Nový zákon o kybernetické bezpečnosti: co musí firmy splnit v roce 2026

Nový zákon o kybernetické bezpečnosti v roce 2026

Rok 2026 přinesl do české legislativy zásadní změnu, kterou dlouho avizoval Národní úřad pro kybernetickou a informační bezpečnost. Nový zákon o kybernetické bezpečnosti, jenž vychází z evropské směrnice NIS2, nahradil původní právní úpravu z roku 2014 a rozšířil okruh povinných subjektů na mnohem širší spektrum firem a institucí, než tomu bylo dosud. Zatímco dříve se pravidla týkala především provozovatelů kritické infrastruktury a vybraných poskytovatelů digitálních služeb, dnes se povinnosti vztahují i na střední a velké podniky z odvětví, jako je energetika, doprava, zdravotnictví, vodárenství, digitální infrastruktura, veřejná správa nebo potravinářský průmysl.

Podstatou nové právní úpravy je posílení odolnosti klíčových organizací vůči kybernetickým útokům, které se v posledních letech staly nejen častější, ale i sofistikovanější. Zákon zavádí jasně definované kategorie povinných osob, přičemž rozlišuje mezi vyšší a nižší úrovní povinností podle významu subjektu pro fungování státu a společnosti. Firmy spadající pod tuto regulaci musí zavést systém řízení kybernetické bezpečnosti, provádět pravidelné bezpečnostní audity, hlásit závažné incidenty do stanovených lhůt a jmenovat osobu odpovědnou za kybernetickou bezpečnost.

Jednou z nejdiskutovanějších částí zákona je zpřísnění sankcí za nedodržení povinností. Pokuty mohou dosáhnout až desítek milionů korun, přičemž u nejzávažnějších porušení se odvíjí od celkového obratu společnosti, podobně jako je tomu u GDPR. Statutární orgány firem navíc nesou osobní odpovědnost za to, že jejich organizace plní zákonné požadavky, což v praxi znamená, že management musí kybernetickou bezpečnost aktivně řídit a nemůže ji delegovat pouze na IT oddělení.

Zákon také klade důraz na řízení rizik v dodavatelském řetězci. Firmy musí prověřovat nejen vlastní zabezpečení, ale i bezpečnostní úroveň svých dodavatelů a partnerů, což se ukázalo jako zásadní požadavek po několika incidentech, kdy útočníci pronikli do systémů právě přes slabě zabezpečené třetí strany. V praxi to znamená nutnost revidovat smluvní vztahy, zavádět bezpečnostní klauzule a pravidelně vyhodnocovat rizika spojená s externími subjekty.

Pro mnoho společností představuje přechod na nová pravidla v roce 2026 značnou administrativní i finanční zátěž. Národní úřad pro kybernetickou a informační bezpečnost proto průběžně vydává metodické pokyny a pořádá školení, aby usnadnil implementaci požadavků. Přesto řada expertů upozorňuje, že menší organizace mohou mít s naplněním všech povinností potíže, zejména kvůli nedostatku kvalifikovaných odborníků na kybernetickou bezpečnost na českém trhu.

Celkově lze nový zákon vnímat jako významný krok k posílení digitální suverenity a odolnosti České republiky vůči rostoucím hrozbám, které přicházejí nejen od kyberzločinců, ale i od státem sponzorovaných skupin. Jeho skutečná účinnost se však ukáže až v dalších letech, až bude zřejmé, jak důsledně jej firmy i státní instituce dokážou v praxi naplňovat.

Implementace evropské směrnice NIS2 do praxe

Zákon o kybernetické bezpečnosti, který v České republice implementuje evropskou směrnici NIS2, přinesl do praxe řadu změn, které se dotýkají tisíců subjektů napříč veřejným i soukromým sektorem. Zatímco původní právní úprava se soustředila na relativně úzký okruh takzvaných povinných osob, nový zákon výrazně rozšiřuje počet organizací, které musí plnit bezpečnostní povinnosti. V roce 2026 už je tato transformace v plném proudu a firmy i státní instituce se s ní musí vyrovnávat na denní bázi, ne pouze teoreticky na papíře.

Prakticky to znamená, že se povinnosti nově vztahují nejen na velké korporace, ale i na střední podniky působící v odvětvích jako energetika, doprava, zdravotnictví, vodárenství, digitální infrastruktura nebo veřejná správa. Klíčovým prvkem implementace je povinnost zavést systém řízení bezpečnosti informací, který zahrnuje pravidelné hodnocení rizik, technická i organizační opatření a jasně definované postupy pro reakci na bezpečnostní incidenty. Firmy tak musí nejen investovat do technologií, ale především změnit vnitřní procesy a kulturu práce s daty.

