Odpověď hned: Hlásit kybernetický bezpečnostní incident musí podle § 15 zákona č. 264/2025 Sb. jen poskytovatel regulované služby. Hlásí se NÚKIB, primárně formulářem na Portálu NÚKIB, ve stupních: prvotní hlášení nejpozději do 24 hodin od chvíle, kdy pověřená osoba vyhodnotí událost jako incident, oznámení incidentu do 72 hodin od jeho zjištění a závěrečná zpráva do 30 dnů od oznámení. Kdo regulovaný není, hlásit nemusí. Text je informativní přehled, ne právní rada — závazné je znění zákona a vyhlášek.
Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, je účinný od 1. listopadu 2025 a svým § 72 zrušil zákon č. 181/2014 Sb. Registrace má vlastní lhůtu 60 dnů (§ 6 odst. 1), zavedení bezpečnostních opatření 1 rok od doručení rozhodnutí o registraci (§ 13 odst. 4). Hlášení incidentů se ale naplánovat nedá: spouští ho událost a měří se v hodinách.
Kybernetický bezpečnostní incident, nebo jen událost?
Zákon pracuje se dvěma pojmy a rozdíl mezi nimi rozhoduje, jestli vám začala běžet lhůta.
Kybernetický bezpečnostní incident je podle § 2 odst. 2 písm. f) zákona „narušení bezpečnosti informací v kybernetickém prostoru”. Bezpečností informací se rozumí zajištění důvěrnosti, integrity a dostupnosti informací a dat (§ 2 odst. 2 písm. b). NÚKIB tyto tři vlastnosti vykládá takto:
- Důvěrnost je porušena, když se k informacím dostal někdo, kdo se k nim dostat neměl.
- Integrita je porušena, když je informace neoprávněným zásahem pozměněna nebo smazána.
- Dostupnost je porušena, když informace nejsou k dispozici v době, kdy být měly.
Kybernetická bezpečnostní událost je podle § 2 odst. 2 písm. e) „událost, která může vyústit v kybernetický bezpečnostní incident” — má potenciál přerůst v incident, ale k narušení zatím nedošlo. Hlášení událostí je dobrovolné a jde stejnou cestou.
Rozdíl je vidět na příkladu, který používá sám NÚKIB. Projde-li phishingový e-mail filtrem k uživateli, ten na nic neklikne a zprávu nahlásí, jde o událost. Když na odkaz klikne a do útočníkova formuláře vyplní pracovní přihlašovací údaje, jde o incident, který se hlásí — byla porušena důvěrnost dat.
Do definice patří i znak neplánovanosti. Výpadek dostupnosti během schváleného servisního okna nebo řízené změny se nehlásí, protože u něj lze vyloučit úmyslné zavinění.
Kdo má povinnost incident hlásit
Ohlašovací povinnost ukládá § 15 zákona pouze poskytovatelům regulované služby. Ostatní hlásit nemusí, mohou ale dobrovolně. Jestli pod regulaci spadáte, řeší samostatný text o tom, koho se zákon 264/2025 týká; tady to předpokládáme.
Poskytovatel regulované služby hlásí incidenty, které splňují současně tři znaky:
- projevily se ve stanoveném rozsahu řízení kybernetické bezpečnosti (§ 12 zákona),
- mají původ v kybernetickém prostoru,
- nelze u nich bez zbytečného odkladu, nejpozději do 24 hodin, vyloučit úmyslné zavinění.
Třetí bod je v praxi nejdůležitější. Provozní incidenty, u kterých lze úmysl vyloučit — odešlý disk, chybná konfigurace, výpadek napájení — se nehlásí. Pokud ho ale vyloučit nedokážete, do hlášení jdete.
Rozsah hlášených incidentů se dále liší podle režimu:
- Režim vyšších povinností — hlásí se všechny incidenty splňující tři znaky výše.
- Režim nižších povinností — hlásí se jen ty, které mají významný dopad na poskytování regulované služby. Významnost si poskytovatel posuzuje sám, podle kritérií v § 14 vyhlášky o bezpečnostních opatřeních v režimu nižších povinností.
Pro vybrané digitální služby (cloud, datová centra, DNS, on-line tržiště, vyhledávače, sociální sítě, řízené bezpečnostní služby a další) vymezuje významný incident prováděcí nařízení Komise (EU) 2024/2690, a to nezávisle na režimu; způsob hlášení i termíny zůstávají stejné.
Komu a jak se hlásí
Hlásí se Úřadu, tedy NÚKIB, a primární cestou je formulář na Portálu NÚKIB (portal.nukib.gov.cz). To platí pro všechny regulované subjekty bez ohledu na režim.
Pokud k Portálu NÚKIB přistoupit nelze — což může způsobit právě probíhající incident — dovoluje § 16 odst. 4 zákona ohlásit incident e-mailem nebo datovou schránkou. NÚKIB k tomu zveřejňuje adresu cert@nukib.gov.cz pro režim vyšších povinností, abuse@csirt.cz pro režim nižších povinností a datové schránky zzfnkp3 a h4axdn8. Náhradní cesta je dočasné nouzové řešení, ne běžná alternativa.
