Kurzantwort: Einen Cybersicherheitsvorfall muss gemäß § 15 zákona č. 264/2025 Sb. nur der Anbieter eines regulierten Dienstes melden. Die Meldung geht an NÚKIB und erfolgt vorrangig über ein Formular im Portál NÚKIB. Das Verfahren ist mehrstufig: eine Erstmeldung spätestens innerhalb von 24 Stunden, nachdem die beauftragte Person das Ereignis als Vorfall eingestuft hat, eine Vorfallmeldung innerhalb von 72 Stunden nach seiner Feststellung und ein Abschlussbericht innerhalb von 30 Tagen nach der Vorfallmeldung. Wer nicht reguliert ist, unterliegt keiner Meldepflicht. Dieser Text dient nur der Information und stellt keine Rechtsberatung dar — maßgeblich sind der Wortlaut des Gesetzes und der Verordnungen.
Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, gilt seit dem 1. November 2025 und hob durch § 72 zákon č. 181/2014 Sb. auf. Für die Registrierung gilt eine eigene Frist von 60 Tagen (§ 6 odst. 1), für die Einführung der Sicherheitsmaßnahmen ein Jahr ab Zustellung der Registrierungsentscheidung (§ 13 odst. 4). Die Meldung von Vorfällen lässt sich jedoch nicht einplanen: Sie wird durch ein Ereignis ausgelöst, und die Fristen werden in Stunden bemessen.
Cybersicherheitsvorfall oder nur ein Ereignis?
Das Gesetz unterscheidet zwei Begriffe. Der Unterschied entscheidet darüber, ob eine Frist für Sie zu laufen begonnen hat.
Ein Cybersicherheitsvorfall ist gemäß § 2 odst. 2 písm. f) zákona „narušení bezpečnosti informací v kybernetickém prostoru“ (eine Beeinträchtigung der Informationssicherheit im Cyberraum). Unter Informationssicherheit ist die Gewährleistung der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen und Daten zu verstehen (§ 2 odst. 2 písm. b). NÚKIB erläutert diese drei Eigenschaften wie folgt:
- Die Vertraulichkeit ist verletzt, wenn jemand Zugriff auf Informationen erhalten hat, der darauf keinen Zugriff haben sollte.
- Die Integrität ist verletzt, wenn Informationen durch einen unbefugten Eingriff verändert oder gelöscht wurden.
- Die Verfügbarkeit ist beeinträchtigt, wenn Informationen zu dem Zeitpunkt, zu dem sie verfügbar sein sollten, nicht zur Verfügung stehen.
Ein Cybersicherheitsereignis ist gemäß § 2 odst. 2 písm. e) „událost, která může vyústit v kybernetický bezpečnostní incident“ (ein Ereignis, das zu einem Cybersicherheitsvorfall führen kann) — es birgt das Potenzial, sich zu einem Vorfall zu entwickeln, eine Beeinträchtigung ist jedoch noch nicht eingetreten. Die Meldung solcher Ereignisse ist freiwillig und erfolgt über denselben Weg.
Der Unterschied wird an einem Beispiel deutlich, das NÚKIB selbst verwendet. Passiert eine Phishing-E-Mail den Filter und erreicht einen Benutzer, der jedoch nichts anklickt und die Nachricht meldet, handelt es sich um ein Ereignis. Klickt er auf den Link und gibt seine geschäftlichen Zugangsdaten in ein Formular des Angreifers ein, liegt ein meldepflichtiger Vorfall vor — die Vertraulichkeit der Daten wurde verletzt.
Zur Definition gehört auch das Merkmal der fehlenden Planung. Ein Ausfall der Verfügbarkeit während eines genehmigten Wartungsfensters oder einer kontrollierten Änderung wird nicht gemeldet, weil eine vorsätzliche Verursachung ausgeschlossen werden kann.
Wer einen Vorfall melden muss
Die Meldepflicht nach § 15 zákona gilt ausschließlich für Anbieter regulierter Dienste. Andere müssen nicht melden, können dies aber freiwillig tun. Ob Sie unter die Regulierung fallen, erläutert ein gesonderter Beitrag darüber, für wen zákon 264/2025 gilt; hier setzen wir dies voraus.