Jedním z nejcitlivějších bodů celé implementace je oznamovací povinnost. Organizace jsou nyní povinny hlásit závažné kybernetické incidenty Národnímu úřadu pro kybernetickou a informační bezpečnost v přísně stanovených lhůtách, přičemž prvotní hlášení musí proběhnout již během několika hodin od zjištění incidentu. Toto opatření má zajistit rychlejší reakci na hrozby a lepší koordinaci mezi jednotlivými subjekty na národní úrovni, což se v praxi ukazuje jako nezbytné především u incidentů, které mají potenciál zasáhnout kritickou infrastrukturu státu.

Praktická implementace s sebou nese i nemalé administrativní a finanční nároky. Mnoho společností, zejména menších a středních podniků, které se do působnosti zákona dostaly nově, řeší nedostatek kvalifikovaných odborníků na kybernetickou bezpečnost i omezené rozpočty na potřebné investice. Statutární orgány firem navíc nesou osobní odpovědnost za nedodržení bezpečnostních povinností, což vede k tomu, že se téma kybernetické bezpečnosti dostává čím dál častěji na jednání vrcholového managementu, nikoliv pouze IT oddělení.

Dohledovým orgánem zůstává Národní úřad pro kybernetickou a informační bezpečnost, který v roce 2026 postupně zpřísňuje kontroly a zveřejňuje metodické pokyny, jak mají povinné subjekty jednotlivá ustanovení zákona vykládat a naplňovat. Součástí implementace je také důraz na zabezpečení dodavatelských řetězců, protože řada závažných incidentů v posledních letech pramenila právě z kompromitace externích dodavatelů služeb či technologií. Firmy tak musí prověřovat nejen vlastní systémy, ale i bezpečnostní úroveň svých partnerů a subdodavatelů, což celý proces implementace dále komplikuje a prodlužuje. I přes počáteční obtíže se ovšem ukazuje, že tlak na systematické řízení kybernetických rizik postupně zvyšuje celkovou odolnost české digitální infrastruktury vůči stále sofistikovanějším útokům.

Kdo spadá mezi povinné osoby a subjekty

Zákon o kybernetické bezpečnosti v aktuální podobě, která reflektuje transpozici evropské směrnice NIS2 do českého právního řádu, výrazně rozšiřuje okruh subjektů, na které se povinnosti vztahují. Zatímco dřívější úprava dopadala především na provozovatele kritické infrastruktury a poskytovatele klíčových informačních systémů státu, dnešní pojetí je mnohem širší a zasahuje do desítek odvětví hospodářství. Povinné osoby se dělí do dvou základních kategorií – na subjekty vyšší a nižší úrovně povinností, přičemž zařazení do dané kategorie odvisí od velikosti organizace, oboru činnosti a míry společenského dopadu případného výpadku či úniku dat.

Mezi subjekty vyšší úrovně patří zejména provozovatelé energetických soustav, dodavatelé pitné vody, poskytovatelé zdravotních služeb, subjekty působící v dopravě, bankovnictví a na finančních trzích, dále provozovatelé digitální infrastruktury, jako jsou poskytovatelé cloudových služeb, datových center nebo DNS serverů. Do této skupiny se řadí i orgány veřejné moci, tedy ministerstva, kraje a vybrané další státní instituce, které z povahy své činnosti spravují citlivá data občanů a zajišťují chod veřejné správy. Nižší úroveň povinností pak dopadá na menší podniky a instituce, které sice působí v regulovaných odvětvích, ale jejich velikost nebo význam pro chod společnosti je omezenější – typicky jde o menší výrobní podniky, poskytovatele digitálních služeb nebo správce veřejných elektronických komunikací.

Podstatnou změnou oproti minulosti je skutečnost, že zákon už nepočítá pouze s velkými hráči na trhu. Do jeho působnosti se dostávají i střední podniky, pokud splňují kritéria počtu zaměstnanců a obratu stanovená zákonem, a působí přitom v jednom z vyjmenovaných sektorů. To v praxi znamená, že povinnosti se mohou týkat i firem, které dosud s kybernetickou bezpečností jako regulovanou oblastí vůbec nepřicházely do styku. Odhaduje se, že celkový počet povinných subjektů v Česku dosahuje několika tisíc, což představuje mnohonásobný nárůst oproti předchozímu stavu, kdy se regulace týkala jen několika stovek organizací.

Zařazení konkrétního subjektu mezi povinné osoby přitom není věcí dobrovolného rozhodnutí, ale vyplývá přímo ze zákona a navazujících prováděcích předpisů, které podrobně vymezují jednotlivé sektory a podsektory činnosti. Národní úřad pro kybernetickou a informační bezpečnost, který dohled nad plněním povinností zastřešuje, vede rovněž evidenci regulovaných subjektů a poskytuje metodickou podporu při posuzování, zda se daná povinnost na konkrétní organizaci vztahuje. Pro mnoho firem je proto prvním krokem právě ověření, zda spadají do některé z vymezených kategorií, a to buď na základě vlastní analýzy, nebo ve spolupráci s odborníky na danou problematiku. Nesprávné posouzení vlastního postavení může vést k nesplnění zákonných povinností a následným sankcím, což zdůrazňuje význam pečlivého prověření aktuálního stavu ještě před tím, než začnou platit další přechodná období stanovená zákonem.

