Nový zákon o kybernetické bezpečnosti a směrnice NIS2: vše o chystané regulaci

NIS2 a nZKB = nová éra kyberbezpečnosti

Co je to směrnice NIS2 a proč vznikla?

Směrnice NIS2 je pokračováním a rozšířením už existující směrnice Evropské unie o kybernetické bezpečnosti z roku 2016, nazvané NIS (Network and Information Security), která definuje seznam opatření k zajištění vysoké společné úrovně bezpečnosti sítí a informačních systémů zajišťujících důležité služby napříč členskými státy. Do české legislativy byla zapracovaná novelizací zákona 181/2014 Sb., o kybernetické bezpečnosti.

NIS2 tuto směrnici nahrazuje a významně rozšiřuje požadavky na kybernetickou bezpečnost státních institucí i soukromých firem s cílem zabezpečit kritickou infrastrukturu členských států, tedy úřady, vodárenské a energetické firmy, potravinářské provozy i klíčové dopravní systémy. Z několika desítek firem se povinnosti rozšíří na vyšší tisíce, navíc rozdělených do dvou režimů regulace: nížšího a vyššího (detailněji vysvětlujeme třeba zde).

„Provázanost fungování společnosti jako celku a organizací v ní působících je již tak velká, že prakticky neexistuje odvětví, kde by informační systémy nehrály významnou roli. Z tohoto důvodu již ani směrnice NIS2 nehledá systémy důležité pro společnost, ale požaduje zabezpečit vše, co souvisí s poskytováním služeb potřebných pro její fungování,“ vysvětluje Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB), který je garantem příslušné české legislativy.

Směrnice NIS2 reaguje na vzrůstající počet kybernetických útoků a bezpečnostních hrozeb, které se čím dál častěji týkají i menších a středních firem. Počet těchto incidentů roste společně s digitalizací podnikání, kdy je řada firem a organizací přímo závislá na IT systémech a datech. Práce na nové legislativě mimo jiné urychlil ruský vpád na Ukrajinu z února 2022, který byl doprovázen četnými kybernetickými útoky napříč Evropou.

Oficiální znění směrnice NIS2 vyšlo v Úředním věstníku Evropské unie dne 27. prosince 2022, platit začala 16. ledna 2023. „Platnost směrnice však neznamená, že subjekty spadající do její působnosti musí ihned začít plnit všechny povinnosti, které přináší. Nabytí platnosti směrnice znamená především povinnost členského státu transponovat (převést) obsah jejího textu do národního práva,“ upozorňuje dál NÚKIB.

Aktuální články k tématu:

Tisíce firem čekají nové povinnosti. Poslanci schválili klíčový zákon závádějící směrnici NIS2

NIS2

 7 063

Chytrý informační systém posouvá firmu vpřed

BrandInsight

Brno, centrum kyberbezpečnosti. Dvě univerzity získaly projekty za čtvrt miliardy

kyberbezpečnost

Počet kyberútoků na firmy roste. Škody jdou do miliard, chraňte se, naléhá policie

kyberbezpečnost

Pojištění kybernetických rizik: Co kryje, kolik stojí a pro koho se vyplatí (2025)

kyberbezpečnost

NIS2 není jen nutné zlo, ale pomoc nám všem. Náš čas začít konat se krátí, varuje šéf NÚKIB

kyberbezpečnost

EUDR, GDPR. NIS či CSRD. Vyzkoušejte si, jak se vyznáte v bruselském diktátu

kvíz

Směrnice větší než GDPR se odsouvá. Legislativci nestíhají NIS2 zpracovat

aktuality

Všechny články k tématu

Chcete být neustále v obraze? Přihlaste se k našemu newsletteru a žádný nový text vám už neunikne!

Podnikání, peníze, inspirace. Každé ráno ve vaší schránce. Zaregistrujte se k odběru našeho newsletteru a nic vám už neunikne!

Odebírat

Co mění nový zákon o kybernetické bezpečnosti (nZKB)?