Der Anbieter eines regulierten Dienstes meldet Vorfälle, die gleichzeitig drei Merkmale erfüllen:
- Sie haben sich im festgelegten Umfang des Cybersicherheitsmanagements ausgewirkt (§ 12 zákona).
- Sie haben ihren Ursprung im Cyberraum.
- Eine vorsätzliche Verursachung kann nicht unverzüglich, spätestens jedoch innerhalb von 24 Stunden, ausgeschlossen werden.
Der dritte Punkt ist in der Praxis am wichtigsten. Betriebsstörungen, bei denen Vorsatz ausgeschlossen werden kann — etwa eine ausgefallene Festplatte, eine fehlerhafte Konfiguration oder ein Stromausfall — werden nicht gemeldet. Können Sie Vorsatz jedoch nicht ausschließen, müssen Sie den Vorfall melden.
Der Umfang der meldepflichtigen Vorfälle unterscheidet sich außerdem je nach Regelungsstufe:
- Režim vyšších povinností (Regelungsstufe mit höheren Pflichten) — gemeldet werden alle Vorfälle, welche die drei genannten Merkmale erfüllen.
- Režim nižších povinností (Regelungsstufe mit niedrigeren Pflichten) — gemeldet werden nur Vorfälle mit erheblichen Auswirkungen auf die Erbringung des regulierten Dienstes. Der Anbieter beurteilt die Erheblichkeit selbst anhand der Kriterien in § 14 vyhlášky o bezpečnostních opatřeních v režimu nižších povinností.
Für ausgewählte digitale Dienste — darunter Cloud-Dienste, Rechenzentren, DNS-Dienste, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und verwaltete Sicherheitsdienste — definiert die Durchführungsverordnung (EU) 2024/2690 der Kommission unabhängig von der Regelungsstufe, wann ein Vorfall erheblich ist. Meldeweg und Fristen bleiben gleich.
An wen und wie die Meldung erfolgt
Die Meldung geht an die Behörde, also an NÚKIB, und erfolgt vorrangig über ein Formular im Portál NÚKIB (portal.nukib.gov.cz). Das gilt für alle regulierten Rechtsträger unabhängig von ihrer Regelungsstufe.
Ist der Zugriff auf das Portál NÚKIB nicht möglich — was gerade durch den laufenden Vorfall verursacht sein kann —, erlaubt § 16 odst. 4 zákona, den Vorfall per E-Mail oder über eine Datová schránka zu melden. NÚKIB veröffentlicht hierfür die Adresse cert@nukib.gov.cz für den Režim vyšších povinností, abuse@csirt.cz für den Režim nižších povinností sowie die Datové schránky zzfnkp3 und h4axdn8. Dieser Ersatzweg ist eine vorübergehende Notlösung und keine reguläre Alternative.
Die Telefonnummern von NÚKIB — 541 110 555 während der Geschäftszeiten und 725 502 878 außerhalb dieser Zeiten — dienen der schnellen Kommunikation und unmittelbaren Unterstützung. Die Behörde weist jedoch ausdrücklich darauf hin, dass eine telefonische Meldung nicht die Funktion eines offiziellen Meldekanals erfüllt. Sie können anrufen, haben damit die formelle Meldung aber noch nicht erledigt.
Die praktische Konsequenz: Mehr als eine Person muss Zugriff auf das Portál NÚKIB haben, und dieser Zugriff darf nicht ausschließlich von einer Infrastruktur abhängen, die gerade verschlüsselt oder vom Netz getrennt sein könnte.
Meldefristen für einen Vorfall: 24 Stunden, 72 Stunden, 30 Tage
Das Verfahren ist mehrstufig. Bei weniger schwerwiegenden Vorfällen eines Anbieters im Režim vyšších povinností kann es bereits mit der Erstmeldung enden. Bei Vorfällen mit erheblichen Auswirkungen folgen mehrere Schritte, bis das Verfahren mit einem Abschlussbericht endet.
