Jaké povinnosti zákon ukládá
- 1. Registrace a ohlášení u NÚKIB. Subjekt je povinen ohlásit poskytování regulované služby, a to zpravidla do 60 dnů od okamžiku, kdy podmínky pro registraci naplní (u většiny organizací šlo o den účinnosti zákona, tedy 1. listopadu 2025, případně krátce po něm). Ohlášení se provádí prostřednictvím Portálu NÚKIB. Následně je nutné doplnit podrobnější údaje ve lhůtě navazující na doručení rozhodnutí o registraci.
- 2. Zavedení bezpečnostních opatření. Zákon vyžaduje zavedení technických, organizačních a provozních opatření k zajištění důvěrnosti, integrity a dostupnosti informačních systémů – od řízení rizik přes bezpečnost lidských zdrojů až po plány kontinuity činností. Na zavedení těchto opatření mají subjekty přechodnou lhůtu, zpravidla jeden rok od rozhodnutí o registraci či vydání osvědčení o zápisu do evidence.
- 3. Řízení bezpečnosti dodavatelského řetězce. Firmy musí prověřovat a řídit kybernetická rizika i u svých dodavatelů a smluvních partnerů a prokázat, že bezpečnostní požadavky splňují i oni – jde o jednu z výrazných novinek oproti předchozí úpravě.
- 4. Hlášení kybernetických incidentů. Významné bezpečnostní incidenty je nutné hlásit NÚKIB velmi rychle – prvotní hlášení zpravidla do 24 hodin od zjištění, s povinností podat následná doplňující hlášení. Zavedení funkčního systému detekce a hlášení incidentů musí subjekty zvládnout ve stejné lhůtě jako zavedení bezpečnostních opatření.
- 5. Osobní odpovědnost statutárních orgánů. Zákon výslovně akcentuje odpovědnost vedení společnosti za plnění povinností v oblasti kybernetické bezpečnosti – nejde tedy jen o „IT agendu“, ale o téma, které patří na úroveň představenstva a jednatelů.
Sankce za nesplnění povinností
Zákon zavádí citelně přísnější sankční rámec než dosavadní úprava. U subjektů ve vyšším režimu povinností se hovoří o pokutách až ve výši desítek až stovek milionů korun, případně v procentuálním vyjádření z celosvětového obratu skupiny – přičemž se uplatní ta z hodnot, která je vyšší. I proto je vhodné otázku souladu s novou regulací neponechávat na poslední chvíli, a to ani v případě, že registrační lhůta již uplynula – nesplněnou povinnost je vhodné doplnit neprodleně, protože to může riziko sankce zmírnit.
Co by regulované subjekty měly udělat nyní
Pokud vaše organizace ještě neprovedla analýzu, zda pod nový zákon spadá, nebo analýzu má za sebou, ale s praktickými kroky teprve začíná, doporučujeme:
- 1. Ověřit zařazení – posoudit, zda se na organizaci vztahuje regulace, v jakém režimu (vyšší/nižší povinnosti) a od jakého okamžiku.
- 2. Zkontrolovat, zda proběhla registrace u NÚKIB – pokud lhůta k ohlášení uplynula a firma ji zmeškala, je vhodné registraci dokončit neprodleně, byť opožděně.
- 3. Zmapovat stav bezpečnostních opatření vůči požadavkům zákona a připravit plán jejich zavedení v rámci zákonné lhůty.
- 4. Nastavit smluvní a procesní mechanismy pro řízení rizik u dodavatelů.
- 5. Zapojit vedení společnosti – s ohledem na osobní odpovědnost statutárních orgánů by soulad s NIS2 měl být pravidelným bodem na úrovni vedení, nikoli jen agendou IT oddělení.
Jak vám může pomoci Proxima Legal
Implementace NIS2 propojuje právní, procesní i technická témata – od právního posouzení, zda se regulace na konkrétní subjekt vztahuje, přes nastavení interních směrnic a smluvní dokumentace s dodavateli, až po metodickou podporu při komunikaci s NÚKIB. Náš tým vám pomůže zorientovat se v tom, jaké konkrétní povinnosti se na vaši organizaci vztahují, a nastavit praktický a udržitelný plán jejich plnění – bez zbytečné administrativní zátěže nad rámec toho, co zákon skutečně vyžaduje.
Pokud si nejste jisti, zda a v jakém rozsahu se vás nový zákon o kybernetické bezpečnosti týká, neváhejte nás kontaktovat – rádi s vámi projdeme konkrétní situaci vaší společnosti.
Tento článek má informativní charakter a nenahrazuje individuální právní poradenství. Vzhledem k tomu, že prováděcí předpisy a výkladová praxe NÚKIB se mohou dále vyvíjet, doporučujeme aktuální stav konzultovat s odborníky.
