Seit dem 1. November 2025 gilt in Tschechien ein neues Cybersicherheitsgesetz, Nr. 264/2025 Sb. (Sb. = tschechische Gesetzessammlung). Es ist die tschechische Umsetzung der europäischen NIS2-Richtlinie und betrifft statt rund hundert Institutionen nun Tausende von Unternehmen und Organisationen. Rund um das Gesetz herrscht allerdings viel Unsicherheit. Schulleitungen und Ärzte fragen uns, ob sie etwas melden müssen und ob ihnen Bußgelder in Millionenhöhe drohen. Hier ist die kurze Antwort für alle, die keine Zeit haben, das Gesetz und die Durchführungsverordnungen zu lesen.

Wen das Gesetz betrifft

Das Gesetz zielt nicht auf „Computer“, sondern auf regulierte Dienste. Diese zählt die Verordnung Nr. 408/2025 Sb. über regulierte Dienste in fünfzehn Sektoren auf, unter anderem Energie, Verkehr, verarbeitendes Gewerbe, Gesundheitswesen, digitale Infrastruktur, Abfallwirtschaft und öffentliche Verwaltung. Das Gesetz beruht auf dem Prinzip der Selbstidentifikation: Niemand schreibt Ihnen, Sie müssen selbst beurteilen, ob es für Sie gilt.

Bei den meisten Diensten entscheidet neben der Branche auch die Größe. Das Gesetz betrifft grundsätzlich mittlere und große Unternehmen, also solche mit:

  • 50 oder mehr Beschäftigten, oder
  • einem Jahresumsatz und einer Bilanzsumme von jeweils über 10 Millionen Euro.

Einige Dienste sind unabhängig von der Größe reguliert, zum Beispiel Anbieter bestimmter elektronischer Kommunikationsdienste oder Betreiber kritischer Infrastruktur. Außerdem kann NÚKIB (die tschechische Nationale Behörde für Cyber- und Informationssicherheit) auch eine kleinere Organisation einstufen, wenn ihr Dienst für den Staat von wesentlicher Bedeutung ist.

Arztpraxen und Apotheken

Das Gesundheitswesen steht auf der Liste, als Dienst „Erbringung von Gesundheitsleistungen“. Eine eigenständige Praxis oder Apotheke mit wenigen Beschäftigten erfüllt die Größenbedingung in der Regel aber nicht, und das Gesetz betrifft sie daher nicht.

Achtung, eine Falle: Zur Größe zählen auch verbundene Unternehmen und Partnerunternehmen. Gehört eine Praxis oder Apotheke zu einer Unternehmensgruppe mit gemeinsamem Eigentümer, werden Beschäftigte und Umsatz der ganzen Gruppe zusammengezählt. Dann kann aus der „kleinen Apotheke“ ein mittleres Unternehmen werden. Polikliniken, größere Gesundheitseinrichtungen und Apothekenketten müssen das deshalb sorgfältig prüfen.

Schulen

NÚKIB sagt dazu klar, dass Bildung an sich kein regulierter Dienst ist. Eine gewöhnliche Grundschule oder ein Kindergarten fällt also nicht unter das Gesetz. Eine Ausnahme wäre eine Schule, die zugleich einen der regulierten Dienste erbringt, was bei einer gewöhnlichen Schule in kommunaler Trägerschaft sehr unwahrscheinlich ist.

Das heißt aber nicht, dass Cybersicherheit Schulen nichts angeht. Schulen verwalten personenbezogene Daten von Kindern und Eltern nach der DSGVO, und Angriffe mit Erpressungstrojanern auf Schulen sind an der Tagesordnung.

