Distributoři léčiv jako subjekty kritické infrastruktury: Nový regulatorní režim a praktické dopady

Právě na to reaguje nový zákon č. 266/2025 Sb., o odolnosti subjektů kritické infrastruktury (zákon o kritické infrastruktuře), který nabyl účinnosti 19. srpna 2025. Zákon transponuje evropskou směrnici CER (EU) 2022/2557 o odolnosti kritických subjektů a přináší zcela nový pohled na ochranu klíčových služeb státu. A distribuce léčiv je jednou z nich.

Co se vlastně změnilo?

Dosavadní systém kritické infrastruktury, zakotvený v krizovém zákoně č. 240/2000 Sb., se zaměřoval na ochranu konkrétních prvků ve smyslu budovy, zařízení či infrastruktury. Nový zákon tento přístup opouští. Místo prvků nyní stojí v centru pozornosti subjekty a základní služby, které poskytují. Klíčové je zajištění nepřetržitého poskytování těchto služeb, nikoli ochrana jednoho konkrétního prvku.

Základní službou se rozumí služba nezbytná pro zachování základních funkcí státu, hospodářských činností, bezpečnosti, veřejného zdraví nebo životního prostředí. Konkrétní služby a kritéria, která musí jejich poskytovatelé naplnit, stanoví připravované nařízení vlády o základních službách a kritériích významnosti.

Proč se to týká distributorů léčiv?

Podle aktuálního návrhu nařízení vlády je v odvětví zdravotnictví za základní službu výslovně považována distribuce léčivých přípravků. Kritéria pro distributory léčivých přípravků by měla být dle důvodové zprávy k návrhu nařízení vlády zvolena tak, aby subjektem kritické infrastruktury byly pouze takové subjekty, jejichž činnost je stěžejní pro zajištění zásobování trhu v České republice léčivými přípravky, přičemž toto zásobování provádí s využitím vlastní skladovací nebo přepravní kapacity. Podle důvodové zprávy by poskytovatelem základní služby měl být držitel povolení k distribuci léčivých přípravků vydaného Státním ústavem pro kontrolu léčiv (SÚKL), který je velkým podnikem ve smyslu Doporučení Komise 2003/361/ES (tj. má 250 nebo více zaměstnanců či obrat přesahující 50 milionů EUR a bilanční sumu přesahující 43 milionů EUR) a v posledním kalendářním roce fyzicky dodával léčivé přípravky osobám uvedeným v § 77 odst. 1 písm. c) zákona č. 378/2007 Sb., o léčivech (tj. kompletní výčet subjektů, kterým distributor léčiv může distribuovat léčivé přípravky), s výjimkou distributorů léčiv, prodejců vyhrazených léčivých přípravků a provozovatelů oprávněných k výdeji podle § 82 odst. 2 písm. e) zákona o léčivech, pokud jde o radiofarmaka, a za účelem dodávání léčivých přípravků tyto obstarával a skladoval s využitím vlastní skladovací nebo přepravní infrastruktury.

Jaký je aktuální stav?

Zákon o kritické infrastruktuře je účinný od srpna 2025, nicméně bez nařízení vlády nelze zatím jednoznačně určit okruh dotčených služeb ani rozsah požadovaných informací. Nařízení vlády dosud nebylo přijato, jeho účinnost lze očekávat v druhé polovině roku 2026. Zákonný termín 17. července 2026 pro první zařazení poskytovatelů na seznam subjektů kritické infrastruktury se patrně nestihne.

Co bude následovat po vydání nařízení vlády?

Proces je nastaven jako postupný a jeho časová osa vypadá následovně:

Sebeidentifikace – Distributor vyhodnotí, zda naplňuje definovaná kritéria významnosti. Pokud ano, poskytne požadované informace Ministerstvu zdravotnictví (jako gestorovi v odvětví zdravotnictví) a Ministerstvu vnitra. Lhůta: do 1 měsíce od výzvy nebo do 3 měsíců od zahájení poskytování základní služby.
Zařazení na seznam – Ministerstvo vnitra bez zbytečného odkladu rozhodne o zařazení poskytovatele základní služby na seznam subjektů kritické infrastruktury. Seznam bude neveřejný.
Plnění povinností – Subjekt kritické infrastruktury je povinen plnit některé povinnosti, především informační, ode dne doručení rozhodnutí o zařazení na seznam subjektů kritické infrastruktury. Pro splnění dalších povinností je stanovena lhůta, například:

do 9 měsíců: zpracování posouzení rizik (aktualizace nejméně jednou za 4 roky);
do 10 měsíců: zpracování plánu odolnosti (aktualizace nejméně jednou za 4 roky) a určení manažera kritické infrastruktury;
od 10. měsíce: povinnost hlásit incidenty Ministerstvu vnitra.