Telefonní linky NÚKIB (541 110 555 v pracovní době, 725 502 878 mimo ni) slouží k rychlé komunikaci a bezprostřední pomoci. Úřad ale výslovně uvádí, že telefonické hlášení neplní funkci oficiálního kanálu. Zavolat můžete, hlášení tím ale odbavené nemáte.
Praktický závěr: přístup do Portálu NÚKIB musí mít víc než jeden člověk a nesmí záviset jen na infrastruktuře, která může být zrovna zašifrovaná nebo odpojená.
Lhůty hlášení incidentu: 24 hodin, 72 hodin, 30 dnů
Proces je vícestupňový. U méně závažných incidentů poskytovatele ve vyšším režimu může skončit už prvotním hlášením; u incidentů s významným dopadem pokračuje několika kroky a končí závěrečnou zprávou.
| Stupeň | Lhůta | Odkdy běží | Co obsahuje |
|---|---|---|---|
| Prvotní hlášení | bez zbytečného odkladu, nejpozději do 24 hodin | od okamžiku, kdy pověřená osoba vyhodnotí zjištěnou událost jako incident | oznámení, že incident nastal |
| Oznámení incidentu | 72 hodin (u poskytovatelů služeb vytvářejících důvěru 24 hodin) | od zjištění incidentu | podrobnější posouzení incidentu, jeho dopad, indikátory kompromitace |
| Průběžná zpráva | na výzvu NÚKIB nebo Národního CERTu | — | podstatné změny stavu zvládání incidentu |
| Závěrečná zpráva | 30 dnů | od oznámení incidentu | popis incidentu, závažnost a dopad, druh hrozby, pravděpodobná příčina, opatření ke zmírnění následků, případný přeshraniční dopad |
Časová osa i popis stupňů pochází z podpůrného materiálu NÚKIB „Hlášení kybernetických bezpečnostních incidentů”, verze 1.2 z 8. června 2026. Z tabulky se snadno přehlédnou tři věci.
Po prvotním hlášení rozhoduje Úřad, ne vy. Poskytovateli ve vyšším režimu NÚKIB oznámí, zda má incident významný dopad. Pokud jej nemá, tímto krokem hlášení pro organizaci končí a další zprávy se nepodávají.
Když incident v době lhůty stále trvá, předloží organizace po jejím uplynutí průběžnou zprávu o aktuálním stavu zvládání a závěrečnou zprávu o vyřešení podá nejpozději do 30 dnů po vyřešení incidentu.
Prvních 24 hodin se nepočítá od útoku, ale od vyhodnocení. Lhůta běží od chvíle, kdy pověřená osoba — například manažer kybernetické bezpečnosti — vyhodnotí zjištěnou událost jako incident. NÚKIB k tomu připojuje dvě omezení: pověřená osoba nerozhoduje o tom, co sama za incident považuje, ale o tom, zda je naplněna definice (objektivní skutečnost), a vyhodnocení má proběhnout co nejrychleji. Odkládat ho není cesta, jak si prodloužit lhůtu.
České lhůty vycházejí ze směrnice NIS2 (směrnice (EU) 2022/2555), která v čl. 23 odst. 4 stanoví u významných incidentů včasné varování do 24 hodin, hlášení o incidentu do 72 hodin a závěrečnou zprávu do jednoho měsíce. Český zákon strukturu přebírá, ale s vlastním názvoslovím i počítáním lhůt — řiďte se proto českým zněním a metodikou NÚKIB.
Co si připravit předem, aby se lhůty daly stihnout
24 hodin zní jako dost času do chvíle, než v nich máte současně řešit zašifrovaná data, telefonáty od zákazníků a hledání, kdo má vlastně přístup do portálu. Většina podkladů se dá připravit dopředu.
| Co připravit | Proč to během incidentu chybí |
|---|---|
| Jmenovitě určená osoba, která vyhodnocuje událost jako incident, plus zástup | Od jejího rozhodnutí běží lhůta 24 hodin. Bez zástupu ji zastaví dovolená nebo nemoc. |
| Přístup do Portálu NÚKIB u dvou lidí, nezávisle na hlavní infrastruktuře | Jediný účet vázaný na firemní přihlášení je nedostupný právě tehdy, kdy ho potřebujete. |
| Offline kontaktní list: náhradní cesty hlášení, dodavatel IT, konektivita, právník, pojišťovna, banka | Kontakty uložené jen v e-mailu nebo intranetu jsou pryč spolu s ním. |
| Evidence aktiv — servery, aplikace, data, jejich vlastníci a dodavatelé | Bez ní nelze říct, zda se incident projevil ve stanoveném rozsahu, a tedy zda se vůbec hlásí. |
| Sepsaný rozsah řízení kybernetické bezpečnosti podle § 12 | Jeden ze tří znaků hlášeného incidentu. Dohledávat ho pod tlakem znamená hádat. |
| Logy s dostatečnou retencí a synchronizovaným časem | Indikátory kompromitace a časovou osu jinak nemáte z čeho sestavit. |
| Šablona popisu incidentu: co se stalo, kdy zjištěno, čeho se týká, dopad na službu, co už bylo uděláno | Text se pak píše doplňováním, ne od nuly. |
| Průběžný záznam, kdo co kdy udělal | Závěrečná zpráva chce pravděpodobnou příčinu a učiněná opatření. Po měsíci si to nikdo nepamatuje. |
| Aktuální kontaktní údaje v Portálu NÚKIB | Úřad po prvotním hlášení oznamuje, zda má incident významný dopad. Musí se dovolat. |
Každá položka je práce na hodiny předem — a na dny během incidentu.
