Odpověď hned: Evropskou směrnici NIS2 v Česku provádí nový zákon o kybernetické bezpečnosti č. 264/2025 Sb., účinný od 1. listopadu 2025. Dopadá na firmy, které poskytují některou ze služeb vyjmenovaných v prováděcích vyhláškách NÚKIB a zároveň dosahují alespoň velikosti středního podniku — orientačně od 50 zaměstnanců, nebo když roční obrat i bilanční suma přesáhnou 10 milionů eur; u vybraných služeb velikost nehraje roli. Zákon stojí na samoidentifikaci: nikdo vám dopis nepošle, firma se musí sama poznat a registrovat u NÚKIB. Většina nově regulovaných firem spadne do režimu nižších povinností — i ten ale znamená registraci, bezpečnostní opatření podle vyhlášky a hlášení incidentů.
Kolem NIS2 se dva roky mluvilo v kondicionálu — „až to přijde”. Teď už to platí. Od 1. listopadu 2025 je účinný zákon č. 264/2025 Sb., o kybernetické bezpečnosti, který nahradil starý zákon č. 181/2014 Sb. a rozšířil regulaci z pár desítek subjektů kritické infrastruktury na tisíce běžných firem: výrobní podniky, potravináře, dopravce, chemičky, IT dodavatele nebo nemocnice.
Nejčastější otázka, kterou od jednatelů slyšíme, je přitom pořád stejná: „Týká se to vůbec nás?” Tenhle text ji pomůže zodpovědět — a hlavně říct, co s tím v roce 2026 prakticky udělat.
Z evropské směrnice do českého zákona
NIS2 je směrnice EU 2022/2555 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti. Směrnice sama o sobě firmám povinnosti neukládá — musí ji provést národní zákon. Tím je právě zákon č. 264/2025 Sb. spolu s balíkem prováděcích vyhlášek NÚKIB, které určují, co je regulovaná služba a jak vypadají konkrétní bezpečnostní opatření.
Tři věci, které nový zákon mění oproti starému stavu:
- Mnohem širší záběr. Regulace už nemíří jen na energetiku a stát, ale na celé dodavatelské řetězce běžné ekonomiky.
- Samoidentifikace. Firma má povinnost sama vyhodnotit, jestli poskytuje regulovanou službu, a registrovat se u NÚKIB. Čekat, „až se ozvou”, je porušení zákona, ne strategie.
- Dva režimy povinností. Místo jednoho tvrdého standardu pro všechny zákon rozlišuje režim vyšších a nižších povinností podle významu služby.
Dozor vykonává NÚKIB — Národní úřad pro kybernetickou a informační bezpečnost. Ten také provozuje portál pro registraci a samoidentifikačního průvodce, kterým si můžete první odhad udělat sami.
Jak poznáte, že poskytujete regulovanou službu
Rozhodují dvě podmínky současně: co děláte a jak jste velcí.
1. Odvětví a služba
Prováděcí vyhláška vyjmenovává regulované služby po odvětvích. Vycházejí z příloh směrnice NIS2, orientačně:
- Vyšší význam: energetika, doprava, bankovnictví a finanční trhy, zdravotnictví, pitná a odpadní voda, digitální infrastruktura, správa ICT služeb pro jiné firmy (MSP/MSSP), veřejná správa, vesmírný sektor.
- Ostatní regulovaná odvětví: poštovní a kurýrní služby, odpadové hospodářství, chemický průmysl, výroba a distribuce potravin, výroba (mimo jiné elektronika, stroje, motorová vozidla, zdravotnické prostředky), digitální služby jako online tržiště, vyhledávače a sociální sítě, výzkum.
Pozor na jednu past: nerozhoduje, jak máte zapsaný předmět podnikání v obchodním rejstříku, ale co reálně provozujete. Strojírenská firma, která si k výrobě přibalila vlastní e-shop a logistiku, se posuzuje podle všech činností, které skutečně vykonává.
2. Velikost podniku
Zákon zpravidla dopadá na střední a velké podniky. Hranice vychází z evropské definice: orientačně 50 a více zaměstnanců, nebo roční obrat a zároveň bilanční suma nad 10 milionů eur — u finanční cesty musí být překročena obě kritéria, samotný vysoký obrat při nízké bilanční sumě pod regulaci nestačí. Do výpočtu se přitom počítají i propojené a partnerské podniky — dceřiná firma o dvaceti lidech může pod regulaci spadnout kvůli velikosti celé skupiny. U vybraných služeb (například části digitální infrastruktury nebo veřejné správy) platí regulace bez ohledu na velikost.
