Reglyze
← Zpět na Reglyze
Transponována a účinná

NIS 2: Česko, vyhlášky č. 409/2025 Sb. a č. 410/2025 Sb.

Národní rámec, který činí NIS 2 měřitelnou: vyhlášky č. 409/2025 Sb. a č. 410/2025 Sb.. Česko má národní katalog bezpečnostních opatření ve dvou závazných vyhláškách NÚKIB, jednu pro každý režim: vyhláška č. 409/2025 Sb. platí pro poskytovatele regulované služby v režimu vyšších povinností, vyhláška č. 410/2025 Sb. pro režim nižších povinností (§ 13 odst. 3 a § 14 zákona). Opatření se zavádějí ve stanoveném rozsahu, tedy u aktiv souvisejících s poskytováním regulované služby (§ 12). Poskytovatelé digitálních služeb uvedených v § 18, mimo jiné služeb DNS, cloud computingu, datových center, sítí pro doručování obsahu, řízených služeb a řízených bezpečnostních služeb, se místo vyhlášek řídí prováděcím předpisem Komise (§ 18 odst. 1).

Stav rámce: účinné od 1. listopadu 2025

To hlavní na první pohled

Transpoziční zákon

Zákon o kybernetické bezpečnosti

Účinnost od: 2025-11-01

Příslušný orgán

Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB)

https://nukib.gov.cz/
Národní rámec

vyhlášky č. 409/2025 Sb. a č. 410/2025 Sb.

Vyhláška č. 409/2025 Sb.: systém řízení bezpečnosti informací vyhodnocovaný alespoň jednou ročně, hodnocení rizik alespoň jednou ročně, audit kybernetické bezpečnosti alespoň jednou za 2 roky, záznamy událostí uchovávané alespoň 18 měsíců, čtyři bezpečnostní role. Vyhláška č. 410/2025 Sb.: přehled bezpečnostních opatření aktualizovaný alespoň jednou ročně a uchovávaný alespoň 4 roky, vícefaktorová autentizace.

Koho se to týká?

režim vyšších povinností

Poskytovatel regulované služby, který je pro Českou republiku značně ekonomicky, společensky nebo bezpečnostně významný (§ 8 odst. 1). U každé služby to určuje příloha vyhlášky č. 408/2025 Sb.; služba registrovaná podle § 5 je v tomto režimu vždy (§ 8 odst. 3). Platí vyhláška č. 409/2025 Sb. a incidenty se hlásí NÚKIB. U digitálních služeb podle § 18 zákon tento režim spojuje s kategorií základních subjektů (§ 18 odst. 4).

režim nižších povinností

Každý poskytovatel regulované služby, který není v režimu vyšších povinností (§ 8 odst. 1). Platí vyhláška č. 410/2025 Sb. a incidenty s významným dopadem na poskytování regulované služby se hlásí Národnímu CERT. U digitálních služeb podle § 18 zákon tento režim spojuje s kategorií důležitých subjektů (§ 18 odst. 4). Podle NÚKIB má jedna organizace jeden režim: je-li v režimu vyšších povinností alespoň u jedné služby, vztahuje se tento režim na všechny její regulované služby.

Předchozí úprava: zákon č. 181/2014 Sb., o kybernetické bezpečnosti, zrušený § 72 nového zákona. Zákon reguluje služby, ne typy subjektů: služba se stává regulovanou službou rozhodnutím NÚKIB (§ 3). Příloha vyhlášky č. 408/2025 Sb. uvádí 102 služeb ve 22 odvětvích a u každé podmínky významnosti poskytovatele i jeho režim.

Klíčové lhůty

2025-08-04

Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, je zpřístupněn ve Sbírce zákonů.

2025-11-01

Zákon nabývá účinnosti (§ 73) spolu se čtyřmi vyhláškami NÚKIB a ruší zákon č. 181/2014 Sb. (§ 72). Ohlášení služby, hlášení změn a hlášení incidentů se od tohoto dne činí výlučně elektronicky, formulářovými podáními na Portálu NÚKIB (§ 45 odst. 2).

