ve stanoveném rozsahu, nelze u něj vyloučit úmyslné zavinění a je u něj narušena bezpečnost informací; významnost pak do 24 hodin posoudí NÚKIB. V nižším režimu si sami stanovujete, které incidenty považujete za významné, a hlásíte pouze ty. To znamená mít vlastní pravidla pro posouzení významnosti připravená předem. U vybraných digitálních služeb se v obou případech za významné automaticky považují incidenty splňující podmínky prováděcího nařízení Komise (EU) 2024/2690. Zařazení do režimu stanovuje Úřad vyhláškou, není to vaše volba.

    Nepředložení prvotního hlášení podle § 16 odst. 1 ani nedoplnění údajů podle § 16 odst. 3 není formalita, je to přestupek poskytovatele regulované služby. Sankční rámec zákona sahá u režimu vyšších povinností až ke 250 000 000 Kč nebo 2 % obratu a u nižšího režimu ke 175 000 000 Kč nebo 1,4 % obratu. Konkrétní výše se odvíjí od povahy porušení. Praktičtější riziko je ale jiné: lhůty běží od zjištění, takže se zmeškají tím, že nikdo neví, kdo hlášení podává, nebo že chybí podklady pro jeho vyplnění.

    Ne. Formulář podává statutární orgán vaší organizace nebo jím pověřený zástupce a zákonná odpovědnost za splnění ohlašovací povinnosti zůstává na poskytovateli regulované služby. Co dodavatel dodat může, jsou podklady: časová osa incidentu, klasifikace dopadu a indikátory kompromitace z telemetrie, kterou sbírá, a to ve lhůtách, ve kterých je hlášení potřeba podat. To je v praxi ta část, která rozhoduje, protože podklady se za 24 hodin zpětně nevyrobí. Samotné podání a odpovědnost za něj ale zůstávají u vás.

    Ověření

    Zdroje

    Ověřte si to. Odkazy vedou na primární zdroje, ne na náš výklad.

    Stránka shrnuje stav k 31. srpnu 2026. Metodiku vydává a mění NÚKIB, takže před podáním si postup ověřte na jeho portálu. Tohle není právní poradenství.

    Nemáte z čeho ty podklady postavit?

    To se neřeší v den incidentu. Řekněte nám, co dnes sbíráte a jak dlouho to držíte.