Tato stránka je určena vlastníkům a compliance vedoucím B2B SaaS aplikací a software vendorů s klienty v EU. Dozviete se konkrétní technické a procesní povinnosti, které musíte splnit – registrace proběhla do 31. prosince 2025 a technická opatření musíte zavést nejpozději do 1 roku od doručení rozhodnutí o registraci, nikoli k jednotnému datu 31. prosince 2026.
B2B SaaS společnosti, software vendoři a operátoři digitálních platforem jsou klasifikováni jako důležité entity podle Přílohy II zákona č. 264/2025 Sb., pokud poskytují služby podnikům v EU a jejich výpadek by měl negativní vliv na hospodářství nebo bezpečnost v EU. To zahrnuje i menší poskytovatele, kteří oslovují kritické sektory nebo mají desítky až stovky podnikových klientů.
Musíte dokumentovat a implementovat formal Security Development Lifecycle zahrnující bezpečnostní recenze kódu, statickou analýzu a testování již během vývoje. Požadavek se konkrétně týká: definování bezpečnostních cílů pro každou release, školení vývojářů v OWASP Top 10, code review s fokusem na bezpečnost a zavedení automatizovaných testů zranitelností v CI/CD pipeline.
Zveřejněte veřejně dostupnou politiku, která popisuje jak a kam mohou bezpečnostní výzkumníci hlásit zranitelnosti (secure.txt, bug bounty program nebo email). Zavažte se vydávat bezpečnostní patche v slatech podle kritičnosti: kritické zranitelnosti do 7 dnů, vysoké do 30 dnů, střední do 60 dnů. Tuto politiku musíte oznámit na NÚKIB.
Při podezření na bezpečnostní incident (data breach, ransomware, DDoS) musíte poslat early warning na NÚKIB do 24 hodin. Formální notifikaci pak do 72 hodin a podrobnou zprávu do 1 měsíce. Pokud incident postihuje osobní údaje vašich klientů, musíte také notifikovat jejich určené kontakty a splnit GDPR povinnosti.
Zavedete automatizované skenování všech třetích stran a open-source knihoven v dependency management (npm, pip, Maven atd.) přímo v CI/CD. Musíte pravidelně aktualizovat závislosti, sledovat CVE databáze a mít proces pro řešení známých zranitelností. Zvažte použití SBOM (Software Bill of Materials) pro viditelnost všech komponent.
Proveďte alespoň jednou ročně profesionální penetrační test produkčního prostředí, pokud to bezpečnost vašeho řešení umožňuje. Test musí pokrývat nové funkce přidané od posledního testu. Výsledky musíte zdokumentovat a vytvořit remediační plán. Pro SaaS aplikace s citlivými daty by měl test proběhnout každých 6 měsíců.
Zákon č. 264/2025 Sb. vstoupil v platnost 1. listopadu 2025. Entity, které již spadaly do působnosti zákona, se musely zaregistrovat a předložit self-assessment povinností do 31. prosince 2025. Technické opatření (SSDLC, testování, incident reporting systémy) musíte implementovat nejpozději do 1 roku od doručení rozhodnutí o registraci, nikoli k jednotnému datu 31. prosince 2026.
Za porušení notification povinností hrozí pokuty až 7 milionů EUR nebo 1,4 % vašeho ročního obratu (u důležitých entit). Navíc NÚKIB může nařídnout okamžité nápravné opatření a zákazníci mohou žádat náhradu škody za pozdní notifikaci.
Ano. Příloha II klasifikace pro poskytovatele digitálních platforem a software vendorů není vázaná na velikost či počet zaměstnanců, ale na dopad vašeho řešení na EU hospodářství a bezpečnost. Pokud máte desítky až stovky podnikových klientů v EU, ste považováni za důležitou entitu a musíte se registrovat.