2025-12-31

Podle NÚKIB tímto dnem uplynula 60denní lhůta k ohlášení pro organizace, které kritéria splňovaly k 1. listopadu 2025. Kdo podmínky splní později, ohlásí službu nejpozději do 60 dnů ode dne, kdy ke splnění podmínek došlo (§ 6 odst. 1).

průběžně

Nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby začíná povinnost zavádět a provádět bezpečnostní opatření a hlásit kybernetické bezpečnostní incidenty (§ 13 odst. 4, § 15 odst. 4). Poskytovatelé regulovaní už podle zákona č. 181/2014 Sb. hlásí incidenty způsobem podle nového zákona ode dne doručení rozhodnutí (§ 71 odst. 1).

průběžně

Změny regulované služby, které mohou vést ke změně režimu, se hlásí nejpozději do 60 dnů (§ 9 odst. 1). Změny kontaktních a doplňujících údajů, které nejsou referenčními údaji základních registrů, se hlásí nejpozději do 14 dnů (§ 11 odst. 2).

Hlášení kybernetických bezpečnostních incidentů (§ 15 a 16): prvotní hlášení bez zbytečného odkladu, nejpozději do 24 hodin po zjištění incidentu; oznámení nejpozději do 72 hodin po zjištění, u poskytovatelů služeb vytvářejících důvěru do 24 hodin; závěrečná zpráva nejpozději do 30 dnů ode dne předložení oznámení. Příjemcem je NÚKIB v režimu vyšších povinností a Národní CERT v režimu nižších povinností, vždy prostřednictvím Portálu NÚKIB.

Prioritní odvětví

Řízené služby, cloud computing a datová centra

Poskytovatel řízené služby nebo řízené bezpečnostní služby pro zákazníky, kteří nejsou spotřebiteli, poskytovatel služby datového centra a poskytovatel služby sítě pro doručování obsahu (CDN) je jako velký podnik v režimu vyšších povinností a jako střední podnik v režimu nižších povinností; malé podniky a mikropodniky tyto regulované služby neposkytují (řádky 16.9, 16.10, 16.13 a 16.14 přílohy vyhlášky č. 408/2025 Sb.). Cloud computing se dělí stejně a poskytovatel státního cloud computingu je v režimu vyšších povinností vždy (řádek 16.8). Služba systému překladu doménových jmen (DNS) je regulována bez ohledu na velikost poskytovatele, pokud jde o veřejně dostupný rekurzivní překlad pro koncové uživatele internetu nebo o autoritativní překlad pro použití třetí stranou pro více než 10 000 domén druhého řádu (řádek 16.4).

Elektronické komunikace a služby vytvářející důvěru

Veřejně dostupná služba elektronických komunikací a veřejná komunikační síť jsou regulovány při jakékoli velikosti poskytovatele: velký nebo střední podnik je v režimu vyšších povinností, stejně jako poskytovatel s nejméně 350 000 aktivními mobilními SIM kartami nebo nejméně 100 000 aktivními pevnými internetovými přípojkami na území České republiky; malý podnik a mikropodnik je v režimu nižších povinností (řádky 16.1 a 16.2). Kvalifikovaný poskytovatel služby vytvářející důvěru je v režimu vyšších povinností vždy (řádek 16.12) a oznámení o incidentu předkládá do 24 hodin po zjištění (§ 16 odst. 3 písm. a)).

Veřejná správa

V režimu vyšších povinností jsou mimo jiné ústřední orgány státní správy, Česká národní banka, zdravotní pojišťovny, kraje a hlavní město Praha. V režimu nižších povinností jsou správní úřady s krajskou, okresní nebo jinou územní působností, profesní komory, vysoké školy, Akademie věd České republiky, obce s rozšířenou působností a městské části Praha 1 až Praha 22 (řádek 1.1). Jiné obce příloha nejmenuje.

