Tato stránka je určena pro vedení a bezpečnostní týmy středních podniků (50–249 zaměstnanců) v regulovaných sektorech, které podléhají zákonu č. 264/2025 Sb. jako důležité subjekty. Seznámíte se s konkrétními povinnostmi, kritérii klasifikace a praktickými kroky pro dosažení souladu nejpozději do 1 roku od doručení rozhodnutí o registraci NÚKIB.
Podnik s 50–249 zaměstnanci v regulovaných sektorech (energetika, doprava, vodní hospodářství, zdravotnictví, veřejná správa atd.) je automaticky považován za důležitý subjekt podle přílohy II zákona č. 264/2025 Sb., pokud jeho činnost nebo služby jsou důležité pro hospodářství nebo společnost. Tuto klasifikaci si podnik musí potvrdit vlastním posouzením a ohlásit NÚKIB; subjekty v působnosti k 1. listopadu 2025 tak měly učinit do 31. prosince 2025, nové subjekty mají na registraci 60 dní od splnění kritérií.
Podnik, který byl v působnosti zákona k 1. listopadu 2025, měl do 31. prosince 2025 vypracovat a předložit NÚKIB vlastní posouzení, ve kterém prokáže svou klasifikaci jako důležitý subjekt, a registrovat se v informačním systému NÚKIB. Nové subjekty mají na tento krok 60 dní od splnění kritérií. Toto posouzení musí obsahovat základní identifikační údaje, popis činností a zdůvodnění klasifikace podle kritérií přílohy II. Bez registrace podnik nemůže využívat podpory a je v přestupku.
Podnik musí do 12 měsíců od registrace vypracovat a zavést písemnou politiku kybernetické bezpečnosti zahrnující cíle, odpovědnosti, postupy a přidělení zdrojů. Součástí politiky musí být systém řízení rizik proporcionální velikosti podniku, který identifikuje kritické aktiva (zejména SCADA systémy v energetice, zdravotnické IT, personální data) a přiměřené bezpečnostní kontroly.
Podnik je povinen zavést víceúrovňové ověřování (MFA) na všech firemních e-mailových účtech a přístupu ke cloudovým úložištím, automaticky instalovat bezpečnostní aktualizace všech systémů nejdéle do 30 dnů od vydání (kritické bez prodlení), a provádět a testovat zálohy alespoň měsíčně, včetně ověření funkčnosti obnovy. Tyto kontroly jsou minimální a musí být dokumentovány.
Podnik musí zavést a udržovat aktuální seznam všech účtů s přístupem ke kritickým systémům, prosazovat princip nejmenšího privilegia (každý pracovník má jen nezbytně nutné právo), odstraňovat přístup nejpozději do 5 pracovních dnů po skončení vztahu se zaměstnancem nebo dodavatelem, a udržovat audit přístupů minimálně za posledních 90 dnů.
Podnik musí vytvořit interní postup reagování na incidenty a je povinen hlásit significantnce incidenty NÚKIB: včasné varování do 24 hodin, oficiální oznámení do 72 hodin od zjištění, a finální zprávu do 1 měsíce. Incident musí být zaznamenán s časem detekce, rozsahem dopadu a přijatými opatřeními. Nesplnění lhůt vystavuje podnik pokutě.
Ano, podnik s 50–249 zaměstnanci v regulovaných sektorech (energetika, doprava, voda, zdravotnictví, veřejná správa atd.) je automaticky považován za důležitý subjekt podle přílohy II zákona č. 264/2025 Sb. Musíte si to potvrdit vlastním posouzením a registrovat se u NÚKIB; subjekty v působnosti k 1. listopadu 2025 tak měly učinit do 31. prosince 2025, jinak máte 60 dní od splnění kritérií. Bez registrace jste v přestupku a nemůžete žádat podporu.
Musíte poslat včasné varování do 24 hodin od zjištění incidentu (bez podrobností), oficiální oznámení do 72 hodin se základními údaji (čas, dopad, typ), a finální zprávu do 1 měsíce s analýzou příčiny a přijatými opatřeními. Zpráva musí obsahovat popis incidentu, seznam postiženého majetku a počet postiženého zařízení či osob, pokud je to relevantní.
Pro důležité subjekty podle přílohy II (vaše kategorie) hrozí pokuta až do výše 7 milionů eur nebo 1,4 % ročního obratu (podle toho, která částka je vyšší). Registrace byla povinná do 31. prosince 2025; technická opatření (MFA, patching, backupy) musí být zavedena nejpozději do 1 roku od doručení rozhodnutí o registraci, nikoli k jednotnému datu 31. prosince 2026. Nedodržení likvidity ohrožuje zejména bezpečnost firemních dat a provozní kontinuitu.