Od 1. listopadu 2025 platí nový zákon o kybernetické bezpečnosti, č. 264/2025 Sb. Je to česká podoba evropské směrnice NIS2 a místo zhruba stovky institucí se týká tisíců firem a organizací. Kolem zákona se ale šíří spousta nejistoty. Ředitelé škol i lékaři se nás ptají, jestli musí něco hlásit a jestli jim hrozí miliónové pokuty. Tady je stručná odpověď pro ty, kdo nemají čas číst zákon a prováděcí vyhlášky.

Koho se zákon týká

Zákon nemíří na „počítače“, ale na regulované služby. Ty vyjmenovává vyhláška č. 408/2025 Sb. o regulovaných službách v patnácti odvětvích, mimo jiné energetika, doprava, výroba, zdravotnictví, digitální infrastruktura, odpady nebo veřejná správa. Zákon funguje na principu samoidentifikace: nikdo vám nenapíše, musíte sami posoudit, jestli do něj spadáte.

U většiny služeb rozhoduje kromě oboru i velikost. Zákon se obecně týká středních a velkých podniků, tedy těch, které mají:

  • 50 a více zaměstnanců, nebo
  • roční obrat i bilanční sumu nad 10 milionů eur.

Některé služby jsou regulované bez ohledu na velikost, například poskytovatelé určitých služeb elektronických komunikací nebo subjekty kritické infrastruktury. NÚKIB navíc může zařadit i menší subjekt, pokud je jeho služba pro stát zásadní.

Ordinace a lékárny

Zdravotnictví v seznamu je, služba „poskytování zdravotní péče“. Pro samostatnou ordinaci nebo lékárnu s několika zaměstnanci ale zpravidla platí, že velikostní podmínku nesplní, a zákon se jí proto netýká.

Pozor na jednu past: do velikosti se počítají i propojené a partnerské podniky. Pokud ordinace nebo lékárna patří do skupiny firem se společným vlastníkem, sčítají se zaměstnanci a obrat celé skupiny. Pak se z „malé lékárny“ může stát střední podnik. Polikliniky, větší zdravotnická zařízení a lékárenské řetězce si to proto musí projít pečlivě.

Školy

NÚKIB k tomu říká jasně, že vzdělávání samo o sobě není regulovanou službou. Běžná základní nebo mateřská škola tedy pod zákon nespadá. Výjimkou by byla škola, která zároveň poskytuje některou z regulovaných služeb, což je u běžné školy zřizované obcí velmi nepravděpodobné.

To ale neznamená, že se škol kybernetická bezpečnost netýká. Školy spravují osobní údaje dětí a rodičů podle GDPR a útoky vyděračských virů na školy jsou běžné.

Malé firmy

Firma do 50 zaměstnanců a s obratem pod 10 milionů eur pod zákon zpravidla nespadá, pokud nemá některou z výjimečných služeb. Nepřímo se vás ale týkat může. Regulovaní odběratelé musí hlídat i bezpečnost svých dodavatelů, a tak se do smluv a výběrových řízení dostávají požadavky na zálohy, správu přístupů nebo hlášení incidentů. Pokud dodáváte nemocnici, energetice nebo velké výrobní firmě, počítejte s tím.

Jak si to ověřit

  1. Projděte si náš jednoduchý test. Za minutu vám řekne, jestli máte zpozornět.
  2. Pro závazné posouzení použijte kalkulačku a průvodce samoidentifikací na Portálu NÚKIB. Je to oficiální nástroj úřadu.
  3. Pokud si nejste jistí, zeptejte se právníka nebo přímo NÚKIB. Posouzení se vyplatí mít písemně.
IT specialista a ředitel firmy u tabule s nakresleným postupem, ředitel podepisuje dokument
Ohlášení, rozhodnutí o registraci a rok na zavedení opatření.

Co když do zákona spadáte

  • Ohlášení na Portálu NÚKIB do 60 dnů od chvíle, kdy podmínky splníte. Kdo je splňoval už při účinnosti zákona, měl to stihnout do konce roku 2025. Pokud jste to nestihli, neodkládejte to dál.
  • Režim nižších, nebo vyšších povinností. Většina nově regulovaných firem spadne do nižšího režimu, který vyžaduje základní, ale skutečně provedená opatření.
  • Rok na zavedení opatření od doručení rozhodnutí o registraci: řízení přístupů, zálohy, aktualizace, ochrana proti škodlivému kódu, evidence aktiv, školení lidí a postup pro řešení incidentů.
  • Hlášení incidentů. Významný incident je potřeba nahlásit do 24 hodin od zjištění a do 72 hodin poslat podrobnější oznámení.
  • Odpovědnost vedení. Za kybernetickou bezpečnost odpovídá statutární orgán, nejde ji „hodit na ajťáka“.

Pokuty jsou vysoké, v nižším režimu až 175 milionů korun nebo 1,4 % obratu. Cílem úřadu ale není trestat ty, kdo se snaží. Nejhorší strategie je nedělat nic a doufat, že se to nikdo nedozví.

Opatření se vyplatí i bez zákona

Většina toho, co zákon požaduje, je obyčejná dobrá praxe: funkční a ověřená záloha mimo budovu, aktualizované systémy (viz konec Windows 10), silná hesla s dvoufázovým přihlášením, oddělená síť pro hosty a přehled o tom, kdo má kam přístup. Ordinace nebo škola, která tohle má, je na tom lépe než mnoho regulovaných firem.

Spadáte do zákona, nebo si to nejste jistí? Projdeme s vámi samoidentifikaci a připravíme technickou část opatření, od záloh po hlášení incidentů. Ozvěte se nám.

Upozornění: tento článek je obecné shrnutí, ne právní rada. Závazné posouzení vašeho případu dává NÚKIB nebo právník.