Výrobní průmysl

Výroba počítačů, elektronických a optických přístrojů a zařízení (oddíl 26 klasifikace CZ-NACE), elektrických zařízení (oddíl 27), strojů a zařízení jinde nezařazených (oddíl 28) a ostatních dopravních prostředků a zařízení (oddíl 30) je regulována jen v režimu nižších povinností, a to u velkých a středních podniků (řádky 7.1, 7.2, 7.3 a 7.5). Výrobce motorových vozidel (oddíl 29) je v režimu vyšších povinností, pokud sériově vyrábí osobní motorová vozidla; jinak je jako velký nebo střední podnik v režimu nižších povinností (řádek 7.4).

Časté dotazy

Je směrnice NIS 2 v Česku provedena?
Ano. Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, byl zpřístupněn ve Sbírce zákonů 4. srpna 2025 a je účinný od 1. listopadu 2025 (§ 73), spolu s vyhláškami NÚKIB č. 334/2025 Sb., č. 408/2025 Sb., č. 409/2025 Sb. a č. 410/2025 Sb. Nahradil zákon č. 181/2014 Sb. Povinnosti navazující na registraci začínají u každého poskytovatele zvlášť: bezpečnostní opatření a hlášení incidentů nejpozději do 1 roku ode dne doručení rozhodnutí o registraci (§ 13 odst. 4, § 15 odst. 4). Podle NÚKIB ohlásilo své služby k 8. únoru 2026 celkem 4825 subjektů.
Jak zjistíme, zda poskytujeme regulovanou službu?
Podle přílohy vyhlášky č. 408/2025 Sb., která uvádí 102 služeb ve 22 odvětvích a u každé podmínky významnosti poskytovatele a jeho režim (§ 4 odst. 2, § 8 odst. 2). U většiny služeb je podmínkou být středním nebo velkým podnikem ve smyslu doporučení Komise 2003/361/ES, s národními odchylkami: organizační složky státu, územní samosprávné celky a Česká národní banka se za podnik nepovažují a nezapočítávají se partnerské a propojené podniky, jejichž technická aktiva jsou zcela oddělena (§ 7). Některé řádky platí bez ohledu na velikost, například veřejně dostupné služby elektronických komunikací, kvalifikovaní poskytovatelé služeb vytvářejících důvěru a registry domén nejvyšší úrovně. Kalkulačka na Portálu NÚKIB je jen orientační: její výsledek není oficiálním stanoviskem NÚKIB a nezohledňuje partnerské a propojené podniky.
Jak regulovanou službu ohlásíme?
Nejpozději do 60 dnů ode dne, kdy ke splnění podmínek došlo (§ 6 odst. 1), a výlučně elektronicky formulářem na Portálu NÚKIB (§ 45 odst. 2). Podle NÚKIB může ohlášení provést statutární orgán organizace nebo pověřený zástupce a k přihlášení je vyžadován identitní prostředek s úrovní záruky značná nebo vysoká. Rozhodnutí o registraci přijde do datové schránky organizace. Do 30 dnů ode dne jeho doručení se hlásí kontaktní a doplňující údaje (§ 11 odst. 1) a změny, které mohou vést ke změně režimu, do 60 dnů (§ 9 odst. 1).
Komu a v jakých lhůtách hlásíme kybernetický bezpečnostní incident?
Prostřednictvím Portálu NÚKIB: v režimu vyšších povinností NÚKIB, v režimu nižších povinností Národnímu CERT (§ 15, § 16 odst. 4). Jen pokud Portál nelze využít, hlásí se stejnému příjemci e-mailem nebo datovou schránkou; telefon podle NÚKIB oficiálním kanálem pro hlášení není. Prvotní hlášení se předkládá nejpozději do 24 hodin po zjištění incidentu, oznámení nejpozději do 72 hodin po zjištění (poskytovatelé služeb vytvářejících důvěru do 24 hodin) a závěrečná zpráva nejpozději do 30 dnů ode dne předložení oznámení; pokud incident po této lhůtě stále trvá, předkládá se bez zbytečného odkladu průběžná zpráva o aktuálním stavu a závěrečná zpráva nejpozději do 30 dnů ode dne, kdy došlo k vyřešení incidentu (§ 16).