Kategorizace poskytovatelů podle významnosti služby

Zákon o kybernetické bezpečnosti v aktuálním znění, které vychází z evropské směrnice NIS2, rozděluje povinné subjekty do dvou základních kategorií podle míry významnosti služby, kterou poskytují, a podle potenciálního dopadu jejich narušení na fungování státu, ekonomiky nebo veřejného života. Tímto rozdělením se řídí prakticky veškerá další povinnost, kterou zákon ukládá – od rozsahu bezpečnostních opatření přes hlásící povinnosti až po sankce, které hrozí při jejich nedodržení. Rozlišujeme tak subjekty vyšší kategorie významnosti a subjekty nižší kategorie významnosti, přičemž toto zařazení není statické a v praxi se odvíjí od konkrétních kritérií, která zákon i navazující vyhlášky podrobně specifikují.

Do vyšší kategorie spadají zejména provozovatelé takzvaných základních služeb, jejichž výpadek by mohl způsobit rozsáhlé hospodářské škody, ohrozit bezpečnost obyvatel nebo narušit chod klíčové infrastruktury státu. Typicky se jedná o subjekty z odvětví energetiky, dopravy, bankovnictví, zdravotnictví, vodárenství, digitální infrastruktury nebo veřejné správy. U těchto poskytovatelů zákon předpokládá nejstriktnější požadavky na řízení kybernetických rizik, včetně povinnosti zavést komplexní systém řízení bezpečnosti informací, provádět pravidelné bezpečnostní audity a hlásit kybernetické incidenty v přísně stanovených lhůtách. Dohled nad těmito subjekty vykonává Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) aktivněji, a to formou pravidelných kontrol i možností uložit nápravná opatření.

Nižší kategorie významnosti pak zahrnuje subjekty, jejichž činnost je také důležitá pro chod společnosti, avšak případný výpadek jejich služeb by měl omezenější dopad než u subjektů vyšší kategorie. Sem patří například menší poskytovatelé digitálních služeb, výrobní podniky určité velikosti nebo poskytovatelé některých odvětví, které zákon zahrnuje do své přílohy jako tzv. důležité subjekty. Pro tyto poskytovatele platí mírnější, ale stále významné povinnosti, přičemž důraz je kladen především na základní úroveň kybernetické hygieny, řízení rizik dodavatelského řetězce a schopnost incident rychle identifikovat a nahlásit.

Kategorizace navíc není záležitostí jednorázového zařazení – povinné subjekty musí svůj status pravidelně přehodnocovat, zejména v souvislosti se změnami velikosti organizace, rozsahu poskytovaných služeb nebo v návaznosti na aktualizace prováděcích předpisů NÚKIB. V roce 2026 se tak mnoho firem, které dříve zákon nijak nezavazoval, dostává do některé z kategorií právě díky rozšíření oborového záběru regulace, které NIS2 přineslo oproti původní směrnici. Součástí kategorizace je také posouzení geografického rozsahu působení, počtu koncových uživatelů závislých na dané službě a míry propojenosti s dalšími kritickými odvětvími, což ve výsledku vytváří poměrně komplexní a dynamický systém, který se snaží reflektovat reálnou závažnost jednotlivých poskytovatelů pro bezpečnost a stabilitu České republiky.

Nové povinnosti hlásit bezpečnostní incidenty

Zákon o kybernetické bezpečnosti, který v roce 2026 nabývá stále konkrétnějších kontur díky implementaci evropské směrnice NIS2, přináší podstatně širší okruh povinných osob i podstatně přísnější požadavky na hlášení bezpečnostních incidentů. Zatímco dříve se ohlašovací povinnost týkala v podstatě jen provozovatelů kritické infrastruktury a poskytovatelů takzvaných základních služeb, nyní se do hry dostávají také střední a velké podniky z celé řady odvětví, včetně výrobců, poskytovatelů cloudových služeb, dodavatelských firem, zdravotnických zařízení, energetických společností nebo subjektů veřejné správy na úrovni krajů a větších obcí. Tato změna znamená, že se s povinností hlásit incidenty musí nově vyrovnávat i firmy, které se dosud kybernetickou bezpečností systematicky nezabývaly a považovaly ji za okrajovou agendu IT oddělení.

Klíčovou novinkou je zkrácení lhůt pro nahlášení incidentu Národnímu úřadu pro kybernetickou a informační bezpečnost (NÚKIB). Povinná osoba musí podat takzvané včasné varování do 24 hodin od okamžiku, kdy se o incidentu dozvěděla, přičemž toto oznámení nemusí obsahovat veškeré detaily, ale musí signalizovat, zda je podezření na protiprávní jednání nebo zda incident má přesah do zahraničí. Následuje podrobnější zpráva o incidentu, kterou je nutné podat do 72 hodin, a poté závěrečná zpráva nejpozději do jednoho měsíce od nahlášení, která už musí obsahovat komplexní analýzu příčin, dopadů a přijatých nápravných opatření. Tento vícestupňový model nahrazuje dřívější benevolentnější přístup a klade na organizace výrazně vyšší nároky na interní procesy a rychlost reakce.

