NIS2 pro firmy v Česku: koho se týká a jak postupovat

Směrnici NIS2 v Česku provádí zákon č. 264/2025 Sb., účinný od 1. listopadu 2025. Zavádí kategorii poskytovatele regulované služby a dva režimy povinností — vyšší a nižší. Pokud organizace splní stanovená kritéria, ohlašuje regulovanou službu do 60 dnů; další lhůty se počítají od doručení rozhodnutí NÚKIB o registraci.

Spolu se zákonem platí prováděcí vyhlášky číslo 409/2025 Sbírky pro vyšší režim a číslo 410/2025 Sbírky pro nižší režim. Říkají, jak musí organizace chránit data, počítače a systémy před útoky, a stanovují desítky konkrétních bezpečnostních opatření. Podle konkrétního přestupku může pevná horní hranice pokuty dosáhnout 175 milionů Kč v nižším režimu a 250 milionů Kč ve vyšším. U podniku se použije vyšší z pevné částky a 1,4 %, respektive 2 % čistého celosvětového ročního obratu.

Aktualizováno 5. srpna 2026 podle průvodce NÚKIB a jeho podpůrných materiálů. Jde o praktický přehled, nikoli právní stanovisko; konkrétní povinnosti vždy ověřte podle regulované služby a rozhodnutí NÚKIB.

Zjistěte, zda se vás zákon týká Checklist zdarma
  • 1. 11. 2025 zákon číslo 264/2025 Sbírky je účinný, lhůty pro registraci a opatření už běží
  • 409 a 410/2025 prováděcí vyhlášky pro vyšší (409) a nižší (410) režim
  • až 175 / 250 mil. Kč horní hranice podle režimu a přestupku
  • NIS2 a NÚKIB transpozice evropské směrnice NIS2, dozor vykonává NÚKIB
Prezentace bezpečnostního auditu vedení společnosti

Komu se zákon 264/2025 týká

Zákon se týká poskytovatelů konkrétních regulovaných služeb podle vyhlášky 408/2025. Ve většině odvětví je základním kritériem velikost podniku, u části služeb rozhodují i další podmínky. Stručný seznam oborů sám o sobě režim neurčí.

Příklady odvětví a podmínek, které je potřeba ověřit podle vyhlášky 408/2025
Klient Co je potřeba ověřit
Zdravotnictví a sociálně-zdravotní služby Rozhoduje konkrétní poskytovaná služba a podmínky ve vyhlášce 408/2025.
Energetika, doprava, voda a digitální infrastruktura Vedle velikosti se u části služeb posuzují licence, kapacita nebo jiné zvláštní podmínky.
Výroba, poštovní služby, odpady a potravinářství Samotný obor režim neurčuje; zpravidla se ověřuje konkrétní služba a velikost podniku.
Veřejná správa, vysoké školy a výzkum Platí vlastní podmínky podle typu organizace, vykonávané služby a někdy i zaměření činnosti.
Obranný průmysl Vyhláška rozlišuje konkrétní činnost a velikost; například výrobu nebo obchod s vojenským materiálem.

Velikost podniku, orientačně

  • Velikost se posuzuje podle počtu zaměstnanců, ročního obratu a bilanční sumy.
  • U partnerských a propojených podniků může být nutné započítat také údaje dalších společností.
  • Velikost je ve většině odvětví základní kritérium, u některých služeb ale rozhodují i další podmínky.

Pro orientaci použijte Kalkulačku NÚKIB. Zohledňuje velikost podniku a vede k výběru konkrétní regulované služby.

Odvětví NIS2 — první orientace

Směrnice NIS2 pracuje mimo jiné s energetikou, dopravou, zdravotnictvím, vodou, digitální infrastrukturou, ICT službami a veřejnou správou.

Co rozhoduje v Česku

České zařazení určuje konkrétní regulovaná služba a její podmínky ve vyhlášce 408/2025. Příloha I nebo II směrnice NIS2 sama neurčuje český režim povinností.

Vyšší versus nižší režim

Oba režimy se liší rozsahem bezpečnostních opatření, povinnými rolemi, rozsahem hlášení incidentů a horní hranicí sankcí. Nižší režim řídí vyhláška 410/2025, vyšší režim přísnější vyhláška 409/2025.

