Koho se týká nový zákon o kybernetické bezpečnosti: praktický test pro české MSP
Nový ZoKB se netýká automaticky každé firmy s IT. Klíčové je ověřit, zda firma poskytuje službu v některém ze zákonem uvedených odvětví, zda služba splňuje podmínky pro registraci a zda je poskytovatel středním nebo velkým podnikem, případně je významný i z jiných důvodů. Pozor: vyhláška č. 410/2025 Sb. neupravuje seznam regulovaných služeb; řeší bezpečnostní opatření pro poskytovatele v režimu nižších povinností. Tento text je pracovní draft pro lidskou kontrolu, nikoli právní rada.
Autor: Marco Zoratto, zakladatel Splnit.eu
Koho se týká nový zákon o kybernetické bezpečnosti: praktický test pro české MSP
Nový zákon o kybernetické bezpečnosti (ZoKB) se netýká automaticky každé firmy s IT. Klíčové je ověřit, zda firma poskytuje službu v některém ze zákonem uvedených odvětví, zda služba splňuje podmínky pro registraci a zda je poskytovatel středním nebo velkým podnikem, případně je významný i z jiných důvodů.
**Pozor:** Seznam regulovaných služeb a odvětví upravuje **vyhláška č. 408/2025 Sb.** Často skloňovaná vyhláška č. 410/2025 Sb. řeší až konkrétní bezpečnostní opatření pro poskytovatele v režimu nižších povinností.
*(Tento článek má pouze informativní charakter a nenahrazuje odbornou právní radu.)*
---
### 1. Nejdřív pojem: regulovaná je služba, ne celá firma
Základní otázka nezní „mám IT?“, ale „poskytuji službu, kterou může NÚKIB zaregistrovat jako regulovanou službu?“. Zákon definuje regulovanou službu jako službu, kterou NÚKIB registruje podle § 6 odst. 2 zákona č. 264/2025 Sb.
Pro MSP je praktické začít mapou služeb: co skutečně poskytujete zákazníkům, veřejnosti, skupinovým firmám nebo jiným organizacím. Teprve potom dává smysl posuzovat velikost podniku, odvětví a případný režim povinností.
* Sepište hlavní poskytované služby, ne pouze interní systémy.
* U každé služby určete zákazníky, zeměpisný dosah, počet uživatelů a závislosti jiných služeb.
* Oddělte interní podpůrné IT od služby, kterou firma poskytuje navenek nebo v rámci regulovaného odvětví.
### 2. Základní filtr podle ZoKB: odvětví + významnost poskytovatele
Podmínky podle § 4 ZoKB stojí na dvou krocích. První je odvětví: zákon uvádí veřejnou správu, energetiku, výrobní průmysl, potravinářský průmysl, chemický průmysl, vodní hospodářství, odpadové hospodářství, dopravu, digitální infrastrukturu a služby, finanční trh, zdravotnictví, vědu, výzkum a vzdělávání, poštovní a kurýrní služby, obranný průmysl a vesmírný průmysl.
Druhý krok je významnost poskytovatele. Podle § 4 ZoKB je podmínka splněna, pokud je poskytovatel středním nebo velkým podnikem, nebo pokud je významný pro zabezpečení důležitých společenských nebo ekonomických činností či pro bezpečnost v České republice.
**Důležitá korekce:** Detailní seznam regulovaných služeb a podmínky významnosti nestanoví zákon samotný, ale **vyhláška č. 408/2025 Sb., o regulovaných službách**.
* Pokud nejste v žádném z uvedených odvětví, obvykle nespadáte do základního rozsahu § 4.
* Pokud v odvětví jste, ověřte konkrétní službu v aktuální vyhlášce č. 408/2025 Sb.
### 3. Velikostní prahy: kdy MSP zpozorní
Velikost podniku se posuzuje podle doporučení Komise 2003/361/ES, tedy podle počtu zaměstnanců, ročního obratu a bilanční sumy. Pro orientační self-check platí tato pravidla:
* **Střední podnik:** 50–249 zaměstnanců **a zároveň** roční obrat nepřesahuje 50 mil. EUR **nebo** bilanční suma nepřesahuje 43 mil. EUR.
* **Velký podnik:** 250 a více zaměstnanců. Velkým podnikem jste i tehdy, pokud máte méně než 250 zaměstnanců, ale překračujete **oba** finanční limity současně (obrat nad 50 mil. EUR i bilanční suma nad 43 mil. EUR).
