Stručně
- Zákon č. 264/2025 Sb. o kybernetické bezpečnosti platí od 1. 11. 2025. Firmy se měly ohlásit NÚKIB do 60 dnů, tedy většinou do konce roku 2025.
- Na zavedení bezpečnostních opatření a začátek hlášení incidentů je rok od doručení rozhodnutí o registraci. Pro většinu firem tak lhůta končí mezi listopadem 2026 a začátkem roku 2027.
- NÚKIB avizoval, že bude aktivně hledat organizace, které se neohlásily. Kdo si samoidentifikaci ještě neudělal, měl by to udělat hned.
Kde jsme po roce
Nový zákon o kybernetické bezpečnosti, který do českého práva převádí evropskou směrnici NIS2, je účinný od 1. listopadu 2025. Organizace, které poskytují takzvané regulované služby, se měly do 60 dnů ohlásit Národnímu úřadu pro kybernetickou a informační bezpečnost (NÚKIB). Podle údajů z února 2026 úřad registroval přes 4 800 organizací. Kdo zákonu podléhá a jak to zjistit, vysvětlujeme v článku týká se vás NIS2?
Kdy vám končí lhůta
Roční lhůta na zavedení bezpečnostních opatření se nepočítá od účinnosti zákona, ale od doručení rozhodnutí o registraci. Stejně tak povinnost hlásit kybernetické incidenty. Firmám, které se ohlásily na přelomu let 2025 a 2026, tak lhůta končí zhruba mezi listopadem 2026 a začátkem roku 2027. Přesné datum zjistíte z rozhodnutí na Portálu NÚKIB.
Co má být hotové
Pro firmy v režimu nižších povinností vydal NÚKIB praktický manuál (verze 1.1 z června 2026). Opatření jsou povinná, ale u části z nich si firma může vyhodnotit, jestli se jí týkají. Pokud ne, musí to zdůvodnit. Typicky jde o:
- odpovědnost vedení a základní dokumentaci, včetně přehledu zavedených a plánovaných opatření,
- evidenci zařízení a správu přístupů, ideálně přes MDM a vícefaktorové ověření,
- zálohování a obnovu po incidentu,
- pravidelné aktualizace a řešení zranitelností,
- bezpečnost dodavatelů a postup pro hlášení incidentů.
NÚKIB k tomu vydal i materiál o přiměřenosti opatření. Malá firma nemusí zavádět to samé co nemocnice, musí ale umět doložit, proč zvolila právě daný rozsah.
Co když jste se neohlásili
Povinnost ohlásit se platí i tehdy, když o ní firma nevěděla. NÚKIB opakovaně upozornil, že bude neohlášené organizace dohledávat a může ukládat sankce. Rychlá cesta je bezplatná samoidentifikace na Portálu NÚKIB. A i když se vás zákon přímo netýká, vaši zákazníci, na které dopadá, po vás budou chtít doložit zabezpečení jako po dodavateli.
Tento článek je přehled, ne právní rada. Pro posouzení konkrétní situace doporučujeme Portál NÚKIB a konzultaci s odborníkem.
Časté otázky
Do kdy musí firmy zavést opatření podle zákona o kybernetické bezpečnosti?
Do jednoho roku od doručení rozhodnutí o registraci od NÚKIB. U většiny firem registrovaných na přelomu let 2025 a 2026 to vychází na listopad 2026 až začátek roku 2027.
Co když se firma k NIS2 neohlásila?
Měla by to udělat co nejdřív přes Portál NÚKIB. Úřad avizoval, že neohlášené organizace bude dohledávat a může ukládat sankce.
Musí malá firma splnit všechna opatření?
V režimu nižších povinností jsou opatření povinná, ale u části z nich firma vyhodnotí, zda jsou pro ni relevantní, a případné nezavedení zdůvodní.