Коротка відповідь: Відповідно до § 15 zákona č. 264/2025 Sb. повідомляти про інцидент кібербезпеки зобов’язаний лише постачальник регульованої послуги. Повідомлення подається до NÚKIB, насамперед через форму на Portálu NÚKIB, у кілька етапів: первинне повідомлення — не пізніше ніж через 24 години від моменту, коли уповноважена особа оцінить подію як інцидент, сповіщення про інцидент — протягом 72 годин із моменту його виявлення, а підсумковий звіт — протягом 30 днів після сповіщення. Нерегульовані суб’єкти повідомляти не зобов’язані. Цей текст є інформаційним оглядом, а не юридичною консультацією — обов’язковими є положення закону та постанов.
Zákon č. 264/2025 Sb., o kybernetické bezpečnosti набув чинності 1 листопада 2025 року та своїм § 72 скасував zákon č. 181/2014 Sb. Для реєстрації встановлено окремий строк у 60 днів (§ 6 odst. 1), а для впровадження заходів безпеки — 1 рік із моменту вручення рішення про реєстрацію (§ 13 odst. 4). Однак повідомлення про інциденти запланувати неможливо: процедуру запускає подія, а строки обчислюються в годинах.
Інцидент кібербезпеки чи лише подія?
Закон оперує двома поняттями, і саме різниця між ними визначає, чи почав для вас спливати строк.
Інцидент кібербезпеки відповідно до § 2 odst. 2 písm. f) zákona — це «порушення безпеки інформації в кіберпросторі». Під безпекою інформації розуміється забезпечення конфіденційності, цілісності та доступності інформації й даних (§ 2 odst. 2 písm. b). NÚKIB тлумачить ці три властивості так:
- Конфіденційність порушено, якщо доступ до інформації отримав той, хто не повинен був його мати.
- Цілісність порушено, якщо інформацію було змінено або видалено внаслідок несанкціонованого втручання.
- Доступність порушено, якщо інформація недоступна тоді, коли вона мала бути доступною.
Подія кібербезпеки відповідно до § 2 odst. 2 písm. e) — це «подія, яка може призвести до інциденту кібербезпеки»: вона потенційно здатна перерости в інцидент, але порушення ще не сталося. Повідомляти про події можна добровільно тим самим способом.
Різницю добре видно на прикладі, який наводить сам NÚKIB. Якщо фішинговий лист пройшов через фільтр до користувача, але той ні на що не натиснув і повідомив про лист, це подія. Якщо ж користувач перейшов за посиланням і ввів робочі облікові дані у форму зловмисника, це інцидент, про який потрібно повідомити, оскільки було порушено конфіденційність даних.
До визначення також належить ознака незапланованості. Про порушення доступності під час погодженого сервісного вікна або контрольованої зміни повідомляти не потрібно, оскільки в такому разі можна виключити умисне спричинення.
Хто зобов’язаний повідомляти про інцидент
§ 15 zákona покладає обов’язок повідомляти лише на постачальників регульованих послуг. Інші суб’єкти робити це не зобов’язані, але можуть повідомити добровільно. Питання про те, чи підпадаєте ви під регулювання, розглянуто в окремому матеріалі про те, на кого поширюється zákon 264/2025; тут ми виходимо з того, що ви під нього підпадаєте.
Постачальник регульованої послуги повідомляє про інциденти, які одночасно відповідають трьом ознакам:
- проявилися у визначеному обсязі управління кібербезпекою (§ 12 zákona),
- мають походження в кіберпросторі,
- щодо них неможливо без зайвої затримки, але не пізніше ніж протягом 24 годин, виключити умисне спричинення.
На практиці третій пункт є найважливішим. Про операційні інциденти, щодо яких умисел можна виключити, — несправність диска, помилкову конфігурацію, перебій електропостачання — повідомляти не потрібно. Однак якщо виключити умисел неможливо, повідомлення потрібно подати.
Обсяг інцидентів, про які необхідно повідомляти, також залежить від режиму:
- Режим вищих обов’язків — повідомляють про всі інциденти, які відповідають трьом наведеним вище ознакам.
