🛡️Zákon o kybernetické bezpečnosti IV: Jaké hrozí sankce?

Dne 1. 11. 2026 uplyne rok ode dne, kdy zákon o kybernetické bezpečnosti[1] (dále jen „ZOKB“)  nabyl účinnosti. Dosavadní pozornost povinných subjektů se soustředila především na orientaci v nové právní úpravě, samoidentifikaci z hlediska regulovaných služeb a přípravu na plnění dvou zásadních povinností: zavádět a provádět bezpečnostní opatření pro každou regulovanou službu (§ 13 odst. 4 ZOKB) a hlásit kybernetické bezpečnostní incidenty (§ 15 odst. 4 ZOKB).

Komu hrozí sankce?

Lhůta pro splnění obou povinností se odvíjí od doručení rozhodnutí NÚKIB[2] o registraci regulované služby. Společnostem a subjektům, které se registrovaly do konce roku 2025 a rozhodnutí o registraci jim bylo doručeno počátkem února 2026, tak roční lhůta uplyne počátkem února 2027.

Stejně jako jiné právní předpisy stanoví i ZOKB sankce za porušení povinností.

Komu hrozí sankce podle ZOKB?

Podle ZOKB se přestupku mohou dopustit zejména následující osoby:

1. Poskytovatel regulované služby – v režimu vyšších i nižších povinností, případně poskytovatel regulované služby, který je zároveň poskytovatelem strategicky významné služby[3].

U poskytovatelů regulovaných služeb může protiprávní jednání spočívat především v neplnění zákonem stanovených povinností. Může jít například o neohlášení změny regulované služby nebo kontaktních údajů, neurčení či neevidování primárních nebo podpůrných aktiv, nezavedení nebo neprovádění bezpečnostních opatření, výběr dodavatelů v rozporu s požadavky bezpečnostních opatření anebo neposkytnutí informací či součinnosti při zvládání incidentu. Výčet přestupků poskytovatelů regulovaných služeb obsahuje § 59 ZOKB.

Za tyto přestupky může být poskytovateli regulované služby uložena pokuta až do výše 250.000.000 Kč nebo až do výše 2 % čistého celosvětového obratu dosaženého podnikem, jehož je poskytovatel součástí – typicky v případě propojených podniků či koncernů.

2. Další osoby v oblasti kybernetické bezpečnosti

ZOKB v § 60 pamatuje také na subjekty, které poskytovateli regulovaných služeb nejsou, ale buď by jimi být měly, nebo jim zákon ukládá jiné povinnosti. U fyzických osob může jít například o porušení povinnosti mlčenlivosti zaměstnancem NÚKIB; fyzické i právnické osoby se mohou dopustit nesplnění ohlašovací povinnosti, neposkytnutí součinnosti nebo nesplnění povinnosti uložené rozhodnutím.

Odpovědnost může dopadat také na osoby vykonávající specifické činnosti související s kybernetickou bezpečností, například na poskytovatele služeb registrace doménových jmen nebo správce a provozovatele registru domény nejvyšší úrovně. I těmto osobám mohou být uloženy citelné pokuty, přestože samy nejsou poskytovateli regulovaných služeb. U nejzávažnějších přestupků je maximální výše pokuty stanovena stejně jako u poskytovatelů regulované služby.

3. Osoby v souvislosti s certifikací kybernetické bezpečnosti

Samostatnou skupinu tvoří přestupky v oblasti certifikace kybernetické bezpečnosti, které upravuje § 61 ZOKB. Fyzické i právnické osoby se jich mohou dopustit například zneužitím známky evropského systému certifikace kybernetické bezpečnosti nebo nesplněním informačních povinností držitele evropského certifikátu kybernetické bezpečnosti. Také zde mohou být sankce velmi vysoké – maximální pokuta činí 50 000 000 Kč.

Pokuta není jediným trestem

Přestupky podle ZOKB projednává NÚKIB. Na řízení se použijí obecné předpisy, především přestupkový zákon[4], s dílčími odchylkami vyplývajícími ze ZOKB – zejména s vyloučením institutu poškozeného. Pokuta přitom není jediným správním trestem, který může NÚKIB po uznání osoby vinnou uložit.

Podle závažnosti přestupku a dalších okolností může jít také o napomenutí, zákaz činnosti, propadnutí věci nebo náhradní hodnoty či zveřejnění rozhodnutí o přestupku (§ 35 přestupkového zákona).

ZOKB a jeho prováděcí předpisy představují stále poměrně novou právní úpravu. Lze proto očekávat, že zejména u méně závažných pochybení bude NÚKIB zpočátku poskytovat metodickou pomoc a ukládat opatření k nápravě. Katalog správních trestů a výše pokut však ukazují, že s přibývajícím časem od nabytí účinnosti zákona, ustalováním výkladu prováděcích předpisů a vydáváním metodických stanovisek může NÚKIB přistupovat i k citelným sankcím. Zákonodárce tím vysílá jasný signál: kybernetická bezpečnost je důležité téma a plnění souvisejících povinností nelze podceňovat.

Pokud jste dosud neposoudili, jaké povinnosti podle nové právní úpravy dopadají právě na Vaši společnost a zda jste připraveni je včas plnit, je nejvyšší čas začít. Nejste-li si jisti, ozvěte se a společně vyhodnotíme, co je pro Vás relevantní a jaké kroky je potřeba přijmout.

V příštím díle se podíváme na odpovědnost vrcholového vedení společností.

Dále by vás mohlo zajímat:

🛡️Zákon o kybernetické bezpečnosti III: Jak kritická infrastruktura mění pravidla hry i režimy povinností

🛡️Zákon o kybernetické bezpečnosti – část II: Jaké existují režimy povinností?

🛡️Zákon o kybernetické bezpečnosti – část I: Kdo je regulovaným subjektem?

[1] zákon č. 264/2025 Sb., o kybernetické bezpečnosti

[2] Národní úřad pro kybernetickou a informační bezpečnost

[3] tomuto pojmu se budeme věnovat v některém z příštích dílů kyberseriálu

[4] zákon č. 250/2016 Sb., o odpovědnosti za přestupky a řízení o nich