Tato stránka je určena ředitelům IT a bezpečnosti stavebních firem, projektovým manažerům s BIM systémy a vedoucím staveb se senzory IoT. Naučíte se, jaké konkrétní požadavky zákon č. 264/2025 Sb. klade na vaši organizaci a jak splnit registrační povinnost u NÚKIB do 60 dnů od splnění kritérií a zavést bezpečnostní opatření do 1 roku od doručení rozhodnutí o registraci.
Stavební společnosti s více než 250 zaměstnanci nebo obratem přesahujícím 50 milionů eur, které provozují BIM platformy, systémy řízení projektů nebo IoT senzory na stavbách spadající do kritické infrastruktury (vodohospodářství, energetika, doprava). Povinnost platí pro právnické osoby registrované v ČR operující v doméně stavebnictví a inženýrství.
Stavební firmy musí zajistit autentifikaci a kontrolu přístupu ke všem BIM datům a plánům kritické infrastruktury (zejména pro projekty vodohospodářské, energetické nebo dopravní). Všechny sdílené dokumenty na cloudových platformách musí být chráněny šifrovacím klíčem a přístupem omezeným pouze na autorizované osoby. Implementujte Multi-Factor Authentication (MFA) pro všechny uživatele BIM systémů do 31. drugih 2026.
Před přidělením přístupu k citlivým stavebním systémům musí vašich 50 a více subdodavatelů či svázaných podnikatelů povinně procházet bezpečnostní auditem IT infrastruktury. Vyžadujte od nich doklady o minimálním standardu bezpečnosti (např. základní ISMS nebo bezpečnostní audit). Tento audit musí být opakován každých 12 měsíců.
Chytré staveniště se senzory (monitorování vlhkosti, teploty, bezpečnosti) musí být odděleny od kancelářní sítě pomocí vlastní podsítě nebo VLAN. Zamezením přímému připojení IoT zařízení k hlavní síti se snižuje riziko laterálního pohybu útočníka. Všechny IoT prvky musejí mít standardní hesla změněna a měly by být aktualizovány alespoň jedenkrát za šest měsíců.
V případě podezření na narušení bezpečnosti systému BIM, ztráty dat o kritické infrastruktuře nebo neoprávněného přístupu k projektům musíte NÚKIB informovat včasným varováním do 24 hodin. Následuje formální oznámení do 72 hodin a finální zpráva do jednoho měsíce. Tyto povinnosti platí bez ohledu na velikost nebo dosah incidentu.
Stavební firmy musí provádět minimálně jedenkrát ročně cvičení či penetrační testy zaměřené na ochranné prvky BIM a IoT systémů. Zaměstnanci s přístupem ke kritickým datům musí absolvovat školení bezpečnosti nejméně dvakrát ročně, které se zaměřuje na praktické hrozby (phishing, sociální inženýrství, ztráta hesel). Dokumentujte všechna cvičení a školení pro kontrolu NÚKIB.
Termín pro registraci jako důležitá entita, pokud jste již spadali do rozsahu zákona k 1. listopadu 2025, byl 31. prosince 2025 a již uplynul. Nové entity se registrují u NÚKIB do 60 dnů od splnění kritérií. Musíte se zaregistrovat u NÚKIB prostřednictvím jejich portálu. Pokud jste stavební firma s více než 250 zaměstnanci nebo obratem přesahujícím 50 milionů eur a provozujete BIM nebo IoT systémy pro kritickou infrastrukturu, registrace je povinná.
Pokuty pro důležitou entitu mohou dosáhnout až 7 milionů eur nebo 1,4% vašeho ročního obratu. Pokud nedokončíte implementaci do přibližně 12 měsíců od registrace (tedy do konce 2026), NÚKIB může zahájit správní řízení a vyměřit pokutu bez ohledu na to, že jste se zaregistrovali.
Musíte podat včasné varování NÚKIB do 24 hodin od zjištění podezření na incident. Následně musíte poslat formální oznámení do 72 hodin a závěrečnou zprávu do jednoho měsíce. Pokud jde o projekt kritické infrastruktury a data obsahují plány vodovodů či energetiky, je hlášení povinné bez výjimek.