Připravenost, která rozhoduje víc než formulář
Hlášení je administrativní část. Druhá je schopnost provoz vůbec obnovit — a ta rozhoduje o tom, jak dlouho bude incident trvat a co nakonec bude v závěrečné zprávě stát.
Prakticky to znamená zálohy, které někdo pravidelně zkusil obnovit, a plán obnovy s pořadím systémů, odpovědnostmi a přijatelnou dobou výpadku. Záloha, kterou nikdo nikdy neobnovil, je jen předpoklad. Tam, kde už k narušení dat na serveru došlo, popisuje možnosti samostatný text o záchraně dat ze serveru.
Technický postup prvních hodin po útoku — co odpojit, co naopak nevypínat kvůli důkazům, jak zjistit rozsah — má vlastní článek o tom, jak vypadá prvních 24 hodin po ransomwaru ve firmě. Obě roviny běží souběžně: zatímco technici řeší izolaci a obnovu, někdo jiný hlídá lhůtu a podává prvotní hlášení. Proto je rozdělte mezi různé lidi.
Za zmínku stojí i to, co přestupkem není. Samotná skutečnost, že se povinné osobě incident stal, přestupek není. Přestupkem je neohlášení ve lhůtě nebo vůbec — a stejně tak když povinná osoba po prvotním hlášení významného incidentu přestane komunikovat. Zákon skutkové podstaty přestupků upravuje ve své sankční části, konkrétní výši pokut si ověřte v aktuálním znění. NÚKIB zároveň uvádí, že ohlášení incidentu bezprostředně nezakládá důvod pro následnou kontrolu.
Když regulovaní nejste
Většina malých a středních firem poskytovatelem regulované služby není a povinnost hlásit incident NÚKIB tedy nemá. Dobrovolné hlášení je ale možné — incidenty i události mohou Úřadu hlásit i subjekty mimo zákonnou povinnost, stejnou cestou. Vyplatí se hlavně tam, kde jde o rozsáhlejší kampaň nebo zranitelnost, která zasáhne i ostatní.
U vydírání, typicky u ransomwaru, patří oznámení Policii ČR. Jde o trestný čin a jeho oznámení není totéž co hlášení incidentu NÚKIB — jsou to dva nezávislé kroky s různými adresáty. Pokud incident zasáhl osobní údaje, může se navíc uplatnit ohlašovací povinnost podle GDPR vůči Úřadu pro ochranu osobních údajů; to je jiný právní režim a posuzuje se zvlášť.
Checklist z předchozí kapitoly funguje bez ohledu na regulaci. Vědět, kdo rozhoduje, mít kontakty offline, evidenci aktiv a logy s rozumnou retencí je užitečné i ve firmě, kterou zákon vůbec neřeší. Rozdíl je jen v tom, že u regulovaného subjektu hrozí za nesplnění postih, u ostatních delší výpadek.
ITHOPE se v Brně zabývá správou IT pro firmy a připraveností na tenhle typ situace: zálohy pravidelně testované obnovou, plán obnovy s určenými odpovědnostmi a podklady, ze kterých se hlášení dá sestavit ve lhůtě — evidence aktiv, logy s použitelnou retencí, kontaktní list mimo firemní síť. Podrobnosti najdete na stránce správa IT a zálohování, přehled služeb v IT pro firmy. Posouzení, zda a v jakém režimu pod zákon spadáte, patří vašemu právníkovi.
Zdroje
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti — e-Sbírka (účinnost 1. 11. 2025, § 72 zrušil zákon č. 181/2014 Sb., § 6 odst. 1 a § 13 odst. 4)
- Hlášení kybernetických bezpečnostních incidentů, TLP:CLEAR, verze 1.2 z 8. 6. 2026 — podpůrný materiál NÚKIB (definice incidentu a události, tři znaky hlášeného incidentu, časová osa 24 h / 72 h / 30 dnů, přestupky)
- Hlášení incidentů — kontakty a způsoby hlášení — NÚKIB (Portál NÚKIB, náhradní hlášení podle § 16 odst. 4, e-maily, datové schránky, linky)
- Hlášení kybernetického bezpečnostního incidentu — Portál NÚKIB, formuláře jednotlivých stupňů
- Směrnice (EU) 2022/2555 (NIS2), čl. 23 odst. 4 — EUR-Lex (24 hodin, 72 hodin, jeden měsíc)