Nový zákon o kybernetické bezpečnosti, číslo 264/2025 Sb., se netýká jen bank a elektráren. Zjistěte za pět minut, jestli dopadá na vaši firmu. A když ano, ať víte, co po vás chce a koho si na tu práci sehnat.
Vyhlášky mluví o postupech, dokumentech, rolích a o tom, co musíte umět doložit. Proto se soulad nedá koupit a nainstalovat. Neptejte se, co si máte pořídit, ale kdo co bude dělat.
Česko přebírá evropskou směrnici NIS2 zákonem č. 264/2025 Sb., účinným od 1. listopadu 2025. Dohled má úřad NÚKIB a firma, na kterou zákon dopadá, se musí ohlásit sama. Nikdo ji na to neupozorní a nic jí nepřijde.
Výsledek se dopočítá sám. Jedna z možných odpovědí je, že se vás zákon netýká a nemusíte řešit nic.
Odpověď na otázku, jestli zákon dopadá na vaši firmu, se nekazí na výpočtu. Kazí se na vstupech, které do něj člověk zadá.
Kolik z těch pěti vět jste si za poslední minutu řekli? Není to vaše chyba. Ta pravidla vyšla v listopadu 2025 a nikdo je firmám nerozeslal.
Poznali jste některou z těch vět? Napište mi, čím se živíte.Velikost se posuzuje podle doporučení Evropské komise 2003/361/ES, které zákon přebírá. Konkrétní regulované služby v jednotlivých odvětvích stanoví vyhláška č. 408/2025 Sb.
Na ohlášení máte šedesát dnů ode dne, kdy podmínky splníte. Firmám, které je splňovaly hned při účinnosti zákona, uplynula lhůta 31. prosince 2025. Kdo je splní později, růstem, novou činností nebo změnou ve skupině, začíná těch šedesát dnů počítat od té chvíle.
Odvětví, regulovaná služba a velikost vám sednou. Může padnout na den účinnosti zákona, ale taky na den, kdy jste nabrali padesátého člověka nebo koupili sesterskou firmu.
Formulář na Portálu NÚKIB firma vyplní sama. Kliky nejsou těžké. Těžké je připravit podklady a rozmyslet, co se do nich napíše.
Od jeho doručení běží druhá lhůta. Každé firmě jiná, podle toho, kdy se ohlásila.
Ne slíbená a rozpracovaná, ale zavedená a doložitelná. Tahle část zabere nejvíc času, protože jsou v ní i smlouvy s dodavateli.
Zákon č. 264/2025 Sb., účinný od 1. listopadu 2025. Lhůtu šedesáti dnů i konec první vlny k 31. 12. 2025 uvádí NÚKIB. Lhůtu jednoho roku od doručení rozhodnutí o registraci shodně uvádějí advokátní zdroje. Žádný z těch údajů není odhad.
Kolik práce zákon znamená, neurčuje jeho název, ale zařazení vaší služby. Do přísnějšího režimu míří provozovatelé, na kterých visí chod celých odvětví.
Do kterého režimu vaše služba patří, určuje vyhláška č. 408/2025 Sb., ne velikost firmy. Tuhle otázku spolu vyřešíme jako první, protože od ní se odvíjí všechno ostatní.
Mírnější režim neznamená úlevu, ale rozsah práce, který jde uřídit vedle běžného provozu.
Zákon stranou. Tyhle věci dnes běžně mají firmy vaší velikosti, když se o ně někdo stará. U každého si odpovězte ano, nebo ne, a pak si to sečtěte.
Ne že záloha běží, ale že se z ní data dají vrátit a víte za jak dlouho. Dvě různé věci.
K heslu se přidává potvrzení v telefonu. Ukradené heslo pak samo o sobě nestačí.
Existuje seznam, ne dojem. Kdo odešel, ztratil přístupy týž den, ne až si toho někdo všiml.