Porovnání povinností v nižším a vyšším režimu zákona 264/2025
Položka Nižší režim Vyšší režim
Manažer kybernetické bezpečnosti Zákon roli výslovně nevyžaduje Povinně
Architekt a auditor kybernetické bezpečnosti Dobrovolně Povinně
Nezávislý audit Dobrovolně Povinně
Rozsah bezpečnostních opatření Méně rozsáhlý, základní soubor opatření Širší a přísnější soubor opatření
Hlášení incidentů NÚKIB Jen významné incidenty Všechny incidenty
Horní hranice sankce Až 175 mil. Kč; u podniku až 1,4 % čistého celosvětového ročního obratu, použije se vyšší hodnota Až 250 mil. Kč; u podniku až 2 % čistého celosvětového ročního obratu, použije se vyšší hodnota
Prováděcí vyhláška Vyhláška číslo 410/2025 Sbírky Vyhláška číslo 409/2025 Sbírky

Klíčové termíny a lhůty

Zákon je účinný od 1. listopadu 2025, ale přesný kalendář se odvíjí od chvíle, kdy organizace splní podmínky, a od doručení rozhodnutí NÚKIB o registraci. Proto si nejdřív ověřte datum ohlášení a registrace; teprve z něj počítejte navazující lhůty.

  1. do 60 dní od splnění podmínek pro registraci

    Ohlášení regulované služby přes portál NÚKIB

    Organizace vyhodnotí, zda poskytuje regulovanou službu, a při splnění kritérií ji ohlásí přes portál NÚKIB. U subjektů, které podmínky splňovaly už při účinnosti zákona, tato úvodní lhůta běžela od 1. listopadu 2025.

  2. po ohlášení služby

    Doručení rozhodnutí NÚKIB o registraci

    NÚKIB potvrdí registraci poskytovatele regulované služby. Od doručení tohoto rozhodnutí běží další lhůty.

  3. do 30 dní od doručení rozhodnutí

    Hlášení kontaktních údajů odpovědných osob

    Poskytovatel nahlásí požadované kontaktní a další údaje. V nižším režimu zákon nevyžaduje obsazení bezpečnostních rolí, jako je manažer, architekt nebo auditor.

  4. do 1 roku od doručení rozhodnutí

    Zavedení bezpečnostních opatření a hlášení incidentů

    Organizace zavede povinná bezpečnostní opatření podle svého režimu a začne hlásit incidenty. Zavedení desítek konkrétních opatření je nejnáročnější krok, proto je dobré začít včas.

Týká se vás bezpečnost, i když nespadáte pod zákon

I když pod regulaci přímo nespadáte, dobrovolné zvýšení odolnosti se vyplatí. Pomáhá s kyberpojistkou, s požadavky odběratelů a hlavně s obranou před reálným útokem.

  • Kyberpojistka

    Audit může posloužit jako podklad k bezpečnostnímu dotazníku nebo jednání s pojistitelem. Rozhodují ale podmínky konkrétní pojistné smlouvy; audit sám neslibuje nižší pojistné ani pojistné plnění.

  • Veřejné tendry a smluvní řetězce

    Regulované subjekty mohou přenášet bezpečnostní požadavky na dodavatele. Doložený rozsah auditu pomůže odpovědět na konkrétní smluvní nebo zadávací požadavek, nenahrazuje však požadovaný certifikát.

  • Reálné riziko útoku

    Ransomware, phishing a úniky dat zasahují i organizace mimo regulaci. Audit může odhalit slabá místa a dát vedení podklady k prioritám; sám o sobě nezaručuje, že incident nenastane.

Jak vám GBH pomůže se zákonem 264/2025

Provedeme vás od prvního posouzení až po doložené opatření. Zjistíme zařazení, ověříme reálný stav a připravíme vaše lidi.

Checklist připravenosti na zákon 264/2025

Nechte si zdarma poslat přehledný checklist, který vás provede povinnostmi nového zákona o kybernetické bezpečnosti. Zjistíte, co a do kdy musíte stihnout, a získáte náskok dřív, než vám začnou utíkat lhůty.

  • Krok za krokem, co a do kdy musíte podle zákona 264/2025 splnit
  • Lhůty pro samoidentifikaci, registraci a zavedení opatření na jednom místě
  • Přehled povinných rolí a opatření pro vyšší i nižší režim
  • Na co se zaměřit jako první, aby vám neutekly nejbližší termíny

Pošleme vám checklist na e-mail do 1 pracovního dne. Žádný spam, jen co potřebujete k přípravě.