| Stufe | Frist | Beginn der Frist | Inhalt |
|---|---|---|---|
| Erstmeldung | unverzüglich, spätestens innerhalb von 24 Stunden | ab dem Zeitpunkt, zu dem die beauftragte Person das festgestellte Ereignis als Vorfall einstuft | Mitteilung, dass ein Vorfall eingetreten ist |
| Vorfallmeldung | 72 Stunden (bei Anbietern von Vertrauensdiensten 24 Stunden) | ab Feststellung des Vorfalls | ausführlichere Bewertung des Vorfalls, seiner Auswirkungen und der Kompromittierungsindikatoren |
| Zwischenbericht | auf Aufforderung von NÚKIB oder Národní CERT | — | wesentliche Änderungen beim Stand der Vorfallbewältigung |
| Abschlussbericht | 30 Tage | ab der Vorfallmeldung | Beschreibung des Vorfalls, Schweregrad und Auswirkungen, Art der Bedrohung, wahrscheinliche Ursache, Maßnahmen zur Folgenbegrenzung und mögliche grenzüberschreitende Auswirkungen |
Der Zeitplan und die Beschreibung der einzelnen Stufen stammen aus dem Begleitmaterial von NÚKIB „Hlášení kybernetických bezpečnostních incidentů“, Version 1.2 vom 8. Juni 2026. Drei Punkte werden in der Tabelle leicht übersehen.
Nach der Erstmeldung entscheidet die Behörde, nicht Sie. NÚKIB teilt einem Anbieter im Režim vyšších povinností mit, ob der Vorfall erhebliche Auswirkungen hat. Ist dies nicht der Fall, endet das Meldeverfahren für die Organisation mit diesem Schritt, und weitere Berichte sind nicht erforderlich.
Dauert der Vorfall bei Ablauf der Frist noch an, legt die Organisation anschließend einen Zwischenbericht über den aktuellen Stand der Bewältigung vor. Den Abschlussbericht über die Behebung reicht sie spätestens 30 Tage nach der Behebung des Vorfalls ein.
Die ersten 24 Stunden werden nicht ab dem Angriff, sondern ab der Einstufung berechnet. Die Frist beginnt in dem Moment, in dem die beauftragte Person — beispielsweise der Cybersicherheitsmanager — das festgestellte Ereignis als Vorfall einstuft. NÚKIB nennt hierzu zwei Einschränkungen: Die beauftragte Person entscheidet nicht nach eigenem Ermessen, was sie für einen Vorfall hält, sondern beurteilt, ob die gesetzliche Definition objektiv erfüllt ist. Außerdem muss die Bewertung so schnell wie möglich erfolgen. Sie hinauszuzögern ist kein zulässiger Weg, um die Frist zu verlängern.
Die tschechischen Fristen beruhen auf der NIS2-Richtlinie (Richtlinie (EU) 2022/2555). Nach Art. 23 Abs. 4 ist bei erheblichen Vorfällen eine Frühwarnung innerhalb von 24 Stunden, eine Vorfallmeldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats erforderlich. Das tschechische Gesetz übernimmt diese Struktur, verwendet jedoch eigene Begriffe und Regeln zur Fristberechnung — richten Sie sich deshalb nach dem tschechischen Wortlaut und der Methodik von NÚKIB.
Was Sie vorbereiten sollten, damit die Fristen eingehalten werden können
24 Stunden klingen nach viel Zeit — bis Sie gleichzeitig verschlüsselte Daten retten, Anrufe von Kunden beantworten und herausfinden müssen, wer überhaupt Zugriff auf das Portal hat. Die meisten Grundlagen lassen sich im Voraus vorbereiten.