Jaké jsou hlavní povinnosti subjektu kritické infrastruktury?

Zákon zavádí ucelený soubor povinností, zejména:

Informační povinnosti – průběžně poskytovat informace o základní službě, kritické infrastruktuře, kritických dodavatelích a určit manažera kritické infrastruktury.
Posouzení rizik – identifikace a analýza rizik, která by mohla potenciálně vést k incidentu.
Plán odolnosti – dokument stanovující technická, bezpečnostní a organizační opatření.
Opatření k zajištění odolnosti – řízení rizik, kontinuita činností, odezva na incidenty, fyzická bezpečnost, řízení bezpečnosti pracovníků a dodavatelského řetězce.
Manažer kritické infrastruktury – určená osoba splňující podmínky pro výkon citlivé činnosti podle zákona č. 412/2005 Sb., o ochraně utajovaných informací, tj. bezpečnostní způsobilost ověřovanou Národním bezpečnostním úřadem, a odbornou praxi min. 3 roky, resp. 1 rok s VŠ vzděláním.
Hlášení incidentů – bez zbytečného odkladu, v případě řešení incidentu prvotní hlášení do 24 hodin a závěrečná zpráva do 1 měsíce.
Účast na cvičeních – k ověření odolnosti subjektu kritické infrastruktury, a to nejvýše jednou za tři roky.

Hrozí nějaké sankce?

Ano, nový zákon zavádí pro subjekty kritické infrastruktury citelné pokuty:

Za neposkytnutí informace nezbytné k rozhodnutí o zařazení subjektu na seznam: pokuta do 25 milionů Kč, nebo do 0,3 % čistého ročního obratu (podle toho, která částka je vyšší).
Obecně se pokuty za porušení povinností pohybují od 3 milionů Kč do 25 milionů Kč, nebo do 0,3 % čistého ročního obratu (podle toho, která částka je vyšší).
Při opakovaném porušení může pokuta dosáhnout až 50 milionů Kč, nebo 1,5 % čistého ročního obratu (podle toho, která částka je vyšší).

A co kybernetická bezpečnost?

Zákon o kritické infrastruktuře je úzce provázán s novým zákonem č. 264/2025 Sb., o kybernetické bezpečnosti, který transponuje směrnici Evropského parlamentu a Rady (EU) 2022/2555 ze dne 14. prosince 2022 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii (NIS 2). Praktickým důsledkem je, že všechny subjekty kritické infrastruktury automaticky spadají i pod režim kybernetické bezpečnosti. Služba poskytovaná subjektem kritické infrastruktury se považuje za regulovanou službu podle zákona o kybernetické bezpečnosti. To znamená povinnost zavést kybernetická opatření a hlásit kybernetické incidenty Národnímu úřadu pro kybernetickou a informační bezpečnost (NÚKIB). Subjekt kritické infrastruktury bude poskytovatelem regulované služby v režimu vyšších povinností.

Zákon o kritické infrastruktuře přitom pamatuje na zamezení duplicit. Pokud subjekt plní srovnatelné povinnosti podle jiného předpisu EU nebo zákona, kterým se takový předpis provádí, a tyto povinnosti mají srovnatelný účinek jako požadavky zákona o kritické infrastruktuře, nemusí totožné povinnosti plnit znovu a ustanovení zákona se v daném rozsahu neuplatní.

Co by měli distributoři udělat už teď?

Ačkoli formálně zatím běží přechodné období a nařízení vlády dosud nebylo vydáno, čas na přípravu není neomezený. Doporučuje se zejména sledovat legislativní vývoj, předběžně ověřit, zda společnost splňuje očekávaná kritéria pro poskytovatele základní služby, která však budou definitivně stanovena až nařízením vlády, a současně začít mapovat vlastní kritickou infrastrukturu.

Závěr

Nový zákon o kritické infrastruktuře představuje zásadní regulatorní změnu pro distributory léčiv v České republice. Nejde o pouhou formalitu. Zákon přináší reálné povinnosti s reálnými sankcemi a současně vytváří systém, který má zabezpečit kontinuitu zásobování léky i v době krizí. Pro distributory, kteří splní kritéria významnosti, začne po vydání nařízení vlády běžet relativně krátká doba na přípravu. Nejlepší čas začít se orientovat v nových pravidlech je právě teď.