Nový zákon o kybernetické bezpečnosti platí od 1. listopadu. Co teď dělat, když vedete malou nebo střední firmu

Od 1. listopadu 2025 platí nový zákon o kybernetické bezpečnosti, č. 264/2025 Sb. Je to česká verze evropské směrnice NIS2 a podle odhadů se týká více než 6 000 organizací. Hodně z nich to pořád neví.

Za posledních deset dní jsem tu samou otázku slyšel od jednatelů několikrát: „Přijde nám něco od úřadu?“ Nepřijde. To je na celém zákoně asi nejdůležitější změna.

Musíte se ozvat sami

Žádný seznam firem, kterým úřad napíše, neexistuje. Každá firma si musí sama zjistit, jestli poskytuje některou z tzv. regulovaných služeb, a pokud ano, nahlásit se Národnímu úřadu pro kybernetickou a informační bezpečnost (NÚKIB).

Lhůta je 60 dní od účinnosti zákona, tedy do konce roku 2025. Hlásí se přes Portál NÚKIB, kde je i kalkulačka, která vás provede otázkami a řekne, jestli pod zákon spadáte.

Po registraci máte 30 dní na doplnění kontaktních údajů a 12 měsíců na zavedení bezpečnostních opatření.

Koho se to týká

Zjednodušeně: hlavně střední a větší firmy, tedy od 50 zaměstnanců nebo od obratu přes 10 milionů eur, v odvětvích, která zákon jmenuje. Kromě energetiky, dopravy nebo zdravotnictví jsou mezi nimi i výroba, potraviny, odpady, digitální služby a další. U některých služeb nerozhoduje velikost vůbec.

Proto nedoporučuju odhadovat. Kalkulačka zabere pár minut, odhad může stát hodně peněz.

Dva režimy a pokuty

Zákon má dva režimy:

• vyšší povinnosti (vyhláška č. 409/2025 Sb.), pokuta až 250 milionů Kč nebo 2 % celosvětového obratu,
• nižší povinnosti (vyhláška č. 410/2025 Sb.), pokuta až 175 milionů Kč nebo 1,4 % celosvětového obratu.

K tomu hlášení incidentů: první varování do 24 hodin, podrobnější hlášení do 72 hodin a závěrečná zpráva do měsíce.

Co když pod zákon nespadáte

Tohle je otázka, kterou si podle mě položí většina malých firem. A odpověď není „nic se mě netýká“, ze dvou důvodů.

Za prvé, vaši odběratelé. Firmy, které pod zákon spadají, budou řešit bezpečnost i u svých dodavatelů. Čekám, že se v příštím roce začnou objevovat dotazníky a smluvní požadavky i u firem, které samy regulované nejsou.

Za druhé, útočník se neptá, jestli jste v registru. Podvodný e-mail s „novým číslem účtu“ dodavatele dorazí do malé firmy stejně jako do velké. Zákon jen nahlas říká to, co platí stejně: většina útoků začíná u člověka, který něco otevře, na něco klikne nebo něco zaplatí.

Co bych udělal tento týden

1. Projděte kalkulačku na Portálu NÚKIB. Výsledek si uložte, i když vyjde, že pod zákon nespadáte.
2. Pokud spadáte, zaregistrujte se do konce roku. Opatření řešte potom, máte na ně rok.
3. Pokud nespadáte, zeptejte se svých hlavních odběratelů, jestli spadají oni. Dozvíte se, co vás v příštím roce čeká.
4. Ať už ano, nebo ne, začněte u lidí. Pravidlo „změnu účtu vždycky ověřím telefonem na známé číslo“ nestojí nic a chrání víc než leckterý software.

Zdroje: zákon č. 264/2025 Sb. a vyhlášky č. 409/2025 Sb. a 410/2025 Sb.; Lupa.cz, 4. 11. 2025; Portál NÚKIB.