Stránka je určena pro vedení bezpečnosti a compliance oddělení neobank, platebních procesorů a platforem pro digitální půjčky. Dozví se zde konkrétní povinnosti dle zákona č. 264/2025 Sb., lhůty registrace a technické požadavky na kybernetickou bezpečnost.
Fintech společnosti spadají pod NIS2 v Česku, jsou-li poskytovatelé platebních služeb, neobanky nebo platformy pro digitální půjčky s více než 250 zaměstnanci nebo s ročním obratem nad 50 milionů EUR. Malé fintech startupy s méně než 50 zaměstnanci nemusí být registrovány jako významné osoby, ale musí splnit základní povinnosti. Všechny subjekty spadající pod Přílohu II zákona č. 264/2025 Sb., které byly v působnosti zákona k 1. listopadu 2025, se musely zaregistrovat do 31. prosince 2025; nové subjekty se registrují do 60 dnů od splnění kritérií.
Fintech společnosti a procesory plateb musí zavést a udržovat systém řízení ICT rizik odpovídající rozsahu jejich služeb (zpracování plateb, správa klíčových dat zákazníků). Tento systém musí zahrnovat identifikaci kritických systémů, pravidelné audity bezpečnosti a plány obnovy po havárii. Povinnosti se vykládají úměrně počtu zpracovávaných transakcí a počtu uživatelů platformy.
Každá fintech platforma musí provádět bezpečnostní testy svých platebních API, mobilních aplikací a webových rozhraní minimálně jedenkrát ročně a po každé významné aktualizaci. Testování musí zahrnovat testování zranitelností, analýzu kódu a penetrační testy. Výsledky testů a nápravné opatření musí být dokumentovány a archivovány po dobu nejméně 3 let.
Pokud kybernetický incident postihne zpracování plateb, dostupnost služby nebo bezpečnost údajů zákazníků, musí fintech společnost oznámit NÚKIB včasné varování do 24 hodin a formální oznámení do 72 hodin od zjištění incidentu. Hlášení musí obsahovat popis incidentu, počet ovlivněných uživatelů, přijaté opatření a kontakt na odpovědnou osobu. Konečná zpráva se podává do jednoho měsíce.
Fintech společnosti musí mít písemné smlouvy se všemi poskytovateli cloudových služeb, hostingů a platebních bran, které obsahují výslovné povinnosti v oblasti kybernetické bezpečnosti a práv na audit. Každý třetí subjekt zpracovávající citlivá data (šifrovací klíče, údaje o účtech) musí projít bezpečnostním posouzením. Provozovatelé fintech platforem odpovídají za incidenty u svých subdodavatelů.
NIS2 a zákon č. 264/2025 Sb. se vztahují na stejné subjekty jako PSD2 (směrnice o platebních službách) a GDPR. Fintech společnosti musí zajistit, aby jejich politiky ochrany dat zákazníků splňovaly obě regulace — nešifrované přenosy údajů, slabé autentizace a nejasné výběry souhlasu porušují jak NIS2, tak GDPR. Audit souladu s oběma předpisy se provádí souběžně.
Všechny fintech společnosti a procesory plateb spadající pod Přílohu II, které byly v působnosti zákona k 1. listopadu 2025, musely být zaregistrovány do 31. prosince 2025 na webovém portálu NÚKIB. Po registraci mají přibližně 12 měsíců na implementaci technických bezpečnostních opatření (do 1 roku od doručení rozhodnutí o registraci).
NÚKIB se musí oznámit incidents, které postihují dostupnost platebních služeb, bezpečnost dat nebo integritu transakcí — lhůta 24 hodin (včasné varování) a 72 hodin (formální oznámení). DPA (úřad pro ochranu osobních údajů) se oznamuje při úniku osobních údajů — také do 72 hodin. Jeden incident může vyžadovat hlášení oběma stranám.
Pokuty za nedodržení zákona č. 264/2025 Sb. pro významné osoby (včetně fintech) činí až 7 milionů EUR nebo 1,4 % ročního obratu (je-li vyšší). Pokud fintech společnost neoznamuje incidenty v lhůtě 72 hodin nebo neprovádí bezpečnostní testy, vybírá se pokuta v horní části rozmezí.