Kleine Unternehmen

Ein Unternehmen mit weniger als 50 Beschäftigten und einem Umsatz unter 10 Millionen Euro fällt in der Regel nicht unter das Gesetz, sofern es keinen der Ausnahmedienste erbringt. Indirekt kann es Sie aber betreffen. Regulierte Abnehmer müssen auch die Sicherheit ihrer Lieferanten im Blick behalten, und so finden Anforderungen an Backups, Zugriffsverwaltung oder die Meldung von Sicherheitsvorfällen ihren Weg in Verträge und Ausschreibungen. Wenn Sie an ein Krankenhaus, ein Energieunternehmen oder einen großen Industriebetrieb liefern, sollten Sie damit rechnen.

So prüfen Sie es

  1. Machen Sie unseren einfachen Test. In einer Minute wissen Sie, ob Sie genauer hinschauen sollten.
  2. Für eine verbindliche Beurteilung nutzen Sie den Rechner und den Leitfaden zur Selbstidentifikation im Portal von NÚKIB. Das ist das offizielle Werkzeug der Behörde.
  3. Wenn Sie unsicher sind, fragen Sie einen Juristen oder direkt bei NÚKIB nach. Die Beurteilung schriftlich zu haben, lohnt sich.
IT-Spezialist und Geschäftsführer an einer Tafel mit aufgezeichnetem Ablauf, der Geschäftsführer unterschreibt ein Dokument
Meldung, Entscheidung über die Registrierung und ein Jahr für die Umsetzung der Maßnahmen.

Wenn das Gesetz für Sie gilt

  • Meldung im Portal von NÚKIB innerhalb von 60 Tagen, nachdem Sie die Bedingungen erfüllen. Wer sie schon beim Inkrafttreten des Gesetzes erfüllte, hätte dies bis Ende 2025 erledigen müssen. Wenn Sie es nicht geschafft haben, schieben Sie es nicht weiter auf.
  • Regime mit geringeren oder höheren Pflichten. Die meisten neu regulierten Unternehmen fallen in das niedrigere Regime, das grundlegende, aber tatsächlich umgesetzte Maßnahmen verlangt.
  • Ein Jahr für die Umsetzung der Maßnahmen ab Zustellung der Entscheidung über die Registrierung: Zugriffsverwaltung, Backups, Updates, Schutz vor Schadsoftware, Verzeichnis der Assets, Schulung der Mitarbeitenden und ein Verfahren für den Umgang mit Sicherheitsvorfällen.
  • Meldung von Sicherheitsvorfällen. Ein erheblicher Vorfall muss innerhalb von 24 Stunden nach Feststellung gemeldet werden, innerhalb von 72 Stunden folgt eine ausführlichere Meldung.
  • Verantwortung der Leitung. Für die Cybersicherheit ist das statutarische Organ (die Geschäftsführung bzw. der Vorstand) verantwortlich, sie lässt sich nicht einfach „dem IT-Mann zuschieben“.

Die Bußgelder sind hoch, im niedrigeren Regime bis zu 175 Millionen Kronen oder 1,4 % des Umsatzes. Ziel der Behörde ist es aber nicht, diejenigen zu bestrafen, die sich bemühen. Die schlechteste Strategie ist, nichts zu tun und zu hoffen, dass es niemand merkt.

Die Maßnahmen lohnen sich auch ohne Gesetz

Das meiste, was das Gesetz verlangt, ist ganz normale gute Praxis: ein funktionierendes und geprüftes Backup außerhalb des Gebäudes, aktuelle Systeme (siehe Ende von Windows 10), starke Passwörter mit Zwei-Faktor-Anmeldung, ein getrenntes Gästenetz und der Überblick darüber, wer wo Zugriff hat. Eine Praxis oder Schule, die das hat, steht besser da als viele regulierte Unternehmen.

Fallen Sie unter das Gesetz oder sind Sie unsicher? Wir gehen die Selbstidentifikation mit Ihnen durch und bereiten den technischen Teil der Maßnahmen vor, von Backups bis zur Meldung von Vorfällen. Melden Sie sich bei uns.

Hinweis: Dieser Artikel ist eine allgemeine Zusammenfassung, keine Rechtsberatung. Eine verbindliche Beurteilung Ihres Falls erhalten Sie von NÚKIB oder einem Juristen.