Spadáte pod zákon 264/2025?

Odpovězte na pár otázek a získejte nezávazný orientační výsledek. Nejde o právní poradenství ani závazné zařazení, jen o první vodítko. Jistotu dá posouzení dopadu zákona.

Trvá to pod minutu.
1. V jakém odvětví organizace působí?
2. Jak velká je vaše organizace?

Nástroj slouží jen jako nezávazný orientační indikátor, nejde o právní poradenství ani závazné zařazení. Nejprve použijte aktuální kalkulačku NÚKIB; odborné posouzení má ověřit vstupní údaje a konkrétní regulovanou službu.

Časté dotazy k zákonu 264/2025

Stručné odpovědi na to, na co se nás organizace ptají nejčastěji. Pokud tu nenajdete svou otázku, ozvěte se a rádi poradíme.

Co je zákon č. 264/2025 Sb.?

Je to nový český zákon o kybernetické bezpečnosti, který je účinný od 1. listopadu 2025. Transponuje evropskou směrnici NIS2, zavádí jednotnou kategorii poskytovatele regulované služby a dva režimy povinností, vyšší a nižší. Dozor nad ním vykonává Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB).

Od kdy zákon 264/2025 platí a kdy musím něco udělat?

Zákon je účinný od 1. listopadu 2025. Regulovaná služba se ohlašuje do 60 dní od splnění podmínek. Po doručení rozhodnutí o registraci běží 30 dní na kontaktní a další údaje a nejvýše jeden rok na zavedení opatření a zahájení povinného hlášení incidentů.

Jaký je rozdíl mezi vyšším a nižším režimem?

Liší se rozsahem opatření, incidentů i bezpečnostních rolí. Nižší režim podle vyhlášky 410/2025 používá přiměřenější soubor opatření a nevyžaduje manažera, architekta ani auditora jako zákonné role. Vyšší režim podle vyhlášky 409/2025 má širší požadavky, povinné role a pravidelný audit.

Jak poznám, jestli pod zákon 264/2025 spadám?

Zařazení závisí na konkrétní regulované službě a podmínkách vyhlášky 408/2025. Ve většině odvětví je základním kritériem velikost podniku, u části služeb se posuzují i další okolnosti. Začněte aktuální kalkulačkou NÚKIB; odborné posouzení pak ověří údaje a dopad na vaši organizaci.

Jaké hrozí sankce za nedodržení zákona 264/2025?

Podle konkrétního přestupku může pevná horní hranice pokuty dosáhnout 175 milionů Kč v nižším režimu a 250 milionů Kč ve vyšším. U podniku se použije vyšší z pevné částky a 1,4 %, respektive 2 % čistého celosvětového ročního obratu. O skutečné výši rozhoduje NÚKIB ve správním řízení.

Týká se mě zákon, i když nespadám pod regulaci?

Přímo možná ne, ale dobrovolné zvýšení odolnosti se vyplatí. Doložení bezpečnostních opatření může vyžadovat konkrétní pojistná smlouva nebo dotazník pojišťovny a regulovaní odběratelé mohou požadavky přenášet na své dodavatele. Ransomware i phishing navíc zasahují organizace bez ohledu na regulaci.

Co je posouzení dopadu zákona a kolik stojí?

Je to rychlé nezávislé posouzení, které vyhodnotí, zda pod regulaci spadáte, v jaké úrovni a co reálně musíte splnit. Pořídíte ho od 2 900 Kč bez DPH, v případě navazující gap analýzy nebo plánu implementace je zdarma. Pomůžeme i s přihlášením a komunikací s NÚKIB.

Nečekejte, až vám utečou lhůty

Zjistíme za vás, zda a v jakém režimu pod zákon 264/2025 spadáte

Začněte posouzením dopadu zákona od 2 900 Kč. Vyhodnotíme zařazení, ukážeme mezery a navrhneme konkrétní další krok. Úvodní konzultace je nezávazná a zdarma.

Posouzení dopadu zákona Nezávazná konzultace

Ozveme se do 1 pracovního dne

Napište nám, co řešíte. Doporučíme další krok a navrhneme nezávaznou konzultaci.