- Режим нижчих обов’язків — повідомляють лише про інциденти, що мають значний вплив на надання регульованої послуги. Постачальник сам оцінює значущість за критеріями, наведеними в § 14 vyhlášky o bezpečnostních opatřeních v režimu nižších povinností.
Для окремих цифрових послуг — хмарних сервісів, центрів обробки даних, DNS, онлайн-майданчиків, пошукових систем, соціальних мереж, керованих послуг безпеки та інших — значний інцидент визначає Імплементаційний регламент Комісії (EU) 2024/2690 незалежно від режиму; спосіб повідомлення та строки залишаються однаковими.
Кому і як повідомляти
Повідомлення подається до Úřadu, тобто NÚKIB, а основним способом є форма на Portálu NÚKIB (portal.nukib.gov.cz). Це стосується всіх регульованих суб’єктів незалежно від режиму.
Якщо отримати доступ до Portálu NÚKIB неможливо — зокрема через інцидент, який саме триває, — § 16 odst. 4 zákona дозволяє повідомити про інцидент електронною поштою або через datovou schránku. NÚKIB публікує для цього адресу cert@nukib.gov.cz для режиму вищих обов’язків, abuse@csirt.cz для режиму нижчих обов’язків, а також datové schránky zzfnkp3 і h4axdn8. Резервний канал є тимчасовим аварійним рішенням, а не звичайною альтернативою.
Телефонні лінії NÚKIB — 541 110 555 у робочий час і 725 502 878 у неробочий — призначені для швидкого зв’язку та невідкладної допомоги. Однак Úřad прямо зазначає, що повідомлення телефоном не є офіційним способом подання. Зателефонувати можна, але це не замінює офіційного повідомлення.
Практичний висновок: доступ до Portálu NÚKIB повинна мати не одна людина, і він не має залежати лише від інфраструктури, яка в потрібний момент може бути зашифрована або від’єднана.
Строки повідомлення про інцидент: 24 години, 72 години, 30 днів
Процес складається з кількох етапів. Для менш серйозних інцидентів постачальника в режимі вищих обов’язків він може завершитися вже після первинного повідомлення; для інцидентів зі значним впливом процедура продовжується в кілька етапів і завершується підсумковим звітом.
| Етап | Строк | Від якого моменту обчислюється | Що містить |
|---|---|---|---|
| Первинне повідомлення | без зайвої затримки, але не пізніше ніж протягом 24 годин | із моменту, коли уповноважена особа оцінить виявлену подію як інцидент | повідомлення про те, що інцидент стався |
| Сповіщення про інцидент | 72 години (для постачальників довірчих послуг — 24 години) | із моменту виявлення інциденту | докладніша оцінка інциденту, його вплив, індикатори компрометації |
| Проміжний звіт | на вимогу NÚKIB або Národního CERTu | — | істотні зміни у стані реагування на інцидент |
| Підсумковий звіт | 30 днів | від сповіщення про інцидент | опис інциденту, серйозність і вплив, вид загрози, імовірна причина, заходи з пом’якшення наслідків, можливий транскордонний вплив |
Часова шкала й опис етапів походять із допоміжного матеріалу NÚKIB „Hlášení kybernetických bezpečnostních incidentů“, версія 1.2 від 8 червня 2026 року. У таблиці легко не помітити три важливі моменти.
Після первинного повідомлення рішення ухвалює Úřad, а не ви. Постачальнику в режимі вищих обов’язків NÚKIB повідомить, чи має інцидент значний вплив. Якщо значного впливу немає, на цьому процедура повідомлення для організації завершується і подавати наступні звіти не потрібно.
Якщо на момент закінчення строку інцидент усе ще триває, після спливу цього строку організація подає проміжний звіт про поточний стан реагування, а підсумковий звіт про усунення інциденту — не пізніше ніж через 30 днів після його усунення.
