Registrace u NÚKIB nebyla konec NIS2. Roční lhůta vám teprve dobíhá

Firmy, které spadají pod nový zákon o kybernetické bezpečnosti, se většinou registrovaly na konci loňského roku. Od doručení rozhodnutí o registraci mají rok na to, aby začaly plnit bezpečnostní opatření a hlásit incidenty, a řadě z nich ten rok končí v prosinci. V článku najdete, co k tomu datu musíte mít a co musí osobně doložit statutární orgán.

Po registraci přišel pocit „máme hotovo“

Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, je účinný od 1. listopadu 2025. Kdo splnil podmínky, měl 60 dní na ohlášení regulované služby. Pro většinu organizací tak lhůta k registraci uplynula posledním dnem roku 2025.

NÚKIB od března 2026 aktivně obesílá organizace, u nichž předpokládá, že pod zákon spadají. Podle článku České justice z 2. října 2026 rozeslal přibližně 3 600 datových zpráv a přes 800 e-mailů a od spuštění kampaně eviduje více než tisíc nových registrací. Advokát Jiří Hradský v témže článku popisuje, co následovalo: „Po registraci nastal pocit, že ‚máme hotovo‘, a skutečná práce se odsouvá.“

Registrací se firma pouze ohlásí. Samotné povinnosti začínají běžet až po ní.

Co zákon po roce opravdu požaduje

Zákon stanoví tři lhůty:

• Do 30 dnů od doručení rozhodnutí o registraci hlásíte NÚKIB kontaktní a doplňující údaje (§ 11 odst. 1).
• Do 1 roku od doručení rozhodnutí o registraci musíte začít zavádět a provádět bezpečnostní opatření (§ 13 odst. 4).
• Do 1 roku od téhož data musíte začít hlásit kybernetické bezpečnostní incidenty (§ 15 odst. 4).

Rozhodující je datum doručení rozhodnutí. Pokud vám přišlo do datové schránky v prosinci 2025, končí vám rok v prosinci 2026. Kdo se registroval až po výzvě NÚKIB letos na jaře, má čas do roku 2027. Pokud se vaše firma přesunula z režimu nižších povinností do režimu vyšších, běží vám podle § 9 odst. 2 lhůty znovu od začátku.

Zákon po roce nevyžaduje hotový stav. Vyžaduje, aby poskytovatel „začne plnit“. Jak má takový začátek vypadat, upravuje vyhláška č. 410/2025 Sb., která platí pro režim nižších povinností, a tedy pro většinu středních firem. Podle § 3 odst. 2 musíte vést přehled bezpečnostních opatření, ve kterém je u každého opatření jeden ze tří stavů:

• zavedeno, včetně popisu, jak,
• bude zavedeno, s termínem, prioritou a jménem odpovědné osoby,
• nezavedeno, s odůvodněním.

Přehled aktualizujete nejméně jednou ročně, vyhodnocujete u něj účinnost opatření a každou verzi uchováváte nejméně 4 roky. Příloha č. 1 vyhlášky navíc vysvětluje, že stav „v procesu“ znamená opatření, které se skutečně zavádí, nebo pro které děláte doložitelné kroky: výběrové řízení, smlouvu, testovací provoz.

K datu konce lhůty tedy nemusíte mít dokonalou bezpečnost. Musíte mít pravdivý, datovaný plán se jmény a důkazy, že podle něj pracujete. Šanon se směrnicí, kterou nikdo nečetl, tuto podmínku nesplní.

Hlášení incidentů: 24 hodin platí od prvního dne

Povinnost hlásit incidenty se rozjíždí ve stejný den jako bezpečnostní opatření. Prvotní hlášení musíte podat bez zbytečného odkladu, nejpozději do 24 hodin od zjištění incidentu (§ 16 odst. 1). U incidentu s významným dopadem pak následuje do 72 hodin oznámení s prvotním posouzením (§ 16 odst. 3).

Firmy v režimu nižších povinností hlásí Národnímu CERT jen incidenty s významným dopadem na regulovanou službu (§ 15 odst. 2). Co je „významné“, si ale podle § 14 vyhlášky č. 410/2025 Sb. musíte předem stanovit sami: únosnou míru újmy a oblasti, podle kterých dopad posoudíte.

Modelová situace: v pátek v 17:30 přestane odpovídat účetní server a na obrazovce je výzva k zaplacení výkupného. V tu chvíli musí být předem jasné, kdo rozhodne o významnosti incidentu a kdo má přístup na Portál NÚKIB. Stejně tak kdo ohlásí ÚOOÚ případný únik osobních údajů zaměstnanců nebo zákazníků, protože podle čl. 33 GDPR na to souběžně běží 72 hodin. Pokud to firma řeší až v pondělí, 24hodinová lhůta mezitím uplynula.

Co musí doložit statutární orgán

Zákon řadí „požadavky na vrcholné vedení“ mezi bezpečnostní opatření v obou režimech (§ 14). Vyhláška č. 410/2025 Sb. je v § 4 rozepisuje konkrétně. Statutární orgán nebo osoby v obdobném řídícím postavení musí:

1. určit osobu pověřenou kybernetickou bezpečností a dát jí pravomoci k řízení a dohledu,
2. prokazatelně absolvovat školení o svých povinnostech a o bezpečnostní politice,
3. zajistit zdroje potřebné podle přehledu bezpečnostních opatření,
4. prokazatelně se seznamovat se stavem plnění opatření,
5. prosazovat průběžné zlepšování,
6. stanovit, v jakém pořadí se po výpadku obnovují primární aktiva.