Pokud obě podmínky naplníte, ukládá § 6 odst. 1 zákona ohlásit službu NÚKIB do 60 dnů ode dne, kdy jste podmínky splnili, přes jeho portál. Pro firmy, které je splňovaly už při nabytí účinnosti zákona 1. listopadu 2025, tahle lhůta uplynula 31. prosince 2025 — kdo ji promeškal, měl by se registrovat co nejdřív, promeškání se čekáním jen prohlubuje. Vyhláška u každé služby zároveň říká, jestli patří do režimu vyšších, nebo nižších povinností.
Co obnáší režim nižších povinností
Většina nově regulovaných firem — typicky výroba, potraviny, chemie, odpady, kurýrní služby — skončí v režimu nižších povinností. Ten je záměrně střižený tak, aby byl zvládnutelný i pro firmu bez vlastního bezpečnostního oddělení. Neznamená ale „nic dělat nemusíme”. Konkrétně jde o:
- Registraci a udržování kontaktních údajů u NÚKIB, včetně hlášení změn.
- Bezpečnostní opatření podle vyhlášky č. 410/2025 Sb. (o bezpečnostních opatřeních poskytovatele regulované služby v režimu nižších povinností): řízení přístupů a identit, zálohování a obnova, aktualizace a řešení zranitelností, základní řízení dodavatelů, zvládání incidentů, kontinuita provozu, školení lidí.
- Hlášení kybernetických bezpečnostních incidentů. Lhůty stanovuje § 16 zákona: prvotní hlášení do 24 hodin od zjištění, u incidentu s významným dopadem oznámení s prvotním posouzením do 72 hodin a do 30 dnů od tohoto oznámení závěrečná zpráva o vyřešení — bez připraveného postupu se to o víkendu stihnout nedá.
- Reakci na opatření NÚKIB — varování, protiopatření, případně nápravná opatření z kontroly.
Důležitý detail, který vedení firem často podceňuje: odpovědnost za kybernetickou bezpečnost nese vrcholné vedení a nelze ji beze zbytku delegovat na IT ani na externího dodavatele. Podpis pod outsourcingovou smlouvou odpovědnosti nezbavuje — funguje to podobně jako u povinností BOZP v kancelářích a IT firmách: plnit je může dodavatel, odpovídá statutár.
A sankce? Český zákon je vyčísluje v korunách, ne v eurech ze směrnice: podle § 59 zákona hrozí za přestupky v režimu vyšších povinností pokuta až 250 000 000 Kč, nebo až 2 % čistého celosvětového ročního obratu podniku — podle toho, která částka je vyšší; v režimu nižších povinností až 175 000 000 Kč, nebo 1,4 % obratu. Reálná praxe NÚKIB bude jistě začínat u nápravných opatření, ne u maximálních pokut — ale argument „nám se nic stát nemůže” přestal platit.
Kyberbezpečnostní audit není audit kabeláže
V nabídkách se teď slovo „audit” skloňuje ve všech pádech, tak si ujasněme pojmy, ať nekupujete něco jiného, než potřebujete.
Audit souladu s NIS2 (gap analýza) porovnává stav firmy s požadavky zákona a vyhlášek: řízení rizik, směrnice, role a odpovědnosti, smlouvy s dodavateli, zvládání incidentů, zálohy, školení. Výstupem je seznam mezer a plán, co doplnit — z velké části jde o procesy a dokumenty, ne o krabice.
Audit počítačové sítě a kabeláže kontroluje fyzickou a technickou vrstvu: rozvaděče, switche, Wi-Fi, VLAN, firewall, dokumentaci sítě. Sám o sobě soulad s NIS2 nezajistí — ale bez něj se soulad jen předstírá, protože nemůžete chránit síť, kterou nemáte zmapovanou. Hostovská Wi-Fi ve stejné síti jako účetnictví je nález, který žádná směrnice na papíře nevyřeší.
V praxi dává smysl obojí spojit: nejdřív zjistit, kde firma reálně je, a teprve pak psát dokumentaci. Přesně takhle stavíme vstupní IT audit a gap analýzu pro firmy — projdeme s vámi samoidentifikaci, technický stav i procesy a výstupem je seřazený plán podle priorit, ne stostránková zpráva do šuplíku. Diagnostiku toho, kde vás NIS2 pálí nejvíc, tak nemusíte řešit ve vakuu.
Co stihnout v roce 2026
Zákon je účinný od 1. listopadu 2025 a lhůty už běží. Rozumný plán pro rok 2026 vypadá takhle:
- Samoidentifikace (hned). Projděte prováděcí vyhlášku a samoidentifikačního průvodce NÚKIB. Výsledek si písemně zdokumentujte i v případě, že vám vyjde „neregulováni” — u kontroly nebo dotazu zákazníka se bude hodit.