Перші 24 години обчислюються не від атаки, а від оцінки події. Строк починається з моменту, коли уповноважена особа — наприклад, менеджер із кібербезпеки — оцінить виявлену подію як інцидент. NÚKIB додає два застереження: уповноважена особа вирішує не те, що вона сама вважає інцидентом, а те, чи виконано визначені законом ознаки, тобто оцінює об’єктивний факт; крім того, оцінювання має відбутися якомога швидше. Відкладати його, щоб подовжити строк, не можна.
Чеські строки ґрунтуються на směrnici NIS2 (směrnice (EU) 2022/2555), яка в čl. 23 odst. 4 встановлює для значних інцидентів раннє попередження протягом 24 годин, повідомлення про інцидент протягом 72 годин і підсумковий звіт протягом одного місяця. Чеський закон переймає цю структуру, але використовує власну термінологію та правила обчислення строків, тому керуйтеся чеським текстом і методикою NÚKIB.
Що підготувати заздалегідь, щоб укластися у строки
24 години здаються достатнім запасом часу лише доти, доки протягом них не доводиться одночасно розбиратися із зашифрованими даними, відповідати на дзвінки клієнтів і з’ясовувати, хто взагалі має доступ до порталу. Більшість необхідних матеріалів можна підготувати заздалегідь.
| Що підготувати | Чому цього бракує під час інциденту |
|---|---|
| Конкретно визначена особа, яка оцінює подію як інцидент, а також її заступник | Від її рішення починається 24-годинний строк. Без заступника процес зупинять відпустка або хвороба. |
| Доступ до Portálu NÚKIB у двох людей, незалежний від основної інфраструктури | Єдиний обліковий запис, прив’язаний до корпоративного входу, стає недоступним саме тоді, коли він потрібен. |
| Офлайн-список контактів: резервні канали повідомлення, постачальник ІТ, оператор зв’язку, юрист, страхова компанія, банк | Контакти, збережені лише в електронній пошті або інтранеті, зникають разом із ними. |
| Облік активів — серверів, застосунків, даних, їхніх власників і постачальників | Без нього неможливо визначити, чи проявився інцидент у встановленому обсязі, а отже, чи потрібно про нього взагалі повідомляти. |
| Задокументований обсяг управління кібербезпекою відповідно до § 12 | Це одна з трьох ознак інциденту, про який необхідно повідомляти. Шукати ці відомості під тиском означає діяти навмання. |
| Журнали з достатнім строком зберігання та синхронізованим часом | Інакше не буде джерел для складання індикаторів компрометації та часової шкали. |
| Шаблон опису інциденту: що сталося, коли виявлено, чого стосується, який вплив на послугу, що вже зроблено | Тоді текст можна заповнювати, а не писати з нуля. |
| Поточний журнал того, хто, що й коли зробив | Для підсумкового звіту потрібні ймовірна причина та вжиті заходи. Через місяць цього вже ніхто точно не згадає. |
| Актуальні контактні дані в Portálu NÚKIB | Після первинного повідомлення Úřad повідомляє, чи має інцидент значний вплив. Представники Úřadu повинні мати змогу з вами зв’язатися. |
Кожен пункт потребує кількох годин роботи заздалегідь, але під час інциденту може забрати кілька днів.
Готовність, важливіша за саму форму
Повідомлення — це адміністративна частина. Друга частина полягає у здатності відновити роботу, і саме вона визначає, скільки триватиме інцидент та що зрештою буде зазначено в підсумковому звіті.
На практиці це означає резервні копії, відновлення з яких хтось регулярно перевіряє, а також план відновлення з визначеним порядком запуску систем, розподілом відповідальності та прийнятною тривалістю простою. Резервна копія, з якої ніхто ніколи не виконував відновлення, — лише припущення. Якщо дані на сервері вже пошкоджено, можливі варіанти описано в окремому матеріалі про відновлення даних із сервера.
Технічним діям у перші години після атаки — що від’єднати, що, навпаки, не вимикати через необхідність зберегти докази, як установити масштаб — присвячено окрему статтю про те, як виглядають перші 24 години після атаки програми-вимагача в компанії. Обидва напрями роботи виконуються паралельно: поки технічні фахівці займаються ізоляцією та відновленням, хтось інший стежить за строком і подає первинне повідомлення. Тому розподіліть ці завдання між різними людьми.
