Tato stránka vás provede konkrétními kybernetickými povinnostmi pro operátory energetické sítě, výrobce elektřiny, distributory plynu a poskytovatele tepelné energie. Naučíte se, jak splnit lhůty zákona č. 264/2025 Sb. a jak zabezpečit kritickou infrastrukturu.
Comply this regulation musí všechny organizace provozující elektrizační soustavy, operátoři distribuční sítě elektřiny nebo plynu, poskytovatelé služeb v sítích městského tepla a dodavatelé pohonných hmot. Není aplikován limit velikosti; povinnost se vztahuje na všechny operátory kritické infrastruktury v energetickém sektoru bez ohledu na počet zaměstnanců.
Musíte zpracovat detailní inventář všech operačních technologií (OT), řídících systémů a SCADA zařízení připojených k elektrizační, plynárenské nebo teplárenské síti. Tyto systémy musí být fyzicky nebo logicky odděleny od standardní IT sítě prostřednictvím segmentace, aby se zabránilo přímému přístupu z kancelářských počítačů nebo internetu na kritické procesy.
Všechny vzdálené připojení k SCADA, HMI nebo IPCům musí používat šifrované protokoly (SSH, VPN s alespoň 128bitovým šifrováním), nikoli nešifrované staré normy jako Telnet nebo FTP. Přístup musí být časově omezený, logován a vyžadovat vícefaktorovou autentizaci; poskytovatel remote supportu nesmí mít přístup bez explicitního zmocnění v konkrétním čase.
Pokud dojde k výpadku elektrizační soustavy, plynárenské sítě nebo teplárenské infrastruktury s dopadem na více než jednu zemi nebo na širší region, musíte informovat NÚKIB v časovém okně: včasné varování do 24 hodin, formální oznámení do 72 hodin, finální zpráva do 1 měsíce od zjištění incidentu.
Při nákupu zařízení pro síť (transformátory, spínače, jednotky RTU, energetické řadiče) je třeba ověřit bezpečnost dodavatele: certifikáty, penetrační testy dodávaného kódu, zásady aktualizací, a zajistit, aby dodavatel neposkytoval neautorizovaný remote přístup do vašich systémů prostřednictvím zadních dvířek.
Rozvodny, věž přepínačů a kritické uzly sítě musí mít fyzickou ochranu (uzamčené vchody, zálohy přístupu), ale musí být také sledovány kybernetickými senzory: CCTV s analýzou pohybu, senzory otevření dveří s loggingem, upozornění na neoprávněné fyzické zásahy, a všechny tyto údaje musí být korelovány s IT incidenty.
Lhůta registrace u NÚKIB pro subjekty v oboru k 1. listopadu 2025 byla 31. prosince 2025 a již uplynula; nové subjekty se registrují do 60 dnů od splnění kritérií. Po registraci máte přibližně 12 měsíců na implementaci technických bezpečnostních opatření, a to do 1 roku od doručení rozhodnutí o registraci. Pro kritickou energetiku je nyní důležité mít hlášení a plánování již zavedené.
Pokud výpadek nebo kybernetický útok postihne elektrizační soustavu a vy neinformujete NÚKIB do 24 hodin (včasné varování), hrozí vám pokuta až 10 milionů EUR nebo 2 % ročního obratu. Formální oznámení se musí odeslat do 72 hodin.
NIS2 požaduje efektivní segmentaci — ideálně fyzické oddělení (samostatné kabely, přepínače bez překrývajících se VLAN), ale s důkazem může být přijata vysoká-kvalitní virtuální segmentace s access-lists, jestliže je průběžně auditována a testována penetračními testy.