Každý má svoje přihlášení. Heslo v tabulce na sdíleném disku je pryč, protože se nedá odebrat jednomu člověku.
Je napsané, kdo komu volá, do kdy reaguje a co se děje s vašimi daty, když spolupráce skončí.
Jedna stránka: co se vypne, komu se volá, odkud se obnovuje. Sepsaná v klidu, ne vymýšlená v panice.
Dvě a míň? Nejste výjimka. Dvoufázové ověření má podle Českého statistického úřadu necelá třetina malých firem v Česku. Nikdo vám neřekl, že tohle je dnes standard, protože vám všichni prodávali jednotlivé věci, ne pořádek.
Ten seznam jsem si nevymyslel. Zálohy, oddělené administrátorské účty, roční přezkum přístupových oprávnění, vícefaktorové ověření i bezpečnostní ujednání ve smlouvách s dodavateli vyjmenovává vyhláška č. 410/2025 Sb. pro mírnější režim. Do těch šesti vět jsem je přepsal jazykem, kterým se o nich mluví ve firmě. Podíl firem s dvoufázovým ověřením: ČSÚ, Informační společnost v číslech, malé podniky 32,3 %.
Regulované firmy musí nově hlídat i své dodavatele. Bezpečnostní dotazníky proto začaly chodit firmám, na které zákon přímo nedopadá. Připravená firma na nich vydělá.
Přístupy, zálohy, smlouvy a postupy nejsou v hlavách, ale v dokumentech, které se dají ukázat.
Když zákazník pošle bezpečnostní dotazník, odpovědi se opíší z hotových podkladů. Bez auditu pod tlakem.
Doložené zabezpečení přestane být bod, na kterém smlouva s velkým zákazníkem visí týdny.
Co doložíte jednomu, doložíte všem. Další dotazník už je jenom rutina.
Strašení je špatný obchodní model. Tahle stránka existuje proto, abyste věděli, na čem jste. Jedna z odpovědí je, že se vás zákon netýká.
Malá firma mimo jmenovaná odvětví do zákona nespadá. Zálohy a přístupy si přesto zkontrolujte, jenom kvůli sobě, ne kvůli zákonu.
NÚKIB má na portálu veřejnou kalkulačku. Zadáte odvětví, službu a velikost a dostanete orientační odpověď. Když z ní vyjde jednoznačný výsledek a vy mu věříte, máte hotovo.
Druhé posouzení vám nic nepřinese. Smysl má projít závěry stávajícího posouzení a doplnit, co v něm chybí.
Nechci vás strašit. Chci postavit najisto, jestli se vás zákon týká. Jedna z možných odpovědí je, že ne.
Zákon č. 264/2025 Sb. nabyl účinnosti 1. listopadu 2025. Lhůtu šedesáti dnů, počet ohlášených organizací k 8. únoru 2026 i očekávaných zhruba šest tisíc uvádí NÚKIB. Patnáct odvětví jmenuje zákon, konkrétní regulované služby v nich stanoví vyhláška č. 408/2025 Sb. Žádné z těch čísel není odhad.
Na ohlášení máte šedesát dnů ode dne, kdy podmínky splníte. Firmám, které je splňovaly hned při účinnosti zákona 1. listopadu 2025, uplynula lhůta 31. prosince 2025. Do února 2026 se ohlásilo 4 825 organizací, NÚKIB jich čeká zhruba šest tisíc.
Druhá lhůta běží zvlášť: bezpečnostní opatření musí být zavedená nejpozději rok od doručení rozhodnutí o registraci. Firma se ohlašuje sama, úřad ji neosloví, a proto spousta dotčených firem o povinnosti zatím neví.
Pozdě není. Povinnost trvá dál a splnit se dá kdykoliv. Zmeškanou lhůtu už nevrátíte, ale dá se uzavřít, a čím dřív, tím lépe: doba, po kterou povinnosti neplníte, hraje roli.
