NIS2 pro
české firmy
Co je NIS2, koho se týká a jak vám s tím pomůžeme. Směrnici NIS2 převádí do českého práva zákon č. 264/2025 Sb., o kybernetické bezpečnosti. Dozor nad ním vykonává NÚKIB.
Tato stránka je informativní přehled, nikoli právní rada. Závazné posouzení náleží NÚKIB nebo vašemu právnímu zástupci.
// co je nis2
NIS2 je směrnice Evropského parlamentu a Rady (EU) 2022/2555 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii. Směrnice sama o sobě firmám povinnosti neukládá. Zavazuje členské státy, aby ji převedly do svého práva.
V Česku ji převádí zákon č. 264/2025 Sb., o kybernetické bezpečnosti, ve znění účinném od 1. listopadu 2025. Nahradil dosavadní zákon č. 181/2014 Sb. Pokud tedy v Česku řešíte NIS2, pracujete s textem zákona č. 264/2025 Sb. a jeho prováděcích vyhlášek, ne s textem směrnice.
Zákon zavádí pojem regulovaná služba. Kdo takovou službu poskytuje, stává se poskytovatelem regulované služby, registruje se a plní povinnosti v jednom ze dvou režimů.
Všechny tři vyhlášky jsou ze Sbírky zákonů 2025 a jsou účinné spolu se zákonem.
// nis2 a núkib
Kdo je NÚKIB
Národní úřad pro kybernetickou a informační bezpečnost. Je ústředním správním úřadem pro tuto oblast a podle zákona č. 264/2025 Sb. vede registraci, vykonává kontrolu a vede řízení o pokutách.
Kde se podává
Zákon mluví o Portálu Úřadu. Podle § 45 odst. 2 se ohlášení podle § 6 odst. 1, hlášení údajů podle § 11 i hlášení incidentů podle § 15 odst. 1 a 2 činí výlučně elektronicky, formulářovým podáním přes tento portál. Podání připravíme s vámi, ale podáváte je vy, svým jménem.
Co zveřejňuje
Metodiky, podpůrné materiály a aktuální výklad zveřejňuje NÚKIB na nukib.gov.cz. Než se na cokoli na této stránce spolehnete, ověřte aktuální stav tam.
// koho se to týká
Podmínky vymezuje § 4 odst. 1. Musí být splněna podmínka odvětví a zároveň podmínka podle písmene b), ta má ale dvě větve.
Odvětví a služba. Poskytujete službu v některém z odvětví vyjmenovaných v § 4 odst. 1 písm. a). Seznam konkrétních služeb a vymezení podmínek stanoví podle § 4 odst. 2 vyhláška, tedy vyhláška č. 408/2025 Sb.
Velikost, nebo významnost. Podle § 4 odst. 1 písm. b) jste buď středním či velkým podnikem ve smyslu doporučení Komise 2003/361/ES, nebo jste významní pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice. Stačí jedna z těchto dvou větví. Firmy často čtou jen tu první.
Velikost se neurčuje čistě podle doporučení. § 7 od jeho pravidel odchyluje: neuplatní se čl. 3 odst. 4, za podnik se nepovažují organizační složky státu, územní samosprávné celky a Česká národní banka, a za partnerský nebo propojený podnik se nepovažují osoby, jejichž technická aktiva jsou zcela oddělena od aktiv používaných při poskytování regulované služby. Konkrétní prahové hodnoty si ověřte v doporučení a na nukib.gov.cz.
Velikost není jediná cesta dovnitř. Podle § 5 může NÚKIB registrovat službu i z jiných důvodů, například když jde o jediného poskytovatele služby zásadní pro stát nebo když by výpadek dopadl na více než 125 000 osob.
Služba registrovaná z těchto důvodů spadá podle § 8 odst. 3 do režimu vyšších povinností bez ohledu na velikost podniku.
// vyšší a nižší povinnosti
Zákon nemá jeden režim pro všechny. Podle § 8 odst. 1 je v režimu vyšších povinností ten poskytovatel, který je značně ekonomicky, společensky nebo bezpečnostně významný pro Českou republiku, například svou velikostí, počtem uživatelů nebo dopadem na fungování odvětví. Kdo tuto větu nesplňuje, je v režimu nižších povinností. Konkrétní rozdělení poskytovatelů do režimů stanoví podle § 8 odst. 2 vyhláška.
režim vyšších povinností
režim nižších povinností
Zařazení do režimu není volba. Plyne ze zákona a z vyhlášky, a potvrzuje se rozhodnutím o registraci. Režim se navíc může změnit: podle § 9 odst. 1 hlásíte změny regulované služby, které mohou vést ke změně režimu, do 60 dnů, a podle § 9 odst. 2 při přechodu do vyššího režimu běží nové lhůty podle § 11 odst. 1, § 13 odst. 4 a § 15 odst. 4.
