Tato stránka je určena MSSP, SOC providerům a firmám zabývajícím se penetračním testováním, které jako poskytovatelé kritických digitálních služeb podléhají povinnostem zákona č. 264/2025 Sb. Dozvíte se konkrétní technické a organizační povinnosti, termíny a typické compliance problémy vašeho sektoru.
MSSP (Managed Security Service Providers) poskytující monitorování bezpečnosti, detekci incidentů nebo správu bezpečnostní infrastruktury; poskytovatelé SOC služeb s přístupem k datům klientů; firmy provádějící penetrační testy na komerční bázi v rámci kritické infrastruktury. Povinnost platí nezávisle na velikosti firmy, pokud poskytujete kritické digitální služby českým organizacím.
Registraci na NÚKIB a sebeevaluaci dle zákona č. 264/2025 Sb. musíte provést do 60 dnů od splnění kritérií (pro subjekty v rozsahu zákona již k 1. listopadu 2025 platil termín do 31. prosince 2025, který již uplynul). Na základě výsledků sebeevaluace se zařadíte do patřičné skupiny bezpečnostních opatření. Registrace je povinná pro všechny MSSP a SOC poskytovatele bez výjimky.
Do cca 12 měsíců od registrace musíte implementovat všechna bezpečnostní opatření odpovídající vaší zařazené skupině, včetně šifrování dat v klidu a při přenosu, řízení přístupu, auditorování a monitorování infrastruktury SOC. Jsou vyžadovány minimálně dvoufaktorová autentizace pro všechny správce a odseparování sítí pro provádění penetračních testů.
Pokud dojde k kompromitaci vaší infrastruktury či k úniku dat klientů, jste povinni ohlásit incident NÚKIB v časném varování do 24 hodin a formální notifikaci do 72 hodin. Je-li bezpečnostní incident relevantní pro bezpečnost vaších klientů, musíte jej ohlásit také jim. Finální zpráva musí být předložena nejpozději do 1 měsíce.
Musíte zavést procedury pro kontrolu bezpečnosti vašich subdodavatelů a nástrojů, které používáte při poskytování služeb. Pokud je váš dodavatel (např. výrobce SIEM, cloud poskytovatel) kompromitován, jste povinni tuto skutečnost vyhodnotit a při relevanci ohlásit jako incident ovlivňující bezpečnost vašich služeb.
Při zjištění zranitelnosti v produktech nebo službách, které používáte nebo poskytujete, jste povinni postupovat dle principů odpovědné disklosure s minimálně 90denní lhůtou pro opravu před veřejným zveřejněním. Pro kritické zranitelnosti je vyžadována okamžitá komunikace s NÚKIB.
Ano, pokud poskytujete kritické digitální služby českým organizacím (monitorování bezpečnosti, SOC, penetrační testy), jste povinni se zaregistrovat u NÚKIB do 60 dnů od splnění kritérií bez ohledu na velikost firmy (pro subjekty v rozsahu zákona již k 1. listopadu 2025 platil termín do 31. prosince 2025, který již uplynul). Registrace se provádí online na portálu NÚKIB a obsahuje sebeevaluaci bezpečnostní úrovně.
Registrace a sebeevaluace musí proběhnout do 60 dnů od splnění kritérií (pro subjekty v rozsahu zákona k 1. listopadu 2025 platil termín do 31. prosince 2025, který již uplynul), bezpečnostní opatření musí být implementována do 1 roku od doručení rozhodnutí o registraci. Pokud nejste schopni splnit technické požadavky včas, hlaste to NÚKIB a doložte akční plán. Penalizace za neplnění je až 7 milionů EUR nebo 1,4 % ročního obratu.
72 hodin se počítají kontinuálně bez přerušení (bez výjimek pro víkendy či svátky), měřeno od okamžiku, kdy si je organizace vědoma incidentu nebo kdy by měla být vědomá při řádné péči. Raná výstraha v prvních 24 hodinách však postačuje i v základní podobě — podrobnosti lze doplnit v následující notifikaci do 72 hodin.