Směrnice NIS2 přináší tak zásadní změny, že se NÚKIB rozhodl nezapracovávat ji do stávajícího zákona pomocí novely, ale vytvořit zcela nový zákon o kybernetické bezpečnosti (nZKB). Vycházel při tom i z vlastních zkušeností a poznatků. Ty ho vedly jednak k tomu, aby se snažil při tvorbě zákona zjednodušovat stávající legislativu a novou dělat pokud možno návodně, jednak ale i k tomu, aby proti minimu požadovanému směrnicí NIS2 rozšířil množství dotčených subjektů i požadavků na ně.

Nový zákon tedy zruší a nahradí soustavu právních předpisů upravujících kybernetickou bezpečnost v Česku.

Návrh zákona o kybernetické bezpečnosti sdružuje dosavadní roztříštěnou úpravu několika typů povinných osob do jedné (takzvaného poskytovatele regulované služby) a skrze doprovodný zákon přináší také legislativně-technické úpravy řady dalších, už existujících, předpisů (zákona o elektronických komunikacích, zákona o informačních systémech veřejné správy, zákona o prověřování zahraničních investic a zákona o střetu zájmů). 

Komplexnosti této změny odpovídá i délka přípravy zákona. Členské země měly požadavky směrnice NIS2 splňovat už v říjnu 2024, nynější předpoklad ale je, že v Česku budou nová pravidla platit nejdřív od 1. července 2025, nejpozději od 1. ledna 2026. „Vyvíjíme maximální úsilí k co nejdřívějšímu dokončení legislativního procesu, nicméně to již úřad nemá ve své moci,“ upozorňuje NÚKIB. Sněmovním třetím čtením zákon prošel v pátek 25. dubna 2025, účinnost stanovuje na 1. den třetího kalendářního měsíce po jeho vyhlášení ve Sbírce zákonů.

Okamžikem, kdy nový zákon o kybernetické bezpečnosti začne platit, začíná roční přechodné období, ve kterém se firmy budou moci na nové požadavky připravit. Různých termínů ale z legislativy vyplývá víc a shrnuje je infografika výše. A plynou z nich i nemalé sankce za jejich nesplnění. Pro tisíce firem – odhaduje se, že nová pravidla se dotknou až deseti tisíc subjektů – to znamená nejen nutnost včas se zorientovat, ale především investovat do zabezpečení a průběžně chránit svá data před stále sofistikovanějšími kybernetickými útoky.

„Hlavním cílem regulace kybernetické bezpečnosti je dosáhnout toho, aby důležité organizace zaváděly preventivní kroky k posílení své kybernetické bezpečnosti. Jedná se o klíčový krok pro předcházení, zjištění a zmírňování dopadů případných kybernetických bezpečnostních incidentů. Tento požadavek, reprezentovaný povinností zavádět takzvaná bezpečnostní opatření, je ústředním smyslem existence zákona o kybernetické bezpečnosti, a nejinak je tomu také v případě existence směrnice NIS2,“ vysvětluje NÚKIB.

Víte, že…? Česku hrozí kvůli směrnici NIS2 vysoké pokuty

Česká republika má se zapracováním směrnice NIS2 skluz. Členské státy ji do svých zákonů měly převést do října 2024, v Česku ale nový zákon o kybernetické bezpečnosti pořád ještě leží ve Sněmovně. Evropská komise proto v únoru 2025 zaslala našim úřadům vytýkací dopis, ve kterém republice hrozí vysokými sankcemi. Útěchou může být snad jen to, že v tom nejsme sami: mešká i řada dalších zemí. „V tomto boji nejsme osamoceni, více než dvě třetiny členských států splněno nemají. Někde jsou blíž, někde jsou naopak i dál,“ říká ředitel NÚKIB Lukáš Kintr.

Koho se směrnice NIS2 týká?

Pokud si složitou legislativu zjednodušíme, o tom, kterých firem se předpisy vyplývající z evropské směrnice NIS2 dotknou, rozhodují prakticky dvě věci: obor, ve kterém podniká, a její velikost. Pro určení velikosti platí, že stačí splnit jednu z podmínek:

• firma má více než 50 zaměstnanců (nepočítají se zaměstnanci na rodičovské a mateřské dovolené, studenti na praxi a stážisté)
• firma má roční obrat vyšší než 10 milionů eur (asi 250 milionů korun)

Neplatí to ale absolutně. Nová legislativa přistupuje jinak k firmám působícím v rámci takzvané kritické infrastruktury (typicky energetika, zdravotnictví nebo doprava) a jinak k těm, které jsou například jen součástí dodavatelského řetězce větších regulovaných společností. Obory, které do regulace podle evropské směrnice NIS2 spadají a jejich porovnání s původní směrnicí NIS, přehledně zobrazuje tato infografika přímo od NÚKIB:

Zdroj: NÚKIB

Platí také řada výjimek, například „subjekty shromažďující a udržující přesnou a úplnou registraci názvu domén“ budou regulovány vždy, bez ohledu na svou velikost. Mikropodniky (s méně než deseti zaměstnanci) jsou ale zase z regulatorních požadavků vyňaty.