U školení i u seznamování se stavem opatření vyhláška požaduje, aby šlo o prokazatelný úkon. Při kontrole proto obstojí záznam o školení a zápis z porady, na které se vedení seznámilo s přehledem opatření. Ústní ujištění, že se o tématu mluvilo, nestačí. Pro režim vyšších povinností obsahuje obdobné a přísnější požadavky vyhláška č. 409/2025 Sb.

Stejnou logiku jsme popsali u etického kodexu, který firmu u soudu neochrání: dokument bez provozu má váhu papíru. Hradský v článku České justice dodává, že statutární orgán agendu „často jen deleguje, místo aby ji řídil“. Práci lze delegovat na IT nebo externího manažera. Povinnosti podle § 4 vyhlášky ale zůstávají vedení.

Školení a dodavatelé: kde se důkazy ztrácejí nejčastěji

Školení se musí dát doložit

Podle § 5 vyhlášky č. 410/2025 Sb. musíte mít politiku bezpečného chování uživatelů, zajistit vstupní i pravidelná školení a vést přehledy o provedených školeních a seznamy proškolených osob. Příloha č. 3 vyjmenovává 25 témat, od hesel a vícefaktorové autentizace po sociální inženýrství a používání soukromých zařízení k práci. Jedna prezentace na poradě před dvěma lety bez prezenční listiny tuto povinnost nesplní.

Smlouvy s dodavateli, které vznikly před zákonem

Pokud opatření zajišťuje dodavatel, musíte ho podle § 13 odst. 5 zákona vybírat v souladu s požadavky opatření a tyto požadavky zahrnout do smlouvy. Příloha č. 2 vyhlášky uvádí 14 typů ujednání: mimo jiné právo na audit dodavatele, pravidla pro řetězení subdodavatelů, exit strategii, hlášení incidentů a úroveň služeb.

Ve střední firmě bývají v rozsahu regulované služby externí IT správa, cloudové účetnictví, servis výrobní technologie se vzdáleným přístupem nebo dodavatel ERP. Smlouvy s nimi často vznikly před rokem 2025 a tato ujednání neobsahují. Všechny je do konce lhůty nepřepíšete. Do přehledu opatření je ale zapsat můžete, s termínem a odpovědnou osobou.

Co stihnout do konce lhůty a co může počkat

Pokud vám rok končí v prosinci, máte zhruba osm týdnů. Za tu dobu nepostavíte celý systém řízení bezpečnosti. Doporučené pořadí:

• Hned: zjistit datum doručení rozhodnutí o registraci a spočítat konec lhůty. Ověřit, že kontaktní údaje podle § 11 jsou na Portálu NÚKIB.
• Do dvou týdnů: nastavit postup pro incidenty: kdo rozhoduje o významnosti, kdo hlásí, jak se propojí s ohlášením podle GDPR. Stanovit únosnou míru újmy podle § 14 vyhlášky.
• Do měsíce: sestavit přehled bezpečnostních opatření podle přílohy č. 1. Poctivě, včetně stavu „nezavedeno“ s odůvodněním.
• Před koncem lhůty: školení vedení se záznamem, seznámení statutárního orgánu s přehledem opatření zapsané v zápisu, spuštěné školení zaměstnanců s evidencí.
• V plánu na další rok: revize dodavatelských smluv, technická opatření s delší dodací lhůtou, segmentace sítě.

Proč se to rozpadá na pět nástrojů

Ve firmách, které s NIS2 začínají, bývají podklady rozházené. Směrnice leží na sdíleném disku, školení v e-learningu nebo nikde, incidenty v e-mailu, dodavatelé v tabulce a GDPR agendu vede jiný člověk v jiném systému. Přitom se ty povinnosti z velké části překrývají: školení zaměstnanců, řízení dodavatelů, řešení incidentů i posouzení rizik požaduje NIS2 stejně jako GDPR nebo ISO 27001.

VPoint s tímto překryvem počítá. Opatření popíšete jednou a platforma ho namapuje na NIS2, GDPR, ISO 27001 i ISO 37301. Incidenty, prověrka dodavatelů a zákonné lhůty běží v jedné frontě s auditní stopou. Školení navrhne AI z vašich vlastních směrnic, u každého zaměstnance se eviduje potvrzení s datem a certifikát. Když přijde kontrola nebo odběratel s bezpečnostním dotazníkem, sestavíte audit balík na požádání, nebo odkážete na trust center aktualizované z živých záznamů.

Pokud si ještě nejste jistí, zda a v jakém režimu pod zákon spadáte, začněte přehledem povinností podle nového zákona.

Checklist: kde jste měsíc před koncem lhůty

• Znám datum doručení rozhodnutí o registraci a datum konce roční lhůty.
• Kontaktní a doplňující údaje jsou nahlášené na Portálu NÚKIB.
• Je určená osoba pověřená kybernetickou bezpečností a má písemně svěřené pravomoci.
• Statutární orgán absolvoval školení a mám o tom záznam.
• Existuje přehled bezpečnostních opatření se stavy, termíny a odpovědnými osobami.
• Vedení se s přehledem seznámilo a je to v zápisu.
• Postup pro incidenty pokrývá 24hodinovou lhůtu i víkend a navazuje na ohlášení podle GDPR.
• Mám stanovenou únosnou míru újmy a kritéria významnosti incidentu.
• Běží školení zaměstnanců s evidencí účasti.
• Mám seznam dodavatelů v rozsahu regulované služby a plán revize smluv.

Chcete vidět, jak by váš přehled opatření, evidence školení a incidentní proces vypadaly na jednom místě? Domluvte si s námi nezávazné 30minutové demo.