🛡️Zákon o kybernetické bezpečnosti III: Jak kritická infrastruktura mění pravidla hry i režimy povinností

Dne 17. 7. 2026 totiž vláda vydala dlouho očekávané nařízení č. 127/2026 Sb., o základních službách a kritériích významnosti podle zákona o kritické infrastruktuře (dále jen „nařízení o základních službách“). Toto nařízení leželo v legislativním procesu více než rok takřka bez povšimnutí, aby následně bezprostředně před svým schválením prošlo poměrně zásadní změnou a účinnosti nabylo hned následujícího dne.

Jak nás ale v rámci seriálu o kybernetické bezpečnosti zajímá kritická infrastruktura?

V minulém díle jsme popisovali, jaké jsou podle zákona o kybernetické bezpečnosti (dále jen „ZOKB“)[1] a jeho souvisejících prováděcích předpisů režimy povinností, tedy vyšší a nižší. Kritická infrastruktura je sice svébytnou oblastí, ale s kybernetickou bezpečností je úzce provázána.

Podle § 5 písm. d) ZOKB totiž platí, že podmínky pro registraci regulované služby jsou splněny i tehdy, pokud jde o službu, jejíž poskytovatel je subjektem kritické infrastruktury. V takovém případě je regulovanou službou právě služba, která odpovídá prvku kritické infrastruktury, který byl u tohoto subjektu určený. Takový subjekt potom spadá do režimu vyšších povinností vždy, bez ohledu na velikost podniku, což vyplývá z na první pohled nenápadného pravidla v § 8 odst. 3 ZOKB.

To prakticky znamená, že ZOKI[2] může pod režim ZOKB vtáhnout i ty společnosti, kterých by se jinak netýkal, anebo způsobit změnu režimu z nižšího na vyšší u těch společností, které jsou nebo by měly být registrovány v režimu nižším.

Praktický příklad

Společnost ABC, s.r.o., je středním podnikem[3] podnikajícím v oboru mlékárenství. Podle § 4 odst. 1 ZOKB ve spojení s bodem 8.1 přílohy vyhlášky o regulovaných službách spadá do režimu nižších povinností kybernetické bezpečnosti bez dalšího. Pokud však ročně vyrobí více než 500.000.000 litrů mléka[4], splní současně kritérium významnosti pro základní službu „výroba potravin“ dle § 10 ZOKI a nařízení o základních službách. Tím splní podmínky poskytovatele základní služby dle § 2 odst. 1 písm. b) ZOKI, a tedy i předpoklady pro to, aby byla poskytovatelem regulovaných služeb v režimu vyšších povinností podle § 5 písm. d) ve spojení s § 8 odst. 3 ZOKB.

Automatická změna režimu?

Tato konverze může být pro mnoho společností a subjektů nejen nečekaná, ale také nepříjemná, neboť znamená, že dosavadní přípravy, které činily k tomu, aby splnily požadavky pro nižší režim, bude nutné přepracovat a uzpůsobit směrem k režimu vyššímu. Pozitivní zprávou je, že k automatické změně režimu nedochází. Samotné splnění kritéria významnosti tedy ještě bez dalšího neznamená, že se v daném okamžiku sám změní režim kybernetické bezpečnosti.

Poté, co Ministerstvo vnitra rozhodne o zařazení poskytovatele základní služby na seznam subjektů kritické infrastruktury, je o tom informován NÚKIB[5]. Ten pak v rámci správního řízení, ve kterém má subjekt stejná procesní práva jako v kterémkoliv jiném řízení, rozhoduje o registraci regulované služby. Od okamžiku vydání rozhodnutí o registraci regulované služby (v režimu vyšších povinností) pak dotčenému subjektu budou plynout nové lhůty pro to, aby splnil své povinnosti vyplývající ze ZOKB (§ 9 odst. 2 ZOKB), ať už jde o 30denní lhůtu k nahlášení údajů NÚKIB[6] nebo o roční lhůtu k zavádění a provádění bezpečnostních opatření a hlášení kybernetických bezpečnostních incidentů[7].

Kritéria významnosti 

Kromě prvotního úkolu posoudit, zda subjekt – tedy Vy či Vaše společnost – neposkytuje regulovanou službou podle vyhlášky o regulovaných službách, tak legislativa všem subjektům připravila úkol nový: posoudit, zda nesplňuje kritéria významnosti podle nařízení o základních službách. Pokud ano, je potřeba to co nejdříve oznámit příslušnému ministerstvu, jinému správnímu úřadu, České národní bance nebo Ministerstvu vnitra (podle toho, o jakou službu se jedná; povinnost upravuje § 9 ZOKI), které tuto informaci následně předá NÚKIB. Ten pak zahájí řízení, jehož důsledkem bude zařazení mezi subjekty podléhající režimu vyšších povinností.

Určení, zda a případně v jakém rozsahu určitá společnost spadá pod ZOKB nebo ZOKI, jaká je mezi tím souvislost a případná provázanost, může být složitá. Právních předpisů, které tyto oblasti upravují, bylo v nedávné době vydáno velké množství – a další stále přibývají.

Nejste-li si jisti, zda a případně jaká regulace se Vás bude týkat, ozvěte se a společně posoudíme, co je pro Vás relevantní a jaké kroky je případně potřeba přijmout. V mezidobí pro Vás připravíme další díl tohoto kybernetického seriálu – tentokrát o odpovědnosti vrcholového vedení společností.

Dále by vás mohlo zajímat:

Zákon o kybernetické bezpečnosti – část I: Kdo je regulovaným subjektem?

Zákon o kybernetické bezpečnosti – část II: Jaké existují režimy povinností?

[1] tedy zákona č. 264/2025 Sb., o kybernetické bezpečnosti

[2] zákon č. 266/2025 Sb. Zákon o odolnosti subjektů kritické infrastruktury a o změně souvisejících zákonů (zákon o kritické infrastruktuře)

[3] ve smyslu doporučení Komise 2003/361/ES, s úpravou dle § 7 ZOKB

[4] hranice objemu výroby je uvedena v čl. XI písm. A, b) nařízení č. 127/2026 Sb.

[5] Národní úřad pro kybernetickou a informační bezpečnost

[6] § 11 odst. 4 ZOKB

[7] § 13 odst. 4, § 15 odst. 4 ZOKB