Přes to všechno lze říci, že nový zákon o kybernetické bezpečnosti problematiku kyberbezpečnosti zjednodušuje. Stávající legislativa totiž po řadě novelizací definuje pro firmy až 13 různých kategorií regulatorních požadavků, což znesnadňovalo pochopení zákona a orientaci v něm. Nově je nahrazuje jediný typ povinné osoby („poskytovatel regulované služby“) a dva režimy regulace lišící se v šíři požadavků a povinností: režim nižších a vyšších povinností.

Co to znamená? Především rozšíření okruhu regulovaných firem. Očekává se, že nový zákon o kybernetické bezpečnosti se dotkne kolem šesti tisíc, možná až deseti tisíc českých společností. Záleží na finálním znění zákona a prováděcích vyhlášek, které poslanci právě schvalují jako sněmovní tisk č. 759. Zde lze nalézt nejen připravované znění chystané legislativy, včetně přesnější definice jednotlivých regulovaných oblastí, ale i pozměňovací návrhy, které můžou ještě podobu zákona ovlivnit.

TIP: Stále tápete, zda se na vás směrnice NIS2 vztahuje? Využijte jednoduchou kalkulačku NIS2 na portálu NÚKIB

Klíčové povinnosti a požadavky NIS2 a nZKB

Poté, co nový zákon o kybernetické bezpečnosti nabyde účinnosti, vzniknou dotčeným firmám nové povinnosti. Tou nejzásadnější je, že zákon požaduje takzvanou samoidentifikaci. Firmy samy si musí ověřit, jestli se jich regulace týká, a pak se případně na portálu NÚKIB nahlásit. Úřad sice slibuje, že bude dotčené firmy a organizace také aktivně vyhledávat a upozorňovat, varuje ale, že touto činností ohlašovací povinnost podniku nezaniká.

Na samoidentifikaci mají dotčené subjekty šedesát dní od nabytí účinnosti zákona, po ohlášení pak NÚKIB subjekt zaregistruje a po doručení rozhodnutí o registraci začínají firmám běžet další zákonné lhůty. Tou nejzásadnější je období jednoho roku na splnění všech požadavků nového zákona. Lhůty pro splnění podmínek nového zákona ukazuje infografika:

Konkrétní požadavky na bezpečnostní opatření definují jednotlivé vyhlášky, a to zvlášť pro nižší a vyšší režim povinností. Dělí je na organizační a technické a konkretizují je jen do takové míry, aby firmám ponechaly svobodu v tom, jak a jakými nástroji je splní. 

V režimu nižších povinností firmy musí:

• registrovat se u NÚKIB (do 60 dnů od účinnosti zákona či zjištění, že se na ně vztahují povinnosti)
• zavést základní organizační opatření (například stanovit odpovědnost za bezpečnost, zavést základní řízení rizik a správu aktiv)
• zavést technická opatření (například řízení přístupu do systémů, detekce kybernetických událostí a použití kryptografických metod)
• hlásit kybernetické incidenty s významným dopadem na poskytování regulované služby (například finanční ztráty nebo významné škody třetím stranám)

V režimu vyšších povinností nad rámec výše uvedených požadavků pro nižší režim firmy musí:

• zavést systém řízení bezpečnosti informací (ISMS), tedy komplexní systém řízení včetně dokumentace, definice bezpečnostních rolí a pravidelných auditů
• zavést rozšířená technická opatření – kromě základních opatření zahrnují například fyzickou ochranu, ochranu sítí, aplikací a důslednější používání kryptografických algoritmů
• zajistit přímou odpovědnost vedení firmy (vedení firmy musí být aktivně zapojeno do řízení kybernetické bezpečnosti, pravidelně testovat opatření a zajišťovat školení zaměstnanců)
• definovat specifické role v organizaci (zákon přímo uvádí povinnost jmenovat osoby odpovědné za kybernetickou bezpečnost, například manažera kyberbezpečnosti či auditora)
• řídit rizika dodavatelského řetězce (důraz na kontrolu zabezpečení dodavatelů a řízení rizik spojených s dodavateli)
• povinně hlásit všechny kybernetické incidenty (firmy ve vyšším režimu musí hlásit všechny kybernetické útoky bez ohledu na závažnost dopadů)

„Principem zavádění bezpečnostních opatření je vést organizaci k tomu, aby si zmapovala své prostředí, identifikovala, co všechno potřebuje pro zajištění chodu své regulované služby, vyhodnotila si rizika, která mohou službu ohrozit, a zavedla přiměřená opatření, kterými daná rizika sníží na akceptovatelnou úroveň,“ vysvětluje NÚKIB.

10 kroků, jak se připravit na směrnici NIS2 a nZKB

Jak se na směrnici NIS2, respektive nový zákon o kybernetické bezpečnosti, připravit? Jednoznačná odpověď na tuto otázku neexistuje, pamatujte ale na to, že kyberbezpečnost jako celek nelze jen tak někde koupit. Už dnes jsou sice na trhu firmy, které vám se splněním požadavků NIS2 poradí, bez vašeho aktivního a především průběžného zapojení ale jejich produkty a služby fungovat nebudou.

Zákon sice ještě na světě není, ale není na co čekat. Základní obrysy a požadavky známe, a i když se v návrhu zákona ještě leccos může drobně měnit, zásadní obrat už čekat nelze. Proto jsme se pokusili sestavit deset základní kroků, jak požadavky směrnice NIS2 a nZKB naplnit:

1. Zjistěte si, jestli se vás NIS2 týká

   Začít je dobré od píky: ověřením, zda se vás vůbec regulace týká. Jak uvádíme výše, nápomocná může být především kalkulačka NIS2 přímo od NÚKIB. Získáte tím mimo jiné představu, jaké požadavky se vás týkají, tedy zda spadáte do režimu nižších, nebo vyšších povinností.

2. Analyzujte současné zabezpečení firmy

   Nejdůležitější je zjistit, jak na tom s kyberbezpečností jste teď. U menších firem třeba už jen tím, že ověříte sílu používaných hesel (ne, „Heslo1234“ není silné). U větších organizací pomůže identifikovat slabá místa IT oddělení. A kdo chce mít jistotu, může tento úkol outsourcovat na některou z desítek prověřených IT firem. Cílem je zjistit současnou úroveň zabezpečení, zhodnotit soulad organizačních opatření s požadavky legislativy a nastavit interní procesy řízení rizik.

3. Zajistěte přímé zapojení vedení firmy

   Pokud firmu vedete přímo vy, pravděpodobně máte splněno – stačí sebe sama zanést v rámci interních směrnic do příslušné „škatulky“ a nahlásit se u NÚKIB jako kontaktní osoba. Pokud ale pro vedení splnění požadavků NIS2 ze své role jen zajišťujete, nezapomeňte ho o požadavcích a dopadech NIS2 informovat a zajistit, abyste měli jeho přímou podporu a potřebné zdroje.

4. Připravte si plán

   S plánem jde všechno lépe. Vezměte si analýzu z bodu dvě a vytvořte si detailní plán s jasnými prioritami, co a kdy v rámci zlepšení kyberbezpečnosti ve firmě udělat. Nezapomeňte na příslušné lhůty, ta hlavní je poměrně mírná: na většinu věcí máte přes jeden rok od nabytí účinnosti zákona.

5. Aktualizujte interní procesy a postupy

   Jedním z prvních kroků by měla být také revize interních postupů pro případ bezpečnostního incidentu. Jestli je ještě nemáte, tak je nastavte. Vše čiňte s vědomím naplnění požadavků nového zákona; do dokumentů tedy zahrňte seznam opatření na řízení rizik, kontrolu přístupu, ochranu dat a zabezpečení dodavatelských řetězců.

