Nový zákon o kybernetické bezpečnosti: co čeká výrobní firmy

Pokud vyrábíte stroje a zařízení a jste střední nebo velký podnik, spadáte pravděpodobně pod zákon č. 264/2025 Sb. o kybernetické bezpečnosti, účinný od 1. listopadu 2025. Nahradil starý zákon č. 181/2014 Sb. a přenáší do českého práva směrnici NIS2. Regulovanou službu je třeba ohlásit NÚKIB do 60 dnů od splnění podmínek, incidenty se hlásí do 24 hodin od zjištění a za neohlášení hrozí pokuta až 250 milionů korun nebo 2 % čistého celosvětového obratu, podle toho, co je vyšší.

Povinnost	Lhůta
Ohlášení regulované služby NÚKIB	do 60 dnů od splnění podmínek
Nahlášení kontaktních a doplňujících údajů	do 30 dnů od doručení rozhodnutí o registraci
Zahájení zavádění bezpečnostních opatření	nejpozději do 1 roku od rozhodnutí
Prvotní hlášení incidentu	do 24 hodin od zjištění
Oznámení s prvotním posouzením	do 72 hodin od zjištění
Závěrečná zpráva	do 30 dnů od podání oznámení

Spadá naše výroba pod regulaci?

Podmínky musí platit současně. Firma poskytuje službu významnou pro ekonomické činnosti nebo bezpečnost státu v některém z vyjmenovaných odvětví, mezi nimiž je i výrobní průmysl, a zároveň je středním nebo velkým podnikem (§ 4 zákona). Konkrétní služby a prahy významnosti vymezuje vyhláška č. 408/2025 Sb.

Výroba strojů a zařízení jinde nezařazených, tedy oddíl 28 CZ-NACE, je ve vyhlášce zařazena do režimu nižších povinností pro střední a velké podniky. Středním podnikem je firma, která už není malá: má méně než 250 zaměstnanců a obrat nejvýše 50 milionů eur nebo bilanční sumu nejvýše 43 milionů eur. U partnerských a propojených podniků se údaje skupiny připočítávají.

Rozhoduje skutečně vykonávaná hlavní činnost podle CZ-NACE, ne obchodní popis výrobků. Kdo vyrábí kovové konstrukce nebo kovodělné výrobky, může spadat do oddílu 25, a závěr pak bude jiný.

Co když jsme měli ohlásit a neohlásili?

Kdo podmínky splňoval už k účinnosti zákona, tedy k 1. listopadu 2025, měl lhůtu do 31. prosince 2025. Dnes jde tedy o opožděné ohlášení a řešením je podat ho bez dalšího odkladu přes Portál NÚKIB, který je od účinnosti zákona povinnou komunikační platformou mezi úřadem a regulovanými subjekty.

Vedle samotného ohlášení dává smysl mít písemně zdokumentované právní posouzení: jaký je váš CZ-NACE, jak jste určili velikost podniku a kdy jste podmínky splnili. To je první věc, na kterou se při kontrole narazí.

Co musíme chtít po dodavatelích?

V režimu nižších povinností se dodavatelský řetězec netýká každého nákupu materiálu. Dopadá na dodavatele, jejichž prostřednictvím zavádíte nebo provozujete bezpečnostní opatření pro regulovanou službu. Prakticky jde o dodavatele IT infrastruktury, ERP a MES, cloudu, záloh, vzdálené správy, průmyslových řídicích systémů a servisních přístupů do výroby.

Firma musí vybírat dodavatele v souladu s požadavky z bezpečnostních opatření a promítnout tyto požadavky do smlouvy (§ 13 odst. 5). Vyhláška č. 410/2025 Sb. k tomu doplňuje, co má smlouva podle relevance řešit: důvěrnost, integritu a dostupnost informací, právo na audit, používání subdodavatelů, ohlašování incidentů, řízení změn, kontinuitu činností a parametry SLA, ukončení vztahu a předání nebo ochranu dat, sankce a pravidla bezpečného vývoje.

Kdy a komu se hlásí incident?

V režimu nižších povinností se incident hlásí Národnímu CERT, nikoli přímo NÚKIB. Hlásí se incident, který má původ v kybernetickém prostoru, má významný dopad na poskytování regulované služby a u něhož nelze ve lhůtě pro prvotní hlášení vyloučit úmyslné zavinění (§ 15 odst. 2). Za významný dopad se považuje závažné provozní narušení služby, finanční ztráta nebo značná újma jiným osobám.

Lhůty jsou tři: prvotní hlášení bez zbytečného odkladu, nejpozději do 24 hodin od zjištění, oznámení s prvotním posouzením do 72 hodin a závěrečná zpráva do 30 dnů od podání oznámení. Pokud incident stále trvá, podává se průběžná zpráva a závěrečná až do 30 dnů po vyřešení (§ 16).

Všimněte si, že hodiny běží od zjištění. Firma proto potřebuje incident vůbec rozpoznat a mít jasno, kdo ho kvalifikuje.

Jaké jsou pokuty?

Porušení	Sankce
Neohlášení regulované služby ve lhůtě	až 250 mil. Kč nebo 2 % čistého celosvětového ročního obratu, podle toho, co je vyšší
Závažnější porušení povinností v nižším režimu	až 175 mil. Kč nebo 1,4 % čistého celosvětového ročního obratu
Nezavedení opatření, nezajištění dodavatelských požadavků, nepodané prvotní hlášení	přestupek podle § 59 odst. 2

Kde se to potkává s AI ve výrobě

Z pohledu zákona je každý nástroj, který se připojí k vašim systémům, dodavatel se smluvními povinnostmi. To platí i pro AI. Proto naše řešení běží on premise, tedy v síti zákazníka: data z výroby neodcházejí do cizího cloudu, což zmenšuje rozsah toho, co je nutné smluvně ošetřovat, i počet míst, kde může dojít k úniku.

Často kladené dotazy

Máme 60 zaměstnanců a obrat 200 milionů korun. Jsme malý podnik? Ne. Malý podnik má méně než 50 zaměstnanců. Počtem zaměstnanců jste nad hranicí, takže velikostní podmínku splňujete a rozhoduje už jen zařazení činnosti.

Jsme subdodavatel a v příloze vyhlášky nejsme. Proč po nás zákazník chce bezpečnostní doložky? Protože regulovaný je on a musí požadavky přenést do smluv s dodavateli, kteří se podílejí na jeho bezpečnostních opatřeních. K vám se povinnost dostává smluvně.

Incident jsme zjistili v pondělí, ale nastal v sobotu. Odkdy běží 24 hodin? Od zjištění. Proto je podstatné mít detekci a jasně určenou osobu, která incident kvalifikuje.

Kyberbezpečnost nám zajišťuje externí firma. Stačí to? Externí dodavatel může opatření provádět, ale odpovědnost vůči úřadu zůstává vám a musí být podchycena ve smlouvě.

Zdroje

Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, registrace, opatření, incidenty a sankce
Vyhláška č. 408/2025 Sb., o regulovaných službách a prazích významnosti
Vyhláška č. 410/2025 Sb., bezpečnostní opatření v režimu nižších povinností
Směrnice (EU) 2022/2555 (NIS2), evropský rámec
Portál NÚKIB, komunikační platforma pro regulované subjekty

Právní fakta v článku jsme ověřili přes Nexanu, nástroj pro práci s českou a evropskou legislativou.