Telekomační operátoři, ISP a poskytovatelé CDN služeb podléhají podle zákona č. 264/2025 Sb. statusu podstatné kritické entity se zesílenými požadavky na bezpečnost sítě, ochranu dodavatelského řetězce a hlášení incidentů. Tato stránka vás provede konkrétními povinnostmi a lhůtami.
Kvalifikují se poskytovatelé veřejných komunikačních sítí nebo služeb, včetně operátorů mobilních sítí (všechny kategorie), poskytovatelů internetu se základnou v ČR a operátorů sítí CDN s fyzickou přítomností v Česku. Podléhají zde také poskytovatelé bezdrátového přístupu, kteří obsluhují významné počty účastníků.
Musíte implementovat technické kontroly pro ochranu jádra sítě, včetně BGP route filteringu proti hijackingu, monitorování anomálií v routingu a segmentace síťové topologie. Jádro sítě (core routery, DNS resolvers) musí být chráněno před neautorizovaným přístupem. Proveďte audit všech peering vztahů a RPKI konfigurací.
Všechno síťové vybavení (routery, přepínače, bazové stanice) musí běžet na podporovaném firmware od výrobce. Stanovte proces pro inventarizaci, sledování end-of-life stavu a plánované aktualizace. Zakažte běh vybavení bez bezpečnostních záplat starších než 12 měsíců.
Zajistěte, že všichni klíčoví dodavatelé síťového vybavení mají zavedené bezpečnostní programy a transparentně komunikují zranitelnosti. Vyžadujte certifikáty původu hardware nebo použijte schválené distributory. Implementujte kontrolu nad firmware a softwarem – zakažte open-source komponenty bez známého původu v kritických prvcích.