// lhůty, které běží
Většina lhůt neběží od účinnosti zákona, ale od vaší vlastní události: od okamžiku, kdy jste splnili podmínky, nebo ode dne doručení rozhodnutí o registraci. Proto má každá firma vlastní kalendář.
Hodiny, které se rozběhnou při incidentu
Poskytovatel regulovaných služeb vytvářejících důvěru předkládá oznámení podle § 16 odst. 3 písm. a) už do 24 hodin. Hlášení se podávají prostřednictvím Portálu Úřadu podle § 16 odst. 4.
Pokud jste byli regulováni už podle zákona č. 181/2014 Sb., řeší váš přechod § 71. Do uplynutí lhůt podle nového zákona plníte povinnosti v rozsahu podle dosavadního předpisu, s výjimkou způsobu hlášení incidentů, který se řídí novým zákonem ode dne doručení rozhodnutí o registraci. Jak to dopadá na vaše konkrétní lhůty, ověřte na nukib.gov.cz.
// co hrozí
Pokuty
Zákon stanoví v § 59 odst. 4 dvě horní hranice. Podle písmene a) až 250 000 000 Kč nebo až 2 % čistého celosvětového ročního obratu podniku za bezprostředně předcházející účetní období, podle toho, která z částek je vyšší. Podle písmene b) až 175 000 000 Kč nebo až 1,4 %, se stejným pravidlem vyšší částky.
Které porušení spadá pod kterou hranici, plyne z textu § 59. Nepracujte s jedním číslem pro všechno.
Odpovědnost statutárního orgánu
Podle § 58 odst. 1 může Úřad členu statutárního orgánu zakázat výkon funkce, a to nejméně na 6 měsíců, pokud v přímé souvislosti s plněním rozhodnutí Úřadu opakovaně nebo závažně porušil své povinnosti a tím zmařil řádné splnění tohoto rozhodnutí.
Tento následek míří na osobu, ne na firmu. Nelze ho přenést na dodavatele ani na nás.
// jak vám pomůžeme
HEXENKRAFT je softwarová firma z Prahy. NIS2 řešíme jako práci na zakázku, po krocích, s výstupem, který si můžete vzít a použít i bez nás.
Posouzení dopadu
Projdeme vaše služby, odvětví a velikost skupiny. Výstup říká, zda jste poskytovatelem regulované služby, podle kterého řádku vyhlášky, a v jakém režimu. Pokud je odpověď nejistá, napíšeme to a řekneme proč.
Gap analýza
Porovnáme současný stav s vyhláškou č. 409/2025 Sb. nebo č. 410/2025 Sb., podle vašeho režimu. Výstupem je seznam mezer, u každé odkaz na konkrétní ustanovení a odhad pracnosti.
Podpora při zavádění
Dokumentace, role a odpovědnosti, plán na dvanáct měsíců od doručení rozhodnutí, a požadavky do smluv s dodavateli podle § 13 odst. 5. Pracujeme po vašem boku, ne místo vás.
Příprava na kontrolu
Nanečisto si projdeme hlášení incidentu v lhůtách 24 hodin, 72 hodin a 30 dnů, a zkontrolujeme, že po vás zůstává důkazní stopa, kterou lze ukázat.
Co neděláme
// chcete začít sami
Kybriq
betaKybriq je náš vlastní nástroj pro zákon č. 264/2025 Sb. Zdarma projde otázkami, zda poskytujete regulovanou službu, do jakého režimu spadáte, a sestaví kalendář lhůt z data doručení rozhodnutí o registraci. Každou odpověď opírá o citaci z textu zákona nebo vyhlášky.
Když si chcete udělat první obrázek dřív, než si nás pozvete, začněte tam. Když z Kybriqu vyjde nejistý výsledek nebo potřebujete opatření skutečně zavést, ozvěte se nám.
otevřít kybriq.cz →// zdroje
Paragrafy a lhůty na této stránce odkazují na zákon č. 264/2025 Sb. a uvedené vyhlášky. Právní předpisy se mění. Před rozhodnutím ověřte aktuální znění a aktuální výklad na nukib.gov.cz.
Řešíte vedle toho i umělou inteligenci? Přečtěte si AI Act pro české firmy.