| Was vorbereitet werden sollte | Warum es während eines Vorfalls fehlt |
|---|---|
| Eine namentlich bestimmte Person, die ein Ereignis als Vorfall einstuft, sowie eine Vertretung | Mit ihrer Entscheidung beginnt die 24-Stunden-Frist. Ohne Vertretung kann Urlaub oder Krankheit den Prozess aufhalten. |
| Zugriff auf das Portál NÚKIB für zwei Personen, unabhängig von der Hauptinfrastruktur | Ein einziges, an die Unternehmensanmeldung gebundenes Konto ist genau dann nicht verfügbar, wenn es benötigt wird. |
| Offline-Kontaktliste: alternative Meldewege, IT-Dienstleister, Internetanbieter, Rechtsanwalt, Versicherung und Bank | Kontakte, die nur in E-Mails oder im Intranet gespeichert sind, fallen zusammen mit diesen Systemen aus. |
| Bestandsverzeichnis der Assets — Server, Anwendungen, Daten, deren Verantwortliche und Lieferanten | Ohne dieses Verzeichnis lässt sich nicht feststellen, ob sich der Vorfall im festgelegten Umfang ausgewirkt hat und somit überhaupt meldepflichtig ist. |
| Dokumentierter Umfang des Cybersicherheitsmanagements gemäß § 12 | Er ist eines der drei Merkmale eines meldepflichtigen Vorfalls. Ihn unter Zeitdruck erst ermitteln zu müssen, führt zu Mutmaßungen. |
| Protokolle mit ausreichender Aufbewahrungsdauer und synchronisierten Zeitangaben | Ohne sie fehlt die Grundlage, um Kompromittierungsindikatoren und einen zeitlichen Ablauf zusammenzustellen. |
| Vorlage für die Beschreibung eines Vorfalls: Was ist geschehen, wann wurde es festgestellt, was ist betroffen, wie wirkt es sich auf den Dienst aus und was wurde bereits unternommen? | Der Text wird anschließend nur noch ergänzt, statt von Grund auf neu geschrieben zu werden. |
| Fortlaufende Aufzeichnung darüber, wer wann welche Maßnahme ergriffen hat | Der Abschlussbericht verlangt Angaben zur wahrscheinlichen Ursache und zu den ergriffenen Maßnahmen. Nach einem Monat erinnert sich niemand mehr an alle Einzelheiten. |
| Aktuelle Kontaktdaten im Portál NÚKIB | Die Behörde teilt nach der Erstmeldung mit, ob der Vorfall erhebliche Auswirkungen hat. Sie muss die zuständigen Personen erreichen können. |
Jeder dieser Punkte erfordert vorab nur einige Stunden Arbeit — während eines Vorfalls dagegen schnell mehrere Tage.
Vorbereitung, die wichtiger ist als das Formular
Die Meldung ist der administrative Teil. Der andere Teil ist die Fähigkeit, den Betrieb überhaupt wiederherzustellen. Davon hängt ab, wie lange der Vorfall dauert und was später im Abschlussbericht stehen wird.
In der Praxis bedeutet das: Sicherungen, deren Wiederherstellung regelmäßig getestet wurde, sowie ein Wiederherstellungsplan mit einer festgelegten Reihenfolge der Systeme, klaren Verantwortlichkeiten und einer akzeptablen Ausfallzeit. Eine Sicherung, die noch nie wiederhergestellt wurde, ist lediglich eine Annahme. Wenn Daten auf einem Server bereits beschädigt wurden, beschreibt ein gesonderter Beitrag zur Datenrettung von einem Server die verfügbaren Möglichkeiten.
Das technische Vorgehen in den ersten Stunden nach einem Angriff — was vom Netz getrennt werden sollte, was wegen der Beweissicherung gerade nicht ausgeschaltet werden darf und wie sich das Ausmaß feststellen lässt — erläutert ein eigener Artikel über die ersten 24 Stunden nach einem Ransomware-Angriff im Unternehmen. Beide Bereiche laufen parallel: Während die Techniker die Isolierung und Wiederherstellung übernehmen, überwacht eine andere Person die Frist und reicht die Erstmeldung ein. Verteilen Sie diese Aufgaben deshalb auf verschiedene Personen.
Erwähnenswert ist auch, was keine Ordnungswidrigkeit darstellt. Allein die Tatsache, dass bei einer verpflichteten Person ein Vorfall eingetreten ist, ist keine Ordnungswidrigkeit. Eine solche liegt jedoch vor, wenn der Vorfall verspätet oder überhaupt nicht gemeldet wird — ebenso, wenn eine verpflichtete Person nach der Erstmeldung eines erheblichen Vorfalls die Kommunikation einstellt. Das Gesetz regelt die Tatbestände der Ordnungswidrigkeiten in seinem Sanktionsteil; die konkrete Höhe möglicher Geldbußen sollten Sie im jeweils aktuellen Wortlaut prüfen. NÚKIB weist zugleich darauf hin, dass die Meldung eines Vorfalls nicht unmittelbar einen Grund für eine anschließende Kontrolle darstellt.