Варто також зазначити, що не є правопорушенням. Сам факт того, що зобов’язаний суб’єкт зазнав інциденту, правопорушенням не є. Правопорушенням є неподання повідомлення у встановлений строк або його неподання взагалі, а також припинення комунікації після первинного повідомлення про значний інцидент. Склади правопорушень zákon визначає у своїй санкційній частині; конкретні розміри штрафів перевіряйте в актуальній редакції. NÚKIB водночас зазначає, що повідомлення про інцидент саме по собі не є безпосередньою підставою для подальшої перевірки.
Якщо ви не належите до регульованих суб’єктів
Більшість малих і середніх компаній не є постачальниками регульованих послуг, а тому не зобов’язані повідомляти NÚKIB про інцидент. Однак добровільне повідомлення можливе: суб’єкти, на яких не поширюється законодавчий обов’язок, також можуть повідомляти Úřadu про інциденти та події тим самим способом. Це особливо доцільно у випадках масштабної кампанії або вразливості, що зачіпає й інших.
У разі вимагання, зокрема атаки програми-вимагача, потрібно звертатися до Policii ČR. Йдеться про кримінальний злочин, і повідомлення про нього не є тим самим, що й повідомлення NÚKIB про інцидент: це два незалежні кроки з різними адресатами. Якщо інцидент зачепив персональні дані, додатково може виникнути обов’язок повідомити Úřadu pro ochranu osobních údajů відповідно до GDPR; це інший правовий режим, який оцінюється окремо.
Контрольний список із попереднього розділу корисний незалежно від того, чи підпадає компанія під регулювання. Знати, хто ухвалює рішення, мати офлайн-контакти, облік активів і журнали з достатнім строком зберігання корисно навіть компанії, якої закон узагалі не стосується. Різниця лише в тому, що регульованому суб’єкту за невиконання вимог загрожує покарання, а іншим — триваліший простій.
ITHOPE у Брно займається управлінням ІТ для компаній і підготовкою до таких ситуацій: резервними копіями, відновлення з яких регулярно перевіряється, планом відновлення з визначеною відповідальністю та матеріалами, на основі яких повідомлення можна скласти у встановлений строк, — обліком активів, журналами з достатнім строком зберігання та списком контактів поза корпоративною мережею. Докладніше дивіться на сторінці управління ІТ та резервне копіювання, а огляд послуг — у розділі ІТ для компаній. Визначення того, чи підпадаєте ви під дію закону та в якому режимі, належить до компетенції вашого юриста.
Джерела
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti — e-Sbírka (чинний із 1. 11. 2025, § 72 скасував zákon č. 181/2014 Sb., § 6 odst. 1 і § 13 odst. 4)
- Hlášení kybernetických bezpečnostních incidentů, TLP:CLEAR, verze 1.2 z 8. 6. 2026 — допоміжний матеріал NÚKIB (визначення інциденту та події, три ознаки інциденту, про який необхідно повідомляти, часова шкала 24 години / 72 години / 30 днів, правопорушення)
- Hlášení incidentů — kontakty a způsoby hlášení — NÚKIB (Portál NÚKIB, резервне повідомлення відповідно до § 16 odst. 4, адреси електронної пошти, datové schránky, телефонні лінії)
- Hlášení kybernetického bezpečnostního incidentu — Portál NÚKIB, форми для окремих етапів
- Směrnice (EU) 2022/2555 (NIS2), čl. 23 odst. 4 — EUR-Lex (24 години, 72 години, один місяць)
Де нас знайти
ITHOPE — компанія з Брно, Чехія: ми робимо відновлення даних з дисків, RAID і NAS, сервіс ПК та ноутбуків та IT для бізнесу, усе у власній лабораторії за адресою Viniční 3587/216, 615 00 Brno.
Телефон +420 775 556 063 (цілодобово). Пристрій можна привезти особисто або надіслати курʼєром (Zásilkovna, PPL).