6. Implementujte technická bezpečnostní opatření

   V rámci nastaveného plánu postupně zajistěte zavádění technických opatření. V závislosti na míře regulace by měla obsahovat například vícefaktorovou autentizaci (MFA), šifrování dat, řízení zranitelností (vulnerability management) nebo průběžný monitoring bezpečnosti IT systémů. Firmy s vlastním IT oddělením většinu těchto věcí už pravděpodobně mají.

7. Zaveďte jasné a robustní řízení incidentů

   Cílem je být připraven, proto jasně definujte postupy detekce, analýzy a klasifikace bezpečnostních incidentů. Pamatujte, že regulovaná firma musí být schopna relativně rychle incidenty také nahlásit – podle návrhu zákona o kybernetické bezpečnosti by o nich NÚKIB měl vědět do 24 hodin od zjištění napadení, kompletní zprávu byste měli dodat do 72 hodin a závěrečnou (která bude obsahovat i přijatá preventivní opatření) do měsíce od nahlášení incidentu.

8. Postarejte se o dodavatelský řetězec

   I malá firma má dodavatele, nezapomínejte tedy na prověření jejich kybernetického zabezpečení, zejména pokud jsou jakýmkoli způsobem propojeny vaše IT systémy. Na zranitelnost na tomto poli by měla upozornit už analýza z bodu dvě, není od věci si to ale připomenout. Na škodu zcela jistě nebude ani smluvní ošetření požadavků na kybernetickou bezpečnost vašich dodavatelů.

9. Vzdělávejte zaměstnance

   Většinou vše začíná u lidí – zaměstnanců. Můžete mít sebelepší firewally, siná hesla, aktualizovaný software… a pak stačí jeden sofistikovaný mail, jeden klik a je to. Nepodceňujte proto školení personálu, ale i managmentu firmy. Využijte příkladů z praxe, a pokud jste už nějaký bezpečnostní incident řešili, otevřeně ho komunikujte jako ukázku reálné hrozby.

10. Průběžně sledujte vývoj legislativy

    Byť bychom si všichni přáli jasnou předvídatelnost a stálost legislativy, zejména co se podnikatelského prostředí týče, praxe nás učí, že to je chiméra. Překotný vývoj na poli IT v posledních desetiletích navíc dává tušit, že ani směrnice NIS2 a nový zákon o kybernetické bezpečnosti nemusí dlouho zůstat tak, jak bude přijat. Nezapomeňte pravidelně sledovat aktuální legislativu a průběžně jí přizpůsobovat už přijatá opatření.

Nenašli jste, co potřebujete? Vše o NIS2

Problematika kyberbezpečnosti a požadavků NIS2 (potažmo nového zákona o kybernetické bezpečnosti) je natolik komplexní a široká, že jsme ani zdaleka neobsáhli vše. Pokud potřebujete detailnější informace, doporučujeme jít přímo ke zdroji: Národní úřad pro informační a kybernetickou bezpečnost (NÚKIB) je velmi aktivní i na poli osvěty a k NIS2 a nZKB připravil propracovaný portál, ze kterého ostatně čerpáme i my. Hodit se může i aktuální stav samotného zákona a příslušných vyhlášek, ze kterých si lze udělat ucelený obraz:

• portál NÚKIB k novému zákonu o kybernetické bezpečnosti
• návrh zákona o kybernetické bezpečnosti včetně příslušných vyhlášek
• evropská směrnice NIS2 v Úředním věstníku Evropské unie

Nepodceňujte hrozby

Říkáte si, k čemu to všechno je? Jde především o vaši bezpečnost. Řada studií už dnes upozorňuje, že útoky hackerů jsou důmyslnější a že dávno neplatí, že cílí jen na velké korporace. Malé a střední firmy patří mezi jejich cíle také – a zároveň jsou mnohem zranitelnější. Často nemají vlastní IT oddělení a zabezpečení svých systémů snadno podcení. Dobře cílený útok může firmě znemožnit přístup ke klíčovým datům a zcela ji ochromit, o čemž svědčí i řada reálných případů z nedávné historie.

Hledáte konkrétní pomoc? Napište nám

Nenašli jste, co hledáte? Řešíte na poli kyberbezpečnosti konkrétní problém, se kterým potřebujete pomoct? Napište nám a zkusíme společně najít řešení! Společně s našimi důvěryhodnými partnery jsme tu pro vás.