Wenn Sie nicht reguliert sind
Die meisten kleinen und mittleren Unternehmen sind keine Anbieter regulierter Dienste und daher nicht verpflichtet, einen Vorfall an NÚKIB zu melden. Eine freiwillige Meldung ist jedoch möglich — auch Rechtsträger, die keiner gesetzlichen Meldepflicht unterliegen, können der Behörde Vorfälle und Ereignisse über denselben Weg melden. Das ist vor allem bei einer größeren Angriffskampagne oder einer Schwachstelle sinnvoll, von der auch andere betroffen sind.
Erpressung, insbesondere durch Ransomware, sollte der Policie ČR gemeldet werden. Es handelt sich um eine Straftat, und ihre Anzeige ist nicht dasselbe wie die Meldung eines Vorfalls an NÚKIB — es sind zwei voneinander unabhängige Schritte mit unterschiedlichen Empfängern. Sind durch den Vorfall personenbezogene Daten betroffen, kann zusätzlich eine Meldepflicht nach der DSGVO gegenüber Úřad pro ochranu osobních údajů bestehen. Dabei handelt es sich um eine andere Rechtsgrundlage, die gesondert zu beurteilen ist.
Die Checkliste aus dem vorherigen Kapitel ist unabhängig von einer Regulierung hilfreich. Zu wissen, wer entscheidet, Kontakte offline verfügbar zu haben und ein Bestandsverzeichnis sowie Protokolle mit angemessener Aufbewahrungsdauer zu führen, ist auch für ein Unternehmen sinnvoll, das gar nicht unter das Gesetz fällt. Der Unterschied besteht lediglich darin, dass einem regulierten Rechtsträger bei Nichterfüllung eine Sanktion droht, anderen Unternehmen dagegen vor allem ein längerer Ausfall.
ITHOPE bietet in Brno IT-Betreuung für Unternehmen und Unterstützung bei der Vorbereitung auf solche Situationen: Sicherungen, deren Wiederherstellung regelmäßig getestet wird, ein Wiederherstellungsplan mit festgelegten Verantwortlichkeiten sowie Unterlagen, aus denen sich die fristgerechte Meldung erstellen lässt — Bestandsverzeichnis der Assets, Protokolle mit ausreichender Aufbewahrungsdauer und eine außerhalb des Unternehmensnetzes verfügbare Kontaktliste. Einzelheiten finden Sie auf der Seite IT-Betreuung und Datensicherung, eine Übersicht der Leistungen unter IT für Unternehmen. Ob und in welcher Regelungsstufe Sie unter das Gesetz fallen, sollte Ihr Rechtsanwalt beurteilen.
Quellen
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti — e-Sbírka (Inkrafttreten am 1. 11. 2025, § 72 hob zákon č. 181/2014 Sb. auf, § 6 odst. 1 und § 13 odst. 4)
- Hlášení kybernetických bezpečnostních incidentů, TLP:CLEAR, verze 1.2 z 8. 6. 2026 — Begleitmaterial von NÚKIB (Definitionen von Vorfall und Ereignis, drei Merkmale eines meldepflichtigen Vorfalls, Zeitplan mit 24 Stunden, 72 Stunden und 30 Tagen, Ordnungswidrigkeiten)
- Hlášení incidentů — kontakty a způsoby hlášení — NÚKIB (Portál NÚKIB, Ersatzmeldung gemäß § 16 odst. 4, E-Mail-Adressen, Datové schránky und Telefonnummern)
- Hlášení kybernetického bezpečnostního incidentu — Portál NÚKIB, Formulare für die einzelnen Meldestufen
- Směrnice (EU) 2022/2555 (NIS2), čl. 23 odst. 4 — EUR-Lex (24 Stunden, 72 Stunden, ein Monat)
Wo Sie uns finden
ITHOPE ist eine Firma aus Brno, Tschechien: wir machen Datenrettung von Festplatten, RAID und NAS, PC- und Notebook-Service und IT für Unternehmen, alles im eigenen Labor in der Viniční 3587/216, 615 00 Brno.
Telefon +420 775 556 063 (rund um die Uhr). Das Gerät können Sie persönlich bringen oder per Kurier schicken (Zásilkovna, PPL).