Nový zákon o kritické infrastruktuře I. – Kdo pod něj spadá?

Přinášíme první ze série článků, kde se budeme věnovat Novému zákonu o kritické infrastruktuře.

Dne 19. srpna 2025 vstoupil v účinnost nový zákon č. 266/2025 Sb., o odolnosti subjektů kritické infrastruktury a o změně souvisejících zákonů (dále jen „ZOKI“), kterým se do českého právního řádu transponovala směrnice Evropského parlamentu a Rady (EU) 2022/2557 ze dne 14. prosince 2022 o odolnosti kritických subjektů a o zrušení směrnice Rady 2008/114/ES (dále jen „směrnice CER“). Došlo tak k významné změně úpravy kritické infrastruktury, která byla přesunuta ze zákona č. 240/2000 Sb., o krizovém řízení a o změně některých zákonů, do ZOKI a dosavadní systém postavený na prvcích kritické infrastruktury přejde na systém subjektů kritické infrastruktury poskytující tzv. základní služby.

Tento článek je první z námi připravované série o novém zákonu o kritické infrastruktuře a vysvětluje, jak určit, zda jste subjektem kritické infrastruktury, co je to základní služba, kritéria významnosti, a jaký je rozdíl mezi poskytovatelem základní služby a subjektem kritické infrastruktury.

Co je to základní služba?

ZOKI staví nový systém kritické infrastruktury na tzv. základních službách, což jsou služby nezbytné pro zachování základních funkcí států, hospodářských činností, bezpečnosti, veřejného zdraví nebo životního prostředí. Mezi základní služby jsou však řazeny pouze služby v určitých vydefinovaných odvětvích dle přílohy ZOKI. Jedná se tak například o odvětví energetiky, dopravy, pitné a odpadní vody, digitální infrastruktury, zdravotnictví nebo bankovnictví.

Pokud tedy poskytuje nějaký subjekt, typicky společnost, služby v těchto odvětvích, dá se předpokládat, že se na ní bude ZOKI vztahovat. Nejde ovšem pouze o poskytování základní služby jako takové, ale především o intenzitu poskytování, aby bylo toto poskytování shledáno významným v rámci systému kritické infrastruktury. Intenzitu v rámci jednotlivých odvětví budou určovat tzv. kritéria významnosti, která má stanovit prováděcí nařízení vlády o základních službách a kritériích významnosti.[1]

Aby se společnost stala poskytovatelem základní služby a vztahovala se na ni oznamovací povinnost vyplývající se ZOKI, musí poskytovat alespoň jednu základní službu na území České republiky a splňovat kritérium významnosti. Kritéria významnosti mohou být různá dle odvětví, přičemž se jedná především o kritéria technického rázu.

Poskytovatel základní služby vs. Subjekt kritické infrastruktury

Společnost si v rámci sebehodnotícího procesu musí určit, zda poskytuje základní službu a splňuje jedno z jejích kritérií významnosti. V případě, že si na tyto otázky odpoví kladně, může se považovat za poskytovatele kritické infrastruktury. Jako poskytovatel má pak povinnost oznámit svému gestorovi (věcně příslušnému ministerstvu, ústřednímu správnímu úřadu či České národní bance dle daného odvětví) poskytovanou základní službu včetně splněného kritéria významnosti a jeho kritickou infrastrukturu na území České republiky či jiného státu Evropské unie. Poskytovatel je povinen tyto informace poskytnout gestorovi do tří měsíců od zahájení poskytování základní služby nebo do jednoho měsíce v případ, že byl k tomuto gestorem či Ministerstvem vnitra vyzván.

Subjektem kritické infrastruktury se poskytovatel stává až v momentě jeho zařazení na neveřejný seznam subjektů kritické infrastruktury vedený Ministerstvem vnitra. Ministerstvo vnitra o tomto zařazení rozhoduje na základě podnětu daného gestora, jenž vyhodnocuje informace poskytnuté v rámci plnění oznamovací povinnosti. Dle přechodných ustanovení ZOKI má Ministerstvo vnitra poprvé rozhodnout o zařazení na seznam subjektů kritické infrastruktury do 17. července 2026, pokud poskytovatel základní služby poskytl informace do 1. března 2026. V případě, že Ministerstvo vnitra rozhodne, že je společnost subjektem kritické infrastruktury, vztahuje se na ní řada povinností daných ZOKI.

O konkrétních právech a povinnostech vyplývajících ze ZOKI bude pojednávat další článek z naší série.