Depuis le 1er novembre 2025, une nouvelle loi tchèque sur la cybersécurité est en vigueur, la loi n° 264/2025 Sb. C’est la transposition tchèque de la directive européenne NIS2 : au lieu d’une centaine d’institutions environ, elle concerne désormais des milliers d’entreprises et d’organisations. Elle suscite pourtant beaucoup d’incertitude. Des directeurs d’école comme des médecins nous demandent s’ils doivent déclarer quelque chose et s’ils risquent des amendes de plusieurs millions. Voici une réponse courte pour ceux qui n’ont pas le temps de lire la loi et ses décrets d’application.

Qui est concerné

La loi ne vise pas les « ordinateurs », mais les services réglementés. Ils sont énumérés par le décret n° 408/2025 Sb. sur les services réglementés, dans quinze secteurs, entre autres l’énergie, les transports, l’industrie, la santé, l’infrastructure numérique, les déchets ou l’administration publique. La loi repose sur le principe de l’auto-identification : personne ne vous écrira, c’est à vous d’évaluer si vous êtes concerné.

Pour la plupart des services, ce n’est pas seulement le secteur qui compte, mais aussi la taille. La loi s’applique en règle générale aux moyennes et grandes entreprises, c’est-à-dire celles qui ont :

  • 50 salariés ou plus, ou
  • un chiffre d’affaires annuel et un total du bilan supérieurs à 10 millions d’euros.

Certains services sont réglementés quelle que soit la taille, par exemple les fournisseurs de certains services de communications électroniques ou les entités d’infrastructure critique. Le NÚKIB (l’Agence nationale tchèque pour la cybersécurité et la sécurité de l’information) peut en outre désigner une entité plus petite si son service est essentiel pour l’État.

Cabinets médicaux et pharmacies

La santé figure sur la liste, avec le service « prestation de soins de santé ». Mais un cabinet indépendant ou une pharmacie de quelques salariés ne remplit en général pas la condition de taille, et la loi ne le concerne donc pas.

Attention à un piège : la taille inclut aussi les entreprises liées et partenaires. Si un cabinet ou une pharmacie appartient à un groupe de sociétés ayant un propriétaire commun, on additionne les salariés et le chiffre d’affaires de tout le groupe. La « petite pharmacie » peut alors devenir une entreprise moyenne. Les polycliniques, les établissements de santé plus importants et les chaînes de pharmacies doivent donc examiner la question avec soin.

Écoles

Le NÚKIB est clair sur ce point : l’enseignement n’est pas en soi un service réglementé. Une école primaire ou maternelle ordinaire n’est donc pas soumise à la loi. L’exception serait une école qui fournit en même temps l’un des services réglementés, ce qui est très peu probable pour une école ordinaire gérée par une commune.

Cela ne veut pas dire que la cybersécurité ne concerne pas les écoles. Elles traitent les données personnelles des enfants et des parents au sens du RGPD, et les attaques par rançongiciel contre des écoles sont fréquentes.

Petites entreprises

Une entreprise de moins de 50 salariés et dont le chiffre d’affaires est inférieur à 10 millions d’euros n’est en général pas soumise à la loi, sauf si elle fournit l’un des services particuliers. Elle peut toutefois vous concerner indirectement. Les clients réglementés doivent aussi veiller à la sécurité de leurs fournisseurs : des exigences sur les sauvegardes, la gestion des accès ou le signalement des incidents apparaissent donc dans les contrats et les appels d’offres. Si vous êtes fournisseur d’un hôpital, d’une entreprise du secteur de l’énergie ou d’un grand industriel, attendez-vous à cela.

Comment le vérifier

  1. Faites notre test simple. En une minute, il vous dit si vous devez y regarder de plus près.
  2. Pour une évaluation qui engage, utilisez le calculateur et le guide d’auto-identification sur le Portail du NÚKIB. C’est l’outil officiel de l’agence.
  3. Si vous n’êtes pas sûr, demandez à un juriste ou directement au NÚKIB. Il est utile d’avoir l’évaluation par écrit.
Un spécialiste informatique et un chef d’entreprise devant un tableau où la procédure est dessinée, le chef d’entreprise signe un document
Déclaration, décision d’enregistrement et un an pour mettre en place les mesures.

Si la loi vous concerne

  • Déclaration sur le Portail du NÚKIB dans les 60 jours à compter du moment où vous remplissez les conditions. Ceux qui les remplissaient déjà à l’entrée en vigueur de la loi devaient le faire avant la fin de 2025. Si vous ne l’avez pas fait, ne tardez plus.
  • Régime d’obligations allégées ou renforcées. La plupart des entreprises nouvellement réglementées relèveront du régime allégé, qui exige des mesures de base, mais réellement appliquées.
  • Un an pour mettre en place les mesures à compter de la notification de la décision d’enregistrement : gestion des accès, sauvegardes, mises à jour, protection contre les logiciels malveillants, inventaire des actifs, formation du personnel et procédure de traitement des incidents.
  • Signalement des incidents. Un incident important doit être signalé dans les 24 heures suivant sa détection, suivi d’une notification détaillée dans les 72 heures.
  • Responsabilité de la direction. C’est l’organe statutaire qui répond de la cybersécurité ; on ne peut pas « la refiler à l’informaticien ».

Les amendes sont élevées : dans le régime allégé, jusqu’à 175 millions de couronnes ou 1,4 % du chiffre d’affaires. Mais l’objectif de l’agence n’est pas de sanctionner ceux qui font des efforts. La pire stratégie est de ne rien faire en espérant que personne ne le saura.

Les mesures valent la peine même sans la loi

L’essentiel de ce qu’exige la loi relève tout simplement des bonnes pratiques : une sauvegarde fonctionnelle et vérifiée hors du bâtiment, des systèmes à jour (voir la fin de Windows 10), des mots de passe robustes avec authentification à deux facteurs, un réseau séparé pour les invités et une vue claire sur qui a accès à quoi. Un cabinet ou une école qui a tout cela est en meilleure position que bien des entreprises réglementées.

La loi vous concerne, ou vous n’en êtes pas sûr ? Nous faisons avec vous l’auto-identification et préparons la partie technique des mesures, des sauvegardes au signalement des incidents. Contactez-nous.

Avertissement : cet article est un résumé général, pas un conseil juridique. Seuls le NÚKIB ou un juriste peuvent évaluer votre cas de manière contraignante.