- Registrace (hned — u většiny firem už lhůta běžela). Pokud regulovanou službu poskytujete, registrujte se na portálu NÚKIB. Kdo podmínky splňoval už 1. listopadu 2025, měl ohlášení podle § 6 odst. 1 podat do 31. prosince 2025 — odklad nic nevylepší, jen ukrajuje čas na další kroky.
- Gap analýza (první polovina 2026). Zjistěte rozdíl mezi stavem a vyhláškou pro váš režim. Bezpečnostní opatření musí podle § 13 odst. 4 běžet nejpozději do 1 roku od doručení rozhodnutí o registraci — kdo se registroval na přelomu let, potřebuje mít opatření hotová během roku 2026.
- Rychlé výhry dřív než papíry. Zálohování podle pravidla 3-2-1 s kopií mimo firmu, vícefaktorové přihlašování, aktualizace, oddělení sítí. To jsou opatření, která vás chrání už zítra — ransomware na firemním NAS nepočká, až dopíšete směrnici.
- Postup pro hlášení incidentů. Kdo incident pozná, kdo ho hlásí NÚKIB, kdo komunikuje se zákazníky. Jedna stránka A4, vytištěná — při zašifrovaném serveru se do intranetu nepodíváte.
- Vedení do hry. Statutární orgán má rozhodnutí o bezpečnosti schvalovat a rozumět jim. Hodina ročně na vyhodnocení rizik je minimum, které se při kontrole i při incidentu počítá.
Co když pod zákon nespadáte
I firma pod 50 zaměstnanců mimo regulovaná odvětví se s NIS2 potká — nepřímo. Regulované subjekty musí řídit bezpečnost dodavatelského řetězce, takže požadavky stečou dolů: dotazníky, smluvní doložky, požadavek na MFA nebo doložení záloh. Kdo dodává výrobnímu podniku, nemocnici nebo bance, dostane bezpečnostní dotazník dřív, než čekal — a připravená odpověď je konkurenční výhoda, ne byrokracie.
Jestli si nejste jistí, kam vaše firma spadá, nebo chcete gap analýzu s konkrétním plánem místo obecného strašení, ozvěte se nám. Provedeme vás samoidentifikací i technickou stránkou — od rozvaděče po směrnici.
Často se ptáte
Týká se NIS2 firmy do 50 zaměstnanců?
Zpravidla přímo ne, pokud zároveň nepřekračuje obratové hranice a neposkytuje službu regulovanou bez ohledu na velikost (například části digitální infrastruktury). Pozor ale na součet propojených a partnerských podniků ve skupině — a na nepřímý dopad přes bezpečnostní požadavky regulovaných zákazníků.
Jak zjistím, jestli poskytujeme regulovanou službu?
Projděte prováděcí vyhlášku k zákonu č. 264/2025 Sb. a samoidentifikačního průvodce na portálu NÚKIB. Posuzujte skutečně vykonávané činnosti, ne zápis v rejstříku. Výsledek samoidentifikace si zdokumentujte; při hraničním výsledku pomůže nezávislá gap analýza.
Co hrozí, když se neregistrujeme a „počkáme”?
Registrace je zákonná povinnost s krátkou lhůtou, ne volba — pro firmy regulované už od účinnosti zákona uplynula 31. prosince 2025. Zákon č. 264/2025 Sb. počítá v § 59 s pokutami až 250 milionů Kč nebo 2 % celosvětového obratu (v nižším režimu až 175 milionů Kč nebo 1,4 %); realističtější bezprostřední riziko jsou nápravná opatření z kontroly NÚKIB a ztráta zakázek u zákazníků, kteří doklad o souladu vyžadují ve výběrových řízeních.
Stačí nám certifikace ISO 27001?
Pomůže, ale sama o sobě soulad nezakládá. Registrace, hlášení incidentů a konkrétní opatření podle české vyhlášky (pro nižší režim č. 410/2025 Sb.) platí i pro certifikované firmy. Dobře zavedené ISO ale většinu požadavků pokrývá, takže gap analýza bývá krátká — mapuje se rozdíl, nedělá se všechno znovu.
Kdy musíme hlásit incident?
Lhůty stanovuje § 16 zákona č. 264/2025 Sb.: prvotní hlášení bez zbytečného odkladu, nejpozději do 24 hodin od zjištění; u incidentu s významným dopadem následuje do 72 hodin oznámení s prvotním posouzením a do 30 dnů od něj závěrečná zpráva o vyřešení. Prakticky to znamená mít předem určeno, kdo incident vyhodnotí a kdo hlášení podá, včetně zástupu o dovolených.