* **Malý podnik:** Méně než 50 zaměstnanců **a zároveň** roční obrat **nebo** bilanční suma nepřesahuje 10 mil. EUR.
Pro skupiny firem je potřeba dávat pozor na partnerské a propojené podniky. ZoKB má však v § 7 zvláštní pravidlo: za partnerský nebo propojený podnik se nepovažují subjekty, jejichž technická aktiva jsou **zcela oddělena** od technických aktiv používaných při poskytování regulované služby.
* Zkontrolujte zaměstnance, obrat a bilanční sumu za relevantní účetní období.
* U skupin ověřte propojené podniky; nestačí se dívat jen na jedno IČO, pokud nemáte striktně oddělenou IT infrastrukturu.
### 4. I menší firma může spadnout do regulace kvůli významu služby
Vedle základního testu podle § 4 obsahuje ZoKB i další podmínky v § 5. Ty míří na služby, jejichž narušení může mít zásadní dopady – bez ohledu na velikost firmy. Patří sem například situace, kdy by narušení služby mohlo způsobit **závažný zásah do života více než 125 000 osob**, nebo kdy je poskytovatel jediným subjektem poskytujícím danou službu v ČR.
Podle § 6 odst. 3 ZoKB lze řízení o registraci služby podle § 5 zahájit pouze z moci úřední. Pokud NÚKIB takovou službu zaregistruje, její poskytovatel automaticky spadá do režimu vyšších povinností (§ 8 odst. 3).
* Neřešte jen velikost firmy; řešte i plošný dopad výpadku vaší služby.
* Zeptejte se: jsme jediný nebo prakticky nenahraditelný poskytovatel v regionu či odvětví?
### 5. Co se stane po splnění podmínek: ohlášení, registrace a režim
Pokud poskytovatel splňuje podmínky pro registraci podle § 4 odst. 1 ZoKB, musí službu ohlásit NÚKIB **nejpozději do 60 dnů** ode dne, kdy ke splnění podmínek došlo. NÚKIB následně rozhoduje o registraci.
ZoKB rozlišuje režim vyšších a nižších povinností. Do jakého režimu spadnete, určuje zákon a prováděcí předpisy (např. vyhláška č. 409/2025 Sb. pro vyšší režim).
Pokud jste zařazeni do režimu nižších povinností, teprve v této fázi přichází na řadu **vyhláška č. 410/2025 Sb.** Ta detailně upravuje obsah a způsob zavádění bezpečnostních opatření.
### 6. Praktický self-check pro vedení MSP
Doporučený postup je jednoduchý. Výstupem by měl být krátký interní záznam, proč firma do regulace spadá nebo nespadá.
1. **Sepište služby:** Co přesně poskytujete a komu.
2. **Přiřaďte odvětví:** Podívejte se do § 4 ZoKB.
3. **Ověřte vyhlášku:** Zkontrolujte své služby proti seznamu ve vyhlášce č. 408/2025 Sb.
4. **Ověřte velikost:** Spočítejte zaměstnance a finance (včetně skupinových vazeb, nejsou-li aktiva oddělena).
5. **Posuďte dopad výpadku:** Počet uživatelů, závislosti jiných subjektů, hrozby pro zdraví či bezpečnost.
6. **Jednejte:** Pokud podmínky splňujete, hlídejte si 60denní lhůtu pro ohlášení a začněte mapovat opatření.
---
### Ověřené zdroje k dalšímu studiu
* **[1] Zákon č. 264/2025 Sb., o kybernetické bezpečnosti:** Zákony pro lidi *(Základní rámec, lhůta 60 dnů, hranice 125 000 osob a pravidla pro oddělená aktiva v § 7).*
* **[2] Vyhláška č. 408/2025 Sb., o regulovaných službách:** e-Sbírka *(Obsahuje konkrétní seznam regulovaných služeb a odvětví).*
* **[3] Vyhláška č. 410/2025 Sb.:** Zákony pro lidi *(Vyhláška o bezpečnostních opatřeních pro poskytovatele regulované služby v režimu nižších povinností).*
* **[4] Portál NÚKIB:** Jak zjistím, že spadám pod novou regulaci? *(Oficiální FAQ, metodiky a orientační pravidla pro určování velikosti podniku).*