NIS2 v praxi: nový zákon o kybernetické bezpečnosti dopadne na tisíce firem, které to zatím netuší

Koho se to týká

Podle našich odhadů, zpracovaných z veřejných zdrojů a metodiky NÚKIB, bude nově regulováno přibližně 6 000 až 8 000 organizací v České republice. Zákon pokrývá 18 odvětví a reguluje více než 105 druhů služeb, od energetiky, zdravotnictví a dopravy až po výrobu potravin, odpadové hospodářství a poskytovatele IT služeb. Klíčová změna oproti minulosti je právě v šíři: povinnosti nedopadají jen na velké provozovatele kritické infrastruktury, ale na střední firmy napříč ekonomikou.

Praktický test je jednoduchý. Působí-li organizace v některém z regulovaných odvětví a zároveň zaměstnává 50 a více osob nebo má obrat nad 10 milionů eur, s vysokou pravděpodobností spadá do působnosti zákona, a to buď v režimu vyšších povinností (tzv. esenciální subjekty), nebo nižších povinností (významné subjekty). Zákon přitom nikoho nevyzývá dopisem. Odpovědnost za identifikaci a registraci nese sám subjekt.

Termíny, na které se zapomíná

Nejčastější a přitom nejlevnější chyba, kterou v praxi vidíme, není technická. Je administrativní. Regulované subjekty se musí samy zaregistrovat přes Portál NÚKIB, přičemž nejzazší termín registrace regulované služby byl stanoven na 31. prosince 2025. Na zavedení samotných bezpečnostních opatření pak zákon poskytuje lhůtu zhruba dvanácti měsíců.

Subjekt tak může být „připraven” po technické stránce a přesto formálně v rozporu se zákonem jen proto, že nepodal registraci. Jde o povinnost, o které se mluví málo, protože není technická, a přesto je časově nejzazší.

Kolik to stojí a co za to hrozí

Sankce jsou citelné. Maximální správní pokuta pro poskytovatele v režimu vyšších povinností dosahuje podle § 59 ZoKB až 250 milionů korun (přibližně 10 milionů eur). Vedle pokuty pro organizaci zákon, v duchu směrnice NIS2, klade důraz na osobní odpovědnost vedení za schválení a dohled nad bezpečnostními opatřeními. To je posun, který kybernetickou bezpečnost přesouvá z IT oddělení na úroveň statutárního orgánu.

Náklady na zavedení souladu se u malé až střední firmy typicky pohybují v jednorázovém rozmezí 20 000 až 150 000 eur, s očekávaným nárůstem výdajů na kybernetickou bezpečnost přibližně o 22 procent v prvních letech po implementaci. Pro srovnání, globální průměrné náklady jediného datového incidentu činily podle zprávy IBM Cost of a Data Breach za rok 2025 zhruba 4,44 milionu dolarů (přibližně 4,1 milionu eur). Investice do souladu je tak v naprosté většině případů zlomkem toho, co stojí jediný závažný incident.

Mezera, kterou má zákon uzavřít

Že prostor pro zlepšení existuje, potvrzují i naše vlastní data. V nezávislém průzkumu veřejně měřitelných bezpečnostních signálů u největších českých firem (šifrování přenosu, bezpečnostní hlavičky, ochrana e-mailu proti podvržení) neobstálo v alespoň jedné základní kontrole zhruba 35 procent zkoumaných organizací a přibližně 15 procent nemělo vynucenou politiku DMARC, která brání zneužití domény k rozesílání podvodných e-mailů. Jde přitom o opatření, která nestojí prakticky nic a jsou přesně tím, co ZoKB a NIS2 od organizací očekávají jako základ.

Praktické doporučení

Firmám, které si nejsou jisté, doporučujeme tři kroky. Nejprve ověřit rozsah působnosti a klasifikaci a v případě povinnosti provést registraci přes Portál NÚKIB. Následně provést poctivou analýzu rozdílů oproti požadavkům zákona, tedy zjistit, co organizace už má a co jí chybí. A konečně nezapomenout na dodavatelský řetězec: odpovědnost se nově vztahuje i na bezpečnost dodavatelů, kteří mají přístup k systémům a datům organizace.

NIS2 není nesplnitelná zeď ani pouhá formalita. Je to práce, jejíž větší část se odehrává v procesech a v dokumentaci, nikoli v nákupu jednoho nástroje. Firmy, které to přijmou včas, utratí méně a budou hotové dříve.

Datové podklady k tomuto textu vycházejí z nezávislé analýzy dostupné na nis2-nastroje.cz (https://nis2-nastroje.cz/report-nis2-2022-2555-cz.html).

---

Text je praktickým vodítkem, nikoli právním poradenstvím.