Rok s novým zákonem o kybernetické bezpečnosti: koho se týká

Od 1. 11. 2025 platí v Česku nový zákon o kybernetické bezpečnosti, který převádí do českého práva evropskou směrnici NIS2. Nahradil zákon z roku 2014. Ten dopadal na stovky organizací: v roce 2025 NÚKIB evidoval 69 správců kritické informační infrastruktury, 151 správců informačních systémů základních služeb a 194 správců významných informačních systémů. Podle nového zákona úřad čeká víc než 6 000 povinných osob.

Zdroje: zákon č. 264/2025 Sb., NÚKIB, Zpráva o stavu kybernetické bezpečnosti za rok 2025

Koho se zákon týká?

Zákon reguluje služby, které firmy a úřady poskytují. Seznam regulovaných služeb a kritéria jsou ve vyhlášce č. 408/2025 Sb. Obvykle rozhoduje odvětví a velikost podniku. Zákon rozlišuje dva režimy:

• Režim vyšších povinností pro poskytovatele, kteří jsou ekonomicky, společensky nebo bezpečnostně značně významní (§ 8). Typicky jde o velké podniky v regulovaných odvětvích, některé služby sem patří bez ohledu na velikost.
• Režim nižších povinností pro ostatní regulované poskytovatele, typicky střední podniky.

K 15. 1. 2026 se NÚKIB přihlásilo 4 685 subjektů, do konce července 2026 podle údajů úřadu zveřejněných Seznam Zprávami 5 864. Ve vyšším režimu jich bylo k 23. 2. 2026 registrovaných 1 435. Z jejich služeb připadal největší podíl na energetiku (25,7 %), digitální infrastrukturu (22,4 %) a zdravotnictví (21,7 %).

Zdroje: vyhláška č. 408/2025 Sb., NÚKIB, 15. 1. 2026, NÚKIB, 26. 2. 2026, Seznam Zprávy

Jaké lhůty zákon dává?

Roční lhůta běží od doručení rozhodnutí o registraci. Kdo ho dostal v roce 2026, musí opatření zavést nejpozději v roce 2027. Rozhodnutí má NÚKIB vydat přes 6 000. Kdo byl regulovaný už podle zákona z roku 2014, plní do té doby dosavadní povinnosti a incidenty hlásí novým způsobem hned od doručení rozhodnutí (§ 71).

Zdroj: zákon č. 264/2025 Sb.

Co zákon po firmách chce?

• Hlásit incidenty rychle. První hlášení do 24 hodin od zjištění incidentu. U významného incidentu do 72 hodin oznámení s prvním posouzením a do 30 dnů od oznámení závěrečná zpráva (§ 16).
• Zapojit vedení. Požadavky na vrcholné vedení patří mezi povinná organizační opatření (§ 14). Ve vyšším režimu může NÚKIB členovi statutárního orgánu dočasně zakázat výkon funkce, nejméně na 6 měsíců. Stane se to, když opakovaně nebo závažně poruší povinnosti při plnění rozhodnutí úřadu o nápravě nedostatků (§ 58).
• Hlídat dodavatele. Když firma zavádí bezpečnostní opatření přes dodavatele, musí ho vybírat podle jejich požadavků a promítnout je do smluv (§ 13 odst. 5).

Zdroj: zákon č. 264/2025 Sb.

Jaké pokuty hrozí?

Za většinu přestupků je strop ve vyšším režimu 250 milionů Kč nebo 2 % čistého celosvětového ročního obratu, podle toho, co je vyšší. V nižším režimu 175 milionů Kč nebo 1,4 % (§ 59 odst. 4). Za některé další přestupky, třeba za neohlášení kontaktních údajů, jsou stropy nižší.

Zdroj: zákon č. 264/2025 Sb.

Co ukázal první rok?

V roce 2025 NÚKIB evidoval 203 kybernetických incidentů, o 65 méně než rok předtím. Skoro polovina (46 %) mířila na dostupnost služeb, tedy na to, aby systém přestal fungovat.

Jedna část zákona zatím nefunguje. Prověřování dodavatelů strategicky významných služeb potřebuje dvě nařízení vlády a podle zprávy NÚKIB ze srpna 2026 byla obě ještě v připomínkovém řízení.

V Evropě je Česko mezi státy, které směrnici provedly pozdě. Termín byl 17. 10. 2024 a Evropská komise poslala Česku spolu s dalšími 18 státy v květnu 2025 odůvodněné stanovisko. V červenci 2026 se Komise rozhodla zažalovat u Soudního dvora EU Irsko, Španělsko, Francii a Nizozemsko.

Mimo zákon se chystá i změna šifrování. NÚKIB se v lednu 2025 připojil k prohlášení 18 států EU, které doporučuje převést nejcitlivější systémy na postkvantovou kryptografii co nejdřív, ideálně do roku 2030. Prohlášení není závazné. Termíny shrnujeme v článku Kvantové počítače: kde jsou dnes doopravdy.

Zdroje: NÚKIB, Zpráva za rok 2025, Evropská komise, květen 2025, Evropská komise, červenec 2026, NÚKIB, leden 2025

Kde firmy berou odborníky na kybernetickou bezpečnost?

Dotazník NÚKIB vyplnilo 425 organizací, většinou regulovaných podle starého zákona. Jako hlavní důvod, proč je uchazeči odmítají, uvedlo 75 % z nich nedostatečné finanční ohodnocení, ve veřejném sektoru 92 %. Nejhůř se obsazují architekti kybernetické bezpečnosti, lidé pro bezpečnostní dohled, správci sítí a serverů a auditoři. Nejčastějším řešením je outsourcing. Jak těžko české firmy obsazují IT místa obecně, ukazují data Eurostatu v článku Firmy, které nemohou obsadit IT místa.

Podobně to vidí evropská agentura ENISA: v jejím průzkumu mezi 1 080 organizacemi má potíže odborníky získat 76 % a udržet 71 %. Hlavním důvodem investic do bezpečnosti je pro 70 % organizací plnění předpisů.

Zdroje: NÚKIB, Zpráva za rok 2025, ENISA, NIS Investments 2025

Shrnutí

• Nový zákon dopadá podle odhadu NÚKIB na víc než 6 000 subjektů, starý na stovky.
• Bezpečnostní opatření a nové hlášení incidentů musí firma zavést nejpozději rok po doručení rozhodnutí o registraci, často tedy až v roce 2027.
• Pokuty mají stropy až 250 milionů Kč nebo 2 % obratu, podle toho, co je vyšší. Nedostatek odborníků hlásí NÚKIB i ENISA.

Pokud hledáte specialistu na kybernetickou bezpečnost nebo potřebujete posílit tým, napište nám. Jak hledáme lidi, popisuje stránka nábor IT specialistů. Specialisté najdou nabídku na stránce specialista kybernetické bezpečnosti.

Stav k 1. 11. 2026. Článek je obecná informace, ne právní rada.

• kybernetická bezpečnost
• NIS2
• zákon o kybernetické bezpečnosti
• NÚKIB