Tato stránka vysvětluje povinnosti vyplývající ze zákona č. 264/2025 Sb. o kybernetické bezpečnosti pro všechny ústředné úřady, krajské úřady, obce a veřejné agentury poskytující digitální služby občanům. Dozvíte se, jak se registrovat, jaká technická opatření implementovat a jak hlásit bezpečnostní incidenty.
Povinnost NIS2 se vztahuje na všechny ústředné státní úřady, ministerstva, krajské úřady, městské a obecní úřady a příspěvkové organizace spravující veřejné digitální služby — bez ohledu na počet zaměstnanců nebo velikost rozpočtu. Kritériem není velikost, ale funkce: poskytujete-li občanům e-government služby, spravujete údaje o fyzických osobách nebo zajišťujete kritickou infrastrukturu (elektřina, voda, doprava), podléháte NIS2 bez výjimky.
Každá státní a místní instituce musí zaregistrovat svou činnost v portálu NÚKIB a podat sebepopis své aktuální bezpečnostní pozice — včetně inventáře IT systémů, datových schránek a e-government portálů. Sebepopis není papírová formálnost: NÚKIB jej bude auditovat a na jeho základě bude požadovat implementaci chybějících kontrol. Doporučujeme začít s mapováním již nyní, protože lhůta pro registraci již uplynula a technická bezpečnostní opatření musí být zavedena nejpozději do 1 roku od doručení rozhodnutí o registraci NÚKIB pro daný subjekt.
Systémy poskytující služby občanům (portály pro daňové přiznání, zdravotnictví, registrace vozidel) musí splňovat pokyny NIS2: Multi-Factor Authentication pro přístup pracovníků, encryption dat v klidu i při přenosu, segmentace sítě mezi veřejnými a interními systémy, detekce anomálií v přístupu. Legacy e-government systémy běžící na Windows Server 2008 nebo neupravovaných databází nelze toliko bezpečnostně aktualizovat — vyžadují architektonickou záměnu v 12 měsících po registraci.
Jakýkoliv útok nebo selhání IT infrastruktury, které zpomalí nebo přeruší veřejné služby (např. datacentra, webové portály, email na úřadech), musí být nahlášen NÚKIB v rámci 24 hodin jako včasné varování, následně v plné podobě do 72 hodin. Hlášení se nepředává prostřednictvím papírů: NÚKIB má online formulář a všechny incidenty musí být v systému NÚKIB viditelné v reálném čase. Týdenní zpoždění je porušením zákona s rizanjem pokuty.
Každá veřejná instituce kupující software, cloudové služby nebo IT outsourcing (obzvláště pro e-government funkce) musí nyní zařadit do smlouvy s dodavatelem bezpečnostní požadavky: certifikace ISO 27001, penetrační testy, vyjádření bezpečnostního auditu, záväzky SLA na dostupnost a zotavení po havárii. Agentura, která si najme outsourcer bez těchto podmínek, zůstává odpovědná za incident způsobený porušením bezpečnosti u dodavatele — NÚKIB neuznává vinu dodavatele jako výmluvu.
Všechny státní a místní instituce musí zajistit ročně bezpečnostní školení pro všechny pracovníky pracující s IT systémy — zvlášť pak pro ty, kteří mají přístup k osobním údajům či citlivým systémům (databanky, email, portály). Školení nesmí být jednohodinová webináře, ale musí zahrnovat identifikaci phishingu, správu hesel, hlášení incidentů a základní bezpečnostní protokoly. Zaměstnanci bez školení nesmí mít přístup k systémům subjektu do konce roku 2025.
Lhůta pro registraci uplynula 31. prosince 2025. Každý ústřední a místní úřad, obec a veřejná agentura, který byl v působnosti zákona k 1. listopadu 2025, musel do tohoto data zaregistrovat svou činnost v portálu NÚKIB a podat sebepopis své aktuální IT infrastruktury a bezpečnostních opatření. Nové subjekty se registrují průběžně do 60 dnů od splnění kritérií. Sebepis se neodevzdává papírově — portál NÚKIB je online a přispívá se přes web.
Pro podstatné subjekty (essential entities) — čímž jsou všechny státní a místní úřady bez výjimky — je maximální pokuta až 10 milionů eur nebo 2 % celkového ročního obratu institutu za nejzávaznější porušení (např. nehlášený incident, absence technických opatření). Menší porušení (např. nekompletní sebepopis) mohou stát 1–5 milionů eur. Nejdůležitější je, že NÚKIB má právo naříditi nápravná opatření s pevným termínem — v případě nedodržení může naříditi odpojení služby od veřejné sítě.
Po registraci (do 31. prosince 2025) má každá instituce přibližně 12 měsíců (tedy do konce roku 2026) na implementaci klíčových technických opatření (MFA, encryption, SIEM, segmentace sítě). Pokud registrační sebepopis odhalí kritické mezery (např. neexistence firewall, přístup bez ověřování do databází občanů), NÚKIB může stanovit kratší lhůtu nebo naříditi okamžité uzavření nejnebezpečnějších služeb. Nedoporučujeme čekat na registraci — začněte s přípravou bezpečnostních projektů nyní.