Ředitel NÚKIB Lukáš Kintr v únoru 2026 řekl: "Naším cílem není trestat, ale především pomoci." Ta věta je z úřadu, ne ode mě.
Mírnější režim popisuje vyhláška č. 410/2025 Sb., přísnější č. 409/2025 Sb. Nejvíc se liší v tom, kdo bezpečnost řídí: v mírnějším stačí určená odpovědná osoba se školením, v přísnějším zákon vyžaduje manažera kybernetické bezpečnosti s doloženou kvalifikací.
Liší se i rozsah smluv s dodavateli, tedy čtrnáct kategorií ujednání proti osmnácti. Do kterého režimu vaše služba patří, se pozná ze zařazení ve vyhlášce č. 408/2025 Sb., ne z velikosti firmy.
Na první hlášení máte 24 hodin od zjištění, do 72 hodin se upřesňuje a do 30 dnů se podává závěrečná zpráva.
Prakticky: někdo ve firmě musí incident vůbec zaznamenat a vědět, komu ho ohlásit. Rozhoduje nastavení, ne rozpočet, a řeší se předem, ne až ten den. Nepřetržitý dohled nad provozem je samostatná služba a v uvedení do souladu není.
Protože uvedení do souladu je samostatné řemeslo, které se dělá naplno, nebo vůbec. Vedle vedení IT a stavby aplikací bych ho dělal na půl plynu, a půl plynu je u zákona špatná volba.
Co udělám: řeknu vám, jestli zákon dopadá na vaši firmu a v jakém režimu, a doporučím lidi, kteří soulad dodávají. Když si vystačíte s vlastním IT, dozvíte se i to.
Šest, všechny z roku 2025. Č. 334/2025 Sb. upravuje Portál NÚKIB a úkony přes něj, č. 408/2025 Sb. určuje regulované služby v jednotlivých odvětvích, č. 409/2025 Sb. stanoví bezpečnostní opatření pro vyšší režim a č. 410/2025 Sb. pro nižší.
Zbylé dvě, č. 411/2025 Sb. a 412/2025 Sb., míří na informační systémy veřejné správy a na cloud ve veřejné správě. Pro běžnou firmu jsou podstatné tři: 408, a pak podle režimu buď 409, nebo 410.
Ne. Ohlásit se musí firma sama a nikdo jí to nepřipomene. Kdo čeká, až mu něco přijde, zjistí to pozdě.
Tohle je dnes nejčastější případ ze všech. Regulovaný zákazník přenáší požadavky smluvně na dodavatele, takže se vás zákon týká obchodně, i když ne právně.
Připravená firma v tu chvíli podepíše a jede dál. Nepřipravená řeší audit pod tlakem a s termínem, který si nezvolila.
Ano, protože většina povinností nejsou technologie, ale pořádek: kdo má k čemu přístup, co je ve smlouvách s dodavateli, kdo co dělá při incidentu a jestli se zálohy dají obnovit.
Právě proto je dobré vybírat dodavatele podle toho, jestli vám nechá pořádek, který udržíte sami, ne závislost na sobě.
Neověřuje se, jestli záloha běží. Ověřuje se, jestli se z ní data dají skutečně obnovit a za jak dlouho. Na tom rozdílu padne překvapivě hodně firem.
Dvě různé povinnosti a jedna druhou nenahrazuje. GDPR řeší osobní údaje, zákon o kybernetické bezpečnosti řeší odolnost a hlášení incidentů.
Pořádek v přístupech a v dokumentaci se ale počítá do obojího, takže část práce uděláte jednou pro obě.
Uvedení do souladu sám nedělám a nebudu se tvářit, že ano. Vím ale, co po vás zákon chce a kdo soulad umí dodat bez krabice navrch. Napište mi, v čem podnikáte a komu dodáváte, a pošlu vám kontakt i s tím, na co se ptát.
Napište miOdpovím do jednoho pracovního dne. Píšu já, ne asistentka.