Na kyberbezpečnost se musí více zaměřit tisíce firem

Nový zákon o kybernetické bezpečnosti (č. 264/2025 Sb.) nabyl účinnosti 1. listopadu 2025 a zasahuje tisíce českých firem i dalších organizací. Na rozdíl od předchozích regulací už nejde jen o poskytovatele telekomunikačních nebo finančních služeb, ale nové povinnosti se týkají i průmyslových podniků, zdravotnických zařízení, energetiky, dopravy a třeba i vysokých škol. Organizace musí podle daných kritérií samy určit, zdali pod novou regulaci spadají, a následně zavést zákonem požadovaná opatření.

Kyberbezpečnost napříč odvětvími

Zatímco dříve se kybernetická bezpečnost týkala především kritické infrastruktury a služeb nezbytných pro chod státu, nový zákon rozšiřuje požadavky na kybernetickou bezpečnost ve více než 18 sektorech ekonomiky. Jedná se zejména o podniky z chemického průmyslu, potravinářství, odpadového hospodářství, zpracovatelského a výrobního průmyslu, ale také o vysoké školy, nemocnice, dopravce a poskytovatele digitálních služeb. Zákon implementuje evropskou směrnici NIS2 a podle odhadů se bude týkat více než šesti tisíc subjektů. Pro mnoho firem to znamená, že kybernetická bezpečnost přestává být doménou IT specialistů a stává se strategickou záležitostí na úrovni vedení, které za provedení příslušných opatření nese přímou odpovědnost.

Dva režimy povinností

Nový zákon rozlišuje dva režimy povinností, odlišené především velikostí a dopadem organizace na chod státu. Režim vyšších povinností se vztahuje na větší subjekty s kritickým významem, jako jsou nemocnice, energetické společnosti, telekomunikační operátoři nebo velcí dopravci. Tyto organizace musí zavést pokročilá opatření včetně pravidelných auditů, kontroly bezpečnosti v celém dodavatelském řetězci a krizových plánů.

Nižší režim platí pro menší subjekty a představuje základní úroveň bezpečnosti – vícefaktorovou autentizaci, školení zaměstnanců nebo řízení přístupu k systémům a datům. Klíčové ovšem je, že nestačí pouze instalovat bezpečnostní technologie typu firewallů nebo antivirů. Zákon vyžaduje systematické řízení kyberbezpečnosti na úrovni procesů, dokumentace a jasně definovaných odpovědností v organizaci stejně jako hlášení bezpečnostních incidentů.

Důležité termíny

Harmonogram implementace nového zákona o kybernetické bezpečnosti je závazný a přesně stanovený. Do 60 dnů od 1. listopadu 2025 musí firmy provést vlastní identifikaci a zjistit, zda poskytují službu regulovanou novým zákonem. Pokud ano, musí se registrovat u Národního úřadu pro kybernetickou a informační bezpečnost prostřednictvím jeho portálu. Do 30 dnů od doručení rozhodnutí o registraci je nutné nahlásit kontaktní osoby odpovědné za kybernetickou bezpečnost. Do jednoho roku od registrace musí organizace implementovat opatření požadovaná zákonem a prováděcími vyhláškami, zpracovat bezpečnostní dokumentaci, provést analýzu rizik a nastavit procesy pro hlášení incidentů.

Jestliže organizace spadá pod novou regulaci, musí provést identifikaci systémů, které používá. Může jít o řídicí technologie, datové sítě, komunikační platformy, přístupové body a mnoho dalších prvků. Pokud například firma provozuje výrobní linky, robotizovaná pracoviště nebo energetické rozvody, je nezbytné, aby měla opatření až na úrovni samotných strojů a zařízení. Klíčové je také průběžné vzdělávání vedení firmy i zaměstnanců v kyberbezpečnosti.

Zákon obsahuje desítky menších či větších povinností – od bezpečnostní dokumentace, organizačních opatření a řízení rizik až po zavedení pokročilých technických řešení. Za nedodržení povinností hrozí pokuty až do výše 250 milionů korun nebo dvou procent celosvětového obratu, v případě vedení společnosti pak také zákaz činnosti.

Příležitost ke změně

Firmy, jež začnou s přípravou na splnění požadavků nového zákona včas, získávají výhodu ve vyšší úrovni své kybernetické ochrany, a tedy i odolnosti svého podnikání. Současně je třeba si uvědomit, že kybernetická obrana musí být součástí strategie jakékoli organizace, bez ohledu na to, zda to nařizuje zákon. Organizace, které začnou s implementací hned, se vyhnou časovému tlaku a mohou nová opatření zavádět plánovaně a efektivně. Vyčkávání znamená kromě rizika úspěšných kyberútoků také vyšší náklady i riziko sankcí.