Které incidenty se hlásí?
V režimu vyšších povinností každý incident, který se projevil ve stanoveném rozsahu, má původ v kybernetickém prostoru a nelze u něj vyloučit úmyslné zavinění, bez ohledu na jeho významnost (§ 15 odst. 1). NÚKIB nejpozději do 24 hodin po nahlášení sdělí, zda má incident významný dopad na kybernetický prostor státu; oznámení a závěrečná zpráva se předkládají jen tehdy, pokud ano (§ 16 odst. 2 a 3). V režimu nižších povinností se hlásí jen takové incidenty, které mají navíc významný dopad na poskytování regulované služby (§ 15 odst. 2). Podle NÚKIB se nehlásí provozní incidenty, u nichž lze úmyslné zavinění vyloučit. U digitálních služeb podle § 18 stanoví způsob určení významnosti dopadu incidentu prováděcí předpis Komise (§ 18 odst. 2).
Jaká opatření musíme zavést a jak s nimi pomáhá Reglyze?
V režimu vyšších povinností opatření vyhlášky č. 409/2025 Sb., v režimu nižších povinností opatření vyhlášky č. 410/2025 Sb., vždy alespoň ve stanoveném rozsahu regulované služby, ne nutně v celé organizaci (§ 12; NÚKIB). Samotný certifikát ISO 27001 podle NÚKIB nemůže být jediným podkladem kontroly. Reglyze vede posouzení podle opatření čl. 21 směrnice NIS 2 a do dokumentů promítá český zákon, jeho lhůty a správné příjemce hlášení. Posouzení opatření po opatření podle vyhlášek č. 409/2025 Sb. a č. 410/2025 Sb. zatím nenabízí.
Co zákon vyžaduje od vrcholného vedení?
Vrcholné vedení, tedy statutární orgán nebo osoba či skupina osob v obdobném řídícím postavení, absolvuje vstupní a pravidelná školení; žádná z vyhlášek nestanoví jejich interval (vyhláška č. 409/2025 Sb. § 4 odst. 1 písm. a) a § 10 odst. 3 písm. a); vyhláška č. 410/2025 Sb. § 5 odst. 2 písm. a)). V režimu vyšších povinností vedení zajistí, že členem výboru pro řízení kybernetické bezpečnosti bude alespoň jeden jeho člen nebo jím pověřená osoba a že výbor jedná alespoň jednou ročně (vyhláška č. 409/2025 Sb. § 4 odst. 3). V režimu nižších povinností určí osobu pověřenou kybernetickou bezpečností (vyhláška č. 410/2025 Sb. § 4).
Kdo dohlíží na plnění povinností?
NÚKIB. Vykonává kontrolu v oblasti kybernetické bezpečnosti (§ 55), může uložit odstranění zjištěných nedostatků ve stanovené lhůtě, přičemž rozklad nemá odkladný účinek (§ 56), a sám projednává přestupky podle zákona (§ 62 odst. 1). Neohlášení služby je samo přestupkem (§ 60 odst. 1 písm. a)). Podle NÚKIB není přestupkem to, že se incident stal, ale to, že nebyl ohlášen včas nebo vůbec. Subjekty finančního trhu, které spadají pod nařízení DORA, dohlíží podle společného prohlášení ČNB a NÚKIB z 24. června 2026 primárně ČNB; povinná registrace u NÚKIB se na ně vztahuje dál (§ 70).

Oficiální zdroje

Naposledy ověřeno: 2026-10-29 · další ověření plánováno po 2027-01-29.

Jste připraveni na soulad s NIS 2?

Reglyze vás s pomocí umělé inteligence provede požadavky NIS 2 krok za krokem: posouzení působnosti, analýza mezer podle opatření směrnice a dokumenty, které uvádějí český zákon, jeho lhůty a správné příjemce hlášení.