Co musíte splnit

Zorientujte se v povinnostech podle zákona o kybernetické bezpečnosti, lhůtách a podkladech pro kontrolu.

Konzultace zdarma Nevíte svůj režim? Spočítat

Spadáte pod zákon?

Rozhoduje služba, kterou poskytujete, a velikost organizace.

Regulovaná služba musí splnit dvě podmínky zároveň: odvětví a významnost poskytovatele. Posouzení je na Vás.

Konkrétní služby jsou v tabulkách přílohy vyhlášky č. 408/2025 Sb. Tabulkami Vás provede kalkulačka režimu.

odvětví: služba patří do jednoho z patnácti regulovaných odvětví
významnost: střední nebo velký podnik, případně významný poskytovatel bez ohledu na velikost
podmínka I. v tabulce znamená vyšší režim, podmínka II. nižší
velikost: partnerský podnik se přičítá podílem, propojený se sčítá celý
obce, kraje a složky státu nejsou podnik

Nižší a vyšší režim

Nižší režim upravuje vyhláška č. 410/2025 Sb., vyšší vyhláška č. 409/2025 Sb.

Nižší režim

Co musíte mít:

přehled opatření se stavem, termínem a odpovědností, ročně aktualizovaný
pověřenou osobu, kterou vedení určí a proškolí
vstupní a pravidelná školení, odborná pro správce IT
stanovený rozsah, primární a podpůrná aktiva, požadavky na dodavatele
nezbytná oprávnění, oddělené účty správců, vícefaktorovou autentizaci
segmentaci sítě, ochranu před škodlivým kódem, záznamy událostí, skenování zranitelností
zálohy dat i konfigurací, pořadí obnovy, hlášení incidentů

Audit ani manažer kybernetické bezpečnosti se nevyžadují.

Projdeme stav, navrhneme opatření a připravíme dokumentaci i školení. Dostanete plán s termíny a odpovědnostmi, viz postup spolupráce.

Vyšší režim

Co je navíc proti nižšímu režimu:

zavedený a přezkoumávaný systém řízení bezpečnosti informací (ISMS)
manažer, architekt a auditor kybernetické bezpečnosti, garanti aktiv
auditor bez jiné bezpečnostní role
výbor pro řízení bezpečnosti, který schvaluje strategii a rizika
audit a penetrační test nejméně jednou za dva roky
hlášení incidentů přímo Úřadu, bez prahu významnosti

Nejdřív posoudíme stav a rozdělíme odpovědnosti, potom připravíme dokumentaci a plán kontrol. Rozsah zavedení i následného externího řízení stanovíme po úvodní schůzce.

Lhůty

Zákon má troje hodiny: od splnění podmínek, od rozhodnutí a od incidentu.

ohlásíte službu Úřadu

do 60 dnůode dne, kdy služba splnila podmínky pro registraci

nahlásíte kontaktní a doplňující údaje

do 30 dnůod doručení rozhodnutí, rozklad nemá odkladný účinek

začnete zavádět opatření

do 1 rokulhůta pro zahájení, ne den hotového souladu

začnete hlásit incidenty

do 1 rokuod doručení rozhodnutí o registraci

postup při incidentu

24 h / 72 h / 30 dnůprvotní hlášení; při významném dopadu také oznámení a závěrečná zpráva; počátky lhůt a výjimky najdete v podrobném přehledu

Zapište si den doručení rozhodnutí

Od doručení rozhodnutí běží 30 dnů na nahlášení údajů a rok na zahájení zavádění opatření i hlášení incidentů.

Kontrola a pokuty

Pro kontrolu připravíme přehled opatření a záznamy o provedených krocích.

Úřad kontroluje plnění povinností ze zákona i z vyhlášek. Kontrole podléhají oba režimy stejně.

Při neplnění může Úřad uložit nápravné opatření, žádné pořadí kontrola, náprava, pokuta ale zákon nestanoví. Přestupky projednává ve správním řízení.

rozhodnutí o registraci s datem doručení a podaná hlášení
přehled opatření se skutečnými stavy a termíny
evidence rozsahu, jmenování pověřené osoby, přehledy školení
smlouvy s dodavateli a záznamy o incidentech

Stropy pokut

Za nezavedení opatření, nestanovení rozsahu a nehlášení incidentů.

250 mil. Kč: vyšší režim, částková hranice
2 %: vyšší režim, strop podle obratu
175 mil. Kč: nižší režim, částková hranice
1,4 %: nižší režim, strop podle obratu

V každém režimu se použije vyšší z obou částek.

Procenta se počítají z čistého celosvětového ročního obratu podniku, jehož je obviněný součástí, za bezprostředně předcházející účetní období.

Časté otázky

Nikdo nás nevyzval, musíme něco dělat?

Ano, pokud Vaše služba splňuje podmínky v příloze vyhlášky. Lhůta 60 dnů běží ode dne, kdy jste je splnili, ne od doručení výzvy.

Neohlášení regulované služby je přestupek v nejvyšší sazbě.

Co znamená roční lhůta?

Do roka od doručení rozhodnutí začnete zavádět a provádět bezpečnostní opatření, jak to žádá § 13 odst. 4 zákona.

Pomůžeme připravit přehled opatření se stavy, termíny a doklady o provedené práci.

Musíme mít manažera kybernetické bezpečnosti?

V nižším režimu ne. Vedení určí pověřenou osobu a dá jí pravomoci k řízení bezpečnosti, k dohledu a ke komunikaci s vedením.

Může to být člověk zvenčí. Role manažera, architekta a auditora patří do vyššího režimu.

Stačí nám vlastní IT?

Projdeme kapacitu Vašich lidí a rozdělíme si práci. Pomůžeme tam, kde chybí čas na dokumentaci nebo nezávislý pohled.

Spadáme pod víc služeb?

Režim je vlastnost poskytovatele, ne jednotlivé služby. Podle výkladu NÚKIB se vyšší režim u jedné služby vztáhne na všechny regulované služby organizace.

Stanovený rozsah řízení se tím nerozšiřuje. Určuje se posouzením aktiv, která s regulovanými službami souvisejí.

Proberme Váš režim

Jsme jeden partner od analýzy po provoz. Na konzultaci zdarma projdeme Vaše služby a podklady potřebné k posouzení režimu.

Domluvit konzultacinebo volejte +420 739 376 191