Od 1. listopadu 2025 začíná v Česku platit nový zákon o kybernetické bezpečnosti. Možná si říkáte, že se týká jen IT firem nebo úřadů. Jenže pozor – nově spadá pod povinnosti i celá řada běžných firem a organizací, které s technologiemi třeba ani přímo nepracují. Tento zákon totiž zásadně rozšiřuje okruh organizací, které budou muset dodržovat přísnější pravidla. Pojďme se na to podívat bez zbytečných paragrafů.
Proč se zákon mění?
Důvod je jednoduchý – Evropa čelí čím dál častějším a závažnějším kybernetickým útokům. Evropská unie proto přijala tzv. směrnici NIS2, která má zajistit lepší obranu důležitých služeb před hackery, výpadky a úniky dat. Česká republika tuto směrnici přejímá do svého právního řádu právě skrze nový zákon o kybernetické bezpečnosti.
Nový zákon míří na tisíce firem
Jednou z nejzásadnějších změn nového zákona je to, na koho všechno se bude vztahovat. Už to dávno nejsou jen velké IT korporace nebo ministerstva. Zákon míří mnohem šířeji – a podle odhadů zasáhne 6 až 9 tisíc organizací po celé republice.
Konkrétně půjde například o:
- firmy v energetice, dopravě, zdravotnictví nebo bankovnictví,
- poskytovatele digitálních služeb (např. cloudové platformy, online tržiště),
- větší výrobní podniky s technologicky náročným provozem,
- některé dodavatele veřejného sektoru,
- a mnohé další.
Jak zjistím, jestli se mě změna týká?
Na první pohled to může znít složitě, ale ve skutečnosti existuje celkem jednoduchý způsob, jak si ověřit, jestli vaše firma spadá pod nový zákon.
Podstatné je, jestli poskytujete tzv. regulovanou službu – to znamená službu, která je považovaná za důležitou pro fungování:
- společnosti,
- ekonomiky
- bezpečnosti státu.
Nemusíte si to ale složitě vykládat z právních definic. Národní úřad pro kybernetickou a informační bezpečnost připravil nástroj pro tzv. samoidentifikaci.
To je v podstatě jednoduchý dotazník (tzv. identifikační formulář), kde si krok za krokem ověříte:
- v jakém odvětví působíte,
- jaké služby poskytujete,
- jaký máte obrat, počet zaměstnanců a další základní parametry.
Na základě toho vám nástroj vyhodnotí, jestli spadáte mezi tzv. základní nebo významné subjekty – a tedy zda se na vás nové povinnosti budou vztahovat.
Kalkulačku najdete zde: https://portal.nukib.gov.cz/kalkulacka
Doporučení! Nečekejte s tím na poslední chvíli. Lhůta pro nahlášení začíná běžet už od 1. listopadu 2025, a pokud se vás zákon týká, máte jen 60 dní na to, abyste se „přihlásili“ jako regulovaný subjekt.
Co bude nově povinné?
Zákon zavádí několik zásadních novinek, které by si firmy rozhodně neměly nechat ujít. Ve zkratce:
- Budete se muset sami nahlásit – konkrétně do 60 dnů od účinnosti zákona. Pokud poskytujete tzv. „regulovanou službu“, máte oznamovací povinnost vůči NÚKIB.
- Bezpečnost nebude jen věcí IT oddělení – zákon výslovně říká, že odpovědnost leží i na vedení firmy.
- Budete muset přijmout technická a organizační opatření – to může znamenat například školení zaměstnanců, úpravy interních směrnic, bezpečnostní audity nebo lepší řízení dodavatelů.
- Hrozí vyšší pokuty než dříve – v některých případech až v řádech milionů korun. A ano, reálně se budou ukládat.
Co byste měli udělat jako první?
Nebojte, nebudete muset ihned studovat paragrafy a složité normy. Doporučujeme ale začít krok po kroku:
- Zjistěte, jestli se vás zákon týká. Na webu NÚKIB najdete kalkulačku, která vám pomůže se samoidentifikací.
- Pokud ano, začněte plánovat, co bude potřeba udělat. Je lepší mít rezervu na přípravu než něco řešit na poslední chvíli.
- Poraďte se s odborníky. Ať už jde o IT bezpečnost, nebo právní poradenství – lepší být připraven než překvapen.
- Začněte školit a informovat zaměstnance. Lidé jsou často tím nejslabším článkem bezpečnostního řetězce – ale také tím nejcennějším.
Jak vám s tím můžeme pomoci?
Naše advokátní kancelář se v posledních měsících aktivně připravuje na nástup nového zákona.
Firmám pomáháme:
- ověřit, zda se na ně zákon vztahuje,
- nastavit interní pravidla a odpovědnosti (např. kdo bude „pověřenec“ pro kyberbezpečnost),
- revidovat smlouvy s dodavateli a partnery,
- připravit dokumentaci pro případ kontroly,
- a samozřejmě zastupovat je v případném řízení s úřady.
Čas se krátí – buďte připraveni
Zákon o kybernetické bezpečnosti vstupuje v platnost už 1. listopadu 2025 – tedy doslova za pár dní. Pokud spadáte mezi regulované subjekty, běží vám 60denní lhůta pro ohlášení, a s tím už se teď nedá otálet. Příprava navíc často zabere víc času, než se na první pohled zdá – obzvlášť pokud jde o technické nastavení, interní procesy nebo proškolení lidí.
Pokud váháte, jestli se vás zákon týká, nebo jen chcete mít jistotu, že jdete správným směrem, jsme tu pro vás. Rádi vám pomůžeme!