Firmy musí mít nastavené mechanismy, které jim umožní incident v podstatě okamžitě detekovat, klasifikovat a rozhodnout, zda splňuje kritéria pro povinné hlášení. To v praxi znamená investice do monitorovacích nástrojů, bezpečnostních týmů nebo externích poskytovatelů služeb SOC, protože bez odpovídající technické infrastruktury není reálné dodržet přísné lhůty. Zákon přitom nerozlišuje jen mezi tím, zda k incidentu došlo, ale hodnotí i jeho závažnost podle dopadu na dostupnost, důvěrnost a integritu dat, počtu postižených uživatelů či ekonomických škod.

Za nesplnění ohlašovací povinnosti hrozí správní sankce, které mohou dosahovat až desítek milionů korun, v závislosti na velikosti organizace a závažnosti pochybení. NÚKIB má zároveň pravomoc provádět kontroly a vyžadovat nápravná opatření, což zvyšuje tlak na to, aby firmy nebraly hlásicí povinnost na lehkou váhu a nespoléhaly na to, že incident zůstane bez povšimnutí. Součástí nových pravidel je také povinnost informovat o incidentu dotčené klienty nebo uživatele, pokud hrozí významné riziko pro jejich data nebo služby, což posiluje transparentnost celého systému a dává postiženým stranám možnost včas reagovat, například změnou přístupových údajů nebo zvýšenou opatrností při komunikaci.

Lhůty pro oznámení kybernetických incidentů

Zákon o kybernetické bezpečnosti, který v roce 2026 plně reflektuje požadavky evropské směrnice NIS2, stanovuje poměrně přísný a časově strukturovaný režim pro hlášení kybernetických incidentů. Povinné osoby, tedy subjekty spadající do kategorie regulovaných služeb, musí věnovat této problematice zvýšenou pozornost, protože nedodržení lhůt může vést nejen k sankcím ze strany Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB), ale i k reputačním a provozním škodám.

Základním principem je třífázový systém oznamování, který se od českého zákona o kybernetické bezpečnosti odvíjí prakticky beze změny od doby, kdy byla směrnice NIS2 transponována do národní legislativy. První fází je takzvané včasné varování, které musí povinná osoba odeslat NÚKIB nejpozději do 24 hodin od okamžiku, kdy se o incidentu dozvěděla. Účelem tohoto kroku není podat vyčerpávající analýzu, ale pouze informovat o tom, že k závažnému incidentu došlo, případně naznačit, zda existuje podezření na protiprávní jednání nebo přeshraniční dopad.

Na první oznámení navazuje oznámení o incidentu, jehož lhůta činí 72 hodin od zjištění události. V tomto kroku je již vyžadováno podstatně podrobnější vylíčení skutkového stavu, tedy popis toho, jak incident probíhal, jaké systémy nebo služby byly zasaženy, a pokud je to možné, také prvotní odhad závažnosti a rozsahu dopadu. NÚKIB v této fázi očekává, že povinná osoba dokáže alespoň rámcově klasifikovat incident podle stanovených kritérií závažnosti, která zákon a navazující prováděcí předpisy podrobně definují.

Poslední fází je závěrečná zpráva, kterou je nutné předložit do jednoho měsíce od podání oznámení o incidentu. Tento dokument by měl obsahovat komplexní popis incidentu včetně jeho příčiny, závažnosti, skutečného dopadu na poskytovanou službu i přijatých nápravných opatření. Pokud incident v době uplynutí měsíční lhůty ještě trvá, zákon umožňuje podat takzvanou průběžnou zprávu a závěrečnou zprávu doplnit až po jeho úplném vyřešení.

Je důležité zdůraznit, že jednotlivé lhůty se počítají od okamžiku, kdy se povinná osoba o incidentu skutečně dozvěděla, nikoli od okamžiku, kdy incident fakticky nastal. Praxe posledních let ukazuje, že právě správné určení tohoto rozhodného momentu bývá pro organizace jedním z nejobtížnějších úkolů, protože detekce sofistikovaných útoků, jako jsou pokročilé ransomwarové kampaně nebo cílené útoky na dodavatelský řetězec, může trvat i několik dní.

Zákon zároveň umožňuje, aby oznámení bylo učiněno prostřednictvím jiné osoby, například poskytovatele služeb kybernetické bezpečnosti, s nímž má povinná osoba uzavřenu smlouvu. Tato flexibilita je v roce 2026 stále více využívána, zejména menšími a středními podniky, které nemají vlastní bezpečnostní tým a spoléhají na externí odborníky, jež jim pomáhají dodržet stanovené termíny a formální náležitosti hlášení.

Zákon o kybernetické bezpečnosti není byrokratickou překážkou, ale základním pilířem důvěry v digitální svět – bez jasných pravidel ochrany dat a systémů se stává každá instituce zranitelnou obětí, ať už si to uvědomuje, nebo ne.

Bohumil Kadlec

Požadavky na bezpečnostní opatření a audity

Zákon o kybernetické bezpečnosti v aktuálním znění, který od začátku roku 2025 promítá požadavky evropské směrnice NIS2 do českého právního prostředí, klade na povinné osoby výrazně širší nároky než dřívější právní úprava. V roce 2026 už se firmy a instituce spadající do režimu regulace nemohou spoléhat na to, že jim postačí formální bezpečnostní politika sepsaná kdysi „do šuplíku“. Naopak se očekává, že bezpečnostní opatření budou živým a průběžně aktualizovaným systémem řízení rizik, který reaguje na měnící se hrozby, technologické změny i konkrétní zkušenosti z incidentů.

Zákon rozlišuje mezi organizačními a technickými opatřeními, přičemž obě kategorie musí být zavedeny komplexně a vzájemně provázaně. Mezi organizační opatření patří především systém řízení bezpečnosti informací, řízení rizik, stanovení bezpečnostních rolí, pravidelné školení zaměstnanců a řízení dodavatelských vztahů, které se v posledních letech stalo jedním z nejcitlivějších bodů celé regulace. Povinné osoby musí prokazatelně hodnotit kybernetickou bezpečnost svých dodavatelů a subdodavatelů, což v praxi znamená rozsáhlejší smluvní dokumentaci a pravidelné prověřování třetích stran. Technická opatření pak zahrnují ochranu sítí a komunikačních kanálů, řízení přístupů, kryptografické zabezpečení dat, zálohování, detekci a reakci na incidenty a zajištění kontinuity provozu i v případě rozsáhlejšího výpadku.

Klíčovým prvkem celého systému zůstávají bezpečnostní audity, které zákon ukládá provádět pravidelně, typicky jednou za dva až tři roky podle kategorie povinné osoby, případně i mimořádně na základě podnětu Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB). Audit musí provést nezávislý subjekt s příslušnou akreditací a jeho výstupem je podrobná zpráva, která identifikuje slabá místa systému, hodnotí soulad s právními požadavky a navrhuje konkrétní nápravná opatření. V roce 2026 se ukazuje, že řada organizací podceňuje přípravu na audit a spoléhá se na formální naplnění dokumentace, aniž by ověřila reálnou funkčnost bezpečnostních procesů v praxi – to je přístup, který NÚKIB při kontrolách stále častěji odhaluje a sankcionuje.

Zákon dále stanovuje povinnost hlásit kybernetické bezpečnostní incidenty, a to ve stanovených lhůtách, které se odvíjejí od závažnosti události. Nesplnění ohlašovací povinnosti nebo nedostatečná úroveň zavedených opatření může vést k uložení pokuty, jejíž výše se odvíjí od kategorie subjektu a závažnosti pochybení. Pro subjekty vyšší kategorie mohou sankce dosahovat řádů milionů korun, což motivuje statutární orgány k tomu, aby otázkám kybernetické bezpečnosti věnovali osobní pozornost, neboť zákon zavádí i odpovědnost statutárních orgánů za dohled nad plněním těchto povinností.

V praxi se tak rok 2026 nese ve znamení postupného zrání celého systému – organizace si osvojují pravidelné interní kontroly, testování odolnosti systémů, penetrační testy a průběžné vyhodnocování rizik jako standardní součást provozu, nikoli jako jednorázovou povinnost splněnou před termínem auditu.

Odpovědnost statutárních orgánů za kybernetickou bezpečnost

Nový zákon o kybernetické bezpečnosti, který navazuje na evropskou směrnici NIS2, přináší zásadní změnu v tom, jak se na odpovědnost za zabezpečení informačních systémů dívá české právo. Zatímco dřívější úprava kladla důraz především na technická opatření a povinnosti bezpečnostních manažerů, dnešní legislativa jednoznačně směřuje odpovědnost přímo na statutární orgány společností. To znamená, že jednatelé, členové představenstva nebo výkonní ředitelé už nemohou kybernetickou bezpečnost považovat za pouze technickou záležitost IT oddělení, kterou je možné delegovat a dále se o ni nezajímat.

Zákon výslovně stanoví, že statutární orgán musí schvalovat bezpečnostní politiku organizace a průběžně dohlížet na její naplňování. Nejde tedy o jednorázový akt podpisu dokumentu, ale o kontinuální povinnost sledovat, zda přijatá opatření skutečně fungují a odpovídají aktuálním hrozbám. Členové vedení musí prokazatelně absolvovat školení zaměřená na řízení kybernetických rizik, což je požadavek, který dříve v české legislativě chyběl a nyní se stává standardní součástí compliance agendy velkých i středních firem.

Klíčovým prvkem nové úpravy je osobní odpovědnost statutárních zástupců za škodu, která vznikne v důsledku zanedbání povinností v oblasti kybernetické bezpečnosti. Pokud se prokáže, že vedení společnosti nevěnovalo dostatečnou pozornost řízení rizik, neinvestovalo do potřebných opatření nebo ignorovalo doporučení bezpečnostních auditů, může být voláno k odpovědnosti nejen firma jako celek, ale i konkrétní fyzické osoby ve vedení. Tato odpovědnost se přitom nevztahuje pouze na klasické útoky typu ransomware nebo únik dat, ale zahrnuje i situace, kdy dojde k narušení dostupnosti kritických služeb v důsledku nedostatečné údržby nebo zastaralých systémů.

V praxi to pro statutární orgány znamená, že musí mít přehled o tom, jaké kategorie dat organizace zpracovává, jaká rizika jim hrozí a jaké mechanismy jsou zavedeny pro jejich zmírnění. Nedostatečná znalost stavu kybernetické bezpečnosti ve vlastní firmě už není akceptovatelnou obhajobou. Naopak, dozorové orgány, mezi něž patří především Národní úřad pro kybernetickou a informační bezpečnost, mohou při kontrole požadovat doložení konkrétních kroků, které vedení podniklo k eliminaci zjištěných rizik.

Sankce za porušení těchto povinností jsou v porovnání s předchozí úpravou výrazně přísnější a mohou zahrnovat vysoké pokuty ukládané přímo organizaci, ale v závažných případech i osobní postih statutárních zástupců, včetně dočasného zákazu výkonu funkce. Toto opatření má motivovat vedení firem k tomu, aby kybernetickou bezpečnost vnímalo jako strategickou prioritu srovnatelnou s finančním řízením či právní compliance, nikoli jako okrajovou technickou agendu.

Pro mnoho českých firem, zejména těch, které spadají do kategorie regulovaných subjektů podle NIS2, tak rok 2026 přináší nutnost přehodnotit nastavení firemní správy a jasně definovat, kdo v rámci vedení nese odpovědnost za jednotlivé aspekty kybernetické bezpečnosti a jakým způsobem je tato odpovědnost dokumentována a kontrolována.

Sankce a pokuty za nedodržení zákona

Zákon o kybernetické bezpečnosti přináší v roce 2026 podstatně přísnější systém sankcí než jeho předchozí verze, a to zejména v souvislosti s implementací evropské směrnice NIS2 do českého právního řádu. Firmy a instituce, které spadají do kategorie regulovaných subjektů, si musí uvědomit, že nedodržení zákonných povinností již není záležitostí symbolických pokut, ale může znamenat citelný zásah do rozpočtu celé organizace. Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) má nyní k dispozici širokou škálu nástrojů, jak vynucovat dodržování stanovených pravidel, a rozhodně nezůstává jen u varovných dopisů.

Výše pokut se odvíjí od kategorie subjektu a závažnosti porušení. U tzv. vyšší kategorie regulovaných subjektů, kam patří například poskytovatelé kritické infrastruktury, velké energetické společnosti nebo významné finanční instituce, se pokuty mohou vyšplhat až do stovek milionů korun, přičemž v některých případech zákon umožňuje sankce vypočítané jako procento z celosvětového obratu společnosti. To je přístup inspirovaný unijní legislativou a má zajistit, že pokuta bude skutečně citelná i pro nadnárodní korporace, pro které by fixní částka mohla být zanedbatelná.

Mezi nejčastější prohřešky, za které NÚKIB sankce ukládá, patří opomenutí nahlásit kybernetický bezpečnostní incident ve stanovené lhůtě, nedostatečné zavedení bezpečnostních opatření podle prováděcí vyhlášky, absence pravidelného hodnocení rizik nebo nedostatečné proškolení zaměstnanců v oblasti kybernetické hygieny. Zákon přitom rozlišuje mezi pochybením z nedbalosti a úmyslným porušením povinností, což se výrazně promítá do výše uložené pokuty i do dalších možných opatření, jako je nápravný příkaz nebo dočasné omezení určité činnosti.

Kromě finančních sankcí zákon počítá i s osobní odpovědností statutárních orgánů. To znamená, že jednatelé a členové představenstev mohou být za závažná porušení povinností postiženi i osobně, což představuje výraznou změnu oproti dřívější praxi, kdy odpovědnost nesla téměř výhradně samotná společnost. Tento krok má motivovat vedení firem k tomu, aby otázkám kybernetické bezpečnosti věnovalo skutečnou pozornost na nejvyšší úrovni řízení, a ne ji odsouvalo pouze na IT oddělení.

Firmy by si měly uvědomit, že prevence se dlouhodobě vyplatí mnohem více než řešení následků po uložení pokuty. Investice do bezpečnostních auditů, pravidelného testování odolnosti systémů a vzdělávání zaměstnanců se z pohledu roku 2026 jeví jako nezbytná součást odpovědného řízení firmy, nikoliv jako zbytečný náklad. NÚKIB navíc v posledních měsících deklaroval, že bude při kontrolách postupovat důsledně a že doba benevolentního přechodného období spojeného se zaváděním nových pravidel definitivně skončila.

Role Národního úřadu pro kybernetickou bezpečnost

Národní úřad pro kybernetickou bezpečnost (NÚKIB) zůstává i v roce 2026 klíčovým orgánem, který stojí za praktickým naplňováním zákona o kybernetické bezpečnosti. Jeho postavení se v posledních letech výrazně posílilo, zejména v souvislosti s implementací evropské směrnice NIS2 do českého právního řádu, kdy se úřad stal ústředním garantem toho, aby povinné osoby – od poskytovatelů základních služeb až po nově definované subjekty ve zpřísněném a základním režimu – dodržovaly zákonem stanovené požadavky. NÚKIB tak nefunguje jen jako kontrolní instituce, ale i jako metodický a poradní orgán, který nastavuje pravidla hry pro celý sektor kybernetické bezpečnosti v Česku.

Mezi hlavní úkoly úřadu patří vydávání vyhlášek a metodických pokynů, které konkretizují obecné povinnosti stanovené zákonem. Právě prostřednictvím prováděcích předpisů NÚKIB určuje, jaké technické a organizační opatření musí povinné subjekty zavést, jak mají řídit rizika, jak provádět bezpečnostní audity nebo jak nahlašovat kybernetické incidenty. Bez této metodické činnosti by zákon zůstal jen rámcovým textem bez praktického uchopení, a proto se role úřadu v této oblasti považuje za nezastupitelnou.

Dále úřad plní funkci dohledového a sankčního orgánu. V roce 2026 disponuje rozšířenými pravomocemi kontrolovat, zda organizace splňují své povinnosti, a v případě zjištěných nedostatků může ukládat nápravná opatření nebo finanční sankce. Tyto pravomoci se výrazně posílily s příchodem nové právní úpravy navazující na NIS2, která rozšířila okruh povinných subjektů i výši možných pokut. NÚKIB tak dnes dohlíží nejen na provozovatele kritické infrastruktury, ale i na středně velké firmy v odvětvích jako energetika, doprava, zdravotnictví nebo digitální služby.

Neméně důležitou roli hraje úřad v oblasti koordinace řešení kybernetických incidentů. Provozuje národní CERT/CSIRT týmy, které slouží jako centrální kontaktní místo pro nahlašování bezpečnostních incidentů. Díky tomu může NÚKIB rychle reagovat na hrozby, sdílet informace mezi jednotlivými sektory a koordinovat postup při rozsáhlejších kybernetických útocích, které by mohly ohrozit fungování státu nebo klíčových služeb.

Úřad se také významně podílí na vzdělávání a osvětě v oblasti kybernetické bezpečnosti. Pořádá školení pro bezpečnostní manažery, publikuje doporučení pro malé a střední podniky a spolupracuje s akademickou sférou na výzkumu nových hrozeb, včetně rizik spojených s umělou inteligencí a kvantovými technologiemi, které se v roce 2026 stávají stále aktuálnějším tématem.

V neposlední řadě NÚKIB zastupuje Českou republiku na mezinárodní úrovni, spolupracuje s obdobnými institucemi v rámci Evropské unie i NATO a podílí se na tvorbě společných standardů. Tato mezinárodní spolupráce je zásadní pro to, aby český zákon o kybernetické bezpečnosti nezůstal izolovaný, ale odpovídal aktuálním evropským trendům a hrozbám, kterým je Česko v digitálním prostředí vystaveno.

Dopady na malé a střední podniky

Malé a střední podniky se v roce 2026 dostávají do situace, kterou ještě před pár lety řada z nich vůbec nepředpokládala – zákon o kybernetické bezpečnosti se totiž díky evropské směrnici NIS2 rozšířil na mnohem širší okruh subjektů, než tomu bylo dříve. Zatímco dřív se regulace týkala především velkých provozovatelů kritické infrastruktury, energetických společností nebo velkých bank, nyní se do režimu regulovaných subjektů dostávají i firmy, které by se za kritické samy nikdy nepovažovaly. Jde například o menší výrobní podniky, dodavatele softwarových řešení, poskytovatele cloudových služeb nebo firmy působící v potravinářství a zdravotnictví. Právě tato skupina firem nyní čelí zásadní otázce, zda a jak se na ně zákon vztahuje a co konkrétně musí udělat, aby splnily zákonné povinnosti.

Pro mnoho malých a středních podniků představuje samotná klasifikace vlastní role v dodavatelském řetězci první velkou překážku. Firma, která dodává služby většímu regulovanému subjektu, se totiž může nepřímo stát součástí bezpečnostních požadavků, aniž by na ni zákon dopadal přímo. Velké korporace totiž nyní po svých dodavatelích čím dál častěji požadují prokázání odpovídající úrovně kybernetické bezpečnosti, protože i ony samy musí zajistit bezpečnost celého svého dodavatelského řetězce. Menší firmy se tak ocitají pod tlakem, aniž by musely přímo naplňovat definici regulovaného subjektu.

Finanční a personální náročnost implementace bezpečnostních opatření je pro menší firmy citelnějším problémem než pro velké korporace, které mají vlastní IT oddělení, bezpečnostní specialisty a rozpočty na externí audity. Malé a střední podniky často musí bezpečnostní opatření řešit s omezenými lidskými i finančními zdroji, což znamená, že se čím dál více spoléhají na externí poradce, dodavatele bezpečnostních řešení nebo sdílené bezpečnostní služby. Náklady na zavedení systému řízení bezpečnosti informací, pravidelné hodnocení rizik, školení zaměstnanců a technická opatření, jako je vícefaktorové ověřování nebo šifrování dat, mohou pro menší firmu představovat nezanedbatelnou zátěž rozpočtu.

Na druhou stranu je třeba zdůraznit, že ne všechny malé a střední podniky spadají pod přímou povinnost dodržovat zákon v plném rozsahu. Zákon rozlišuje mezi jednotlivými kategoriemi subjektů podle velikosti, odvětví a významu pro fungování společnosti, a proto se povinnosti liší podle konkrétní situace každé firmy. Přesto se doporučuje, aby i firmy, na které se zákon nevztahuje přímo, věnovaly kybernetické bezpečnosti zvýšenou pozornost, protože rostoucí počet kybernetických útoků cílí právě na méně zabezpečené menší subjekty, které bývají snadnějším cílem než dobře chráněné velké organizace.

V praxi to znamená, že mnoho podnikatelů v roce 2026 hledá způsob, jak legislativní požadavky splnit efektivně a bez zbytečných výdajů. Objevují se proto specializované poradenské firmy zaměřené právě na segment malých a středních podniků, které nabízejí zjednodušené postupy, šablony bezpečnostní dokumentace a cenově dostupné audity. Stát a profesní komory rovněž postupně rozšiřují osvětové programy a metodické materiály, které mají menším firmám pomoci lépe se v nových povinnostech orientovat a snížit administrativní i finanční zátěž spojenou s adaptací na nová pravidla.

Praktické kroky k zajištění souladu s předpisy

Praktické zajištění souladu s novým zákonem o kybernetické bezpečnosti není otázkou jednorázového projektu, ale kontinuálního procesu, který musí organizace zvládnout systematicky a s odpovídajícím časovým předstihem. První a naprosto klíčovým krokem je provedení důkladné analýzy dopadů – tedy zjištění, zda se na daný subjekt zákon vztahuje, do jaké kategorie regulovaných subjektů spadá a jaké konkrétní povinnosti z toho pro něj vyplývají. Bez tohoto vstupního posouzení hrozí, že firma bude investovat čas a peníze do opatření, která nejsou pro její konkrétní situaci relevantní, nebo naopak podcení skutečný rozsah svých povinností.

Po vyjasnění právního postavení by měla následovat revize stávajícího řízení kybernetických rizik. To znamená provést podrobný audit současného stavu zabezpečení informačních systémů, sítí i procesů a porovnat jej s požadavky, které zákon a navazující prováděcí předpisy stanovují. V praxi jde často o zjištění, že organizace má sice zavedena určitá bezpečnostní opatření, ale chybí jim formální rámec, dokumentace nebo pravidelné přezkoumávání. Je třeba věnovat pozornost i otázce řízení rizik dodavatelského řetězce, protože zákon klade důraz na to, aby subjekty nespoléhaly jen na zabezpečení vlastních systémů, ale ověřovaly i důvěryhodnost a odolnost svých dodavatelů a partnerů.

Nezbytnou součástí přípravy je také nastavení funkčního systému hlášení kybernetických bezpečnostních incidentů. Organizace by měly mít jasně definované interní postupy, kdo incident identifikuje, kdo rozhoduje o jeho závažnosti a kdo zajišťuje včasné oznámení příslušnému orgánu, typicně Národnímu úřadu pro kybernetickou a informační bezpečnost. Klíčové je dodržení stanovených lhůt, které bývají velmi krátké, a proto je vhodné mít připravené šablony hlášení a jasně určené odpovědné osoby ještě předtím, než k incidentu skutečně dojde.

Velký důraz je třeba položit i na vzdělávání zaměstnanců a zvyšování povědomí o kybernetických hrozbách v celé organizaci, nejen v IT oddělení. Zákon totiž počítá s tím, že za kybernetickou bezpečnost nese odpovědnost i vedení společnosti, a proto je vhodné zajistit odpovídající proškolení statutárních orgánů, aby rozuměli svým povinnostem a mohli je reálně naplňovat.

Dále je vhodné zavést pravidelné interní audity a testování bezpečnosti, včetně penetračních testů a simulací incidentů, aby organizace ověřila, že nastavená opatření skutečně funguje v praxi, nikoli jen na papíře. Celý proces by měl být doprovázen pečlivou dokumentací všech kroků, protože při případné kontrole ze strany dozorového orgánu bude právě schopnost prokázat systematický přístup k řízení rizik zásadní pro posouzení, zda organizace splňuje své zákonné povinnosti.