Právní kanceláře a poskytovatelé právních služeb v ČR řešící citlivou litigaci a transakční data jsou od 1. listopadu 2025 povinny zajistit kybernetickou bezpečnost dle zákona č. 264/2025 Sb. (ZoKB). Tento průvodce vysvětluje konkrétní povinnosti, lhůtu registrace do 60 dnů od naplnění kritérií (pro subjekty v působnosti od 1. listopadu 2025 platila lhůta 31. prosince 2025, již uplynulá) a praktické kroky k implementaci bezpečnostních opatření.
Právní kanceláře a poskytovatelé právních služeb jsou klasifikovány jako důležité entity dle přílohy II zákona č. 264/2025 Sb., pokud zpracovávají citlivá klientská data týkající se litigace, M&A transakcí nebo财financial poradenství. Povinnost se vztahuje na všechny kanceláře, které uchovávaná data považují za kritická pro kontinuitu práce klientů nebo která by její ztráta významně poškodila právní pozici klienta.
Právní kanceláře musí zajistit šifrování veškerých údajů o klientech a případech jak v klidu (at rest), tak při přenosu (in transit), s cílem chránit údaje chráněné advokátní klientelou dle GDPR a českého práva. Tato data nesmí být nikdy sdílena přes nešifrované emaily ani ukládána na nechráněné lokální počítače. Implementace koncového šifrování pro dokumenty a korespondenci je povinným minimem.
Všechny systémy řízení případů (case management, e-discovery platformy) a úložiště dokumentů musí mít implementovánu víceúrovňovou autentizaci (MFA) pro všechny uživatele. Oprávnění k přístupu musí být přidělena na základě principu nejmenšího práva, přičemž musí být regulárně auditovány a zdokumentovány. Přístup externí vůči kanceláři (外部 třetí strany, externí právníci, IT podpora) musí být vždy zapsán a omezen na konkrétní případy.
Bezpečnostní incidenty ovlivňující data klientů nebo běh litigace musí být hlášeny NÚKIB v časné výstraze do 24 hodin od zjištění a formální notifikaci do 72 hodin. Právní kanceláře musí mít vypracovaný plán řízení incidentů a obnovy po havárii, který zajistí kontinuitu služeb při útoku nebo výpadku dat. Finální zpráva o incidentu musí být postoupena do 1 měsíce.
Všichni dodavatelé IT služeb, cloudových úložišť a právnických software (např. case management, billing systémy) musí splňovat NIS2 standardy a jsou předmětem auditu a smlouv o bezpečnosti. Právní kanceláře jsou zodpovědny za ověření bezpečnostní compliance svých dodavatelů a musí v smluvách zajistit právo na bezpečnostní audity. Přechod na nové poskytovatele musí zajistit bezpečný přesun a smazání všech dat ze starého systému.
Právní kanceláře, které byly v působnosti zákona k 1. listopadu 2025, měly do 31. prosince 2025 provést sebeohodnocení dle zákona č. 264/2025 Sb. a registrovat se u NÚKIB jako důležitá entita (lhůta již uplynula); nové subjekty mají 60 dní od naplnění kritérií. Technická bezpečnostní opatření (šifrování, MFA, monitorování) musí být zavedena nejpozději do jednoho roku od doručení rozhodnutí o registraci NÚKIB pro danou službu, tedy individuálně podle data registrace. Dokumentace o technických a organizačních opatřeních musí být dostupná pro NÚKIB.
Právní kanceláře v působnosti zákona k 1. listopadu 2025 se měly registrovat do 31. prosince 2025 u NÚKIB a provést sebeohodnocení dle zákona č. 264/2025 Sb. (lhůta již uplynula); nové subjekty mají 60 dní od naplnění kritérií. Technická bezpečnostní opatření (šifrování, MFA, incident handling) musí být zavedena nejpozději do jednoho roku od doručení rozhodnutí o registraci NÚKIB, individuálně pro každý subjekt.
Pokuty pro důležité entity mohou dosáhnout až 7 milionů EUR nebo 1,4 % roročního obratu, v závislosti na závažnosti porušení. Sankce se vztahují na nedostatečnou ochranu dat, selhání v hlášení incidentů a nedostatek bezpečnostních opatření.
Časná výstraha musí být zaslána NÚKIB do 24 hodin od zjištění incidentu, formální notifikace do 72 hodin a finální zpráva do 1 měsíce. Zpoždění hlášení může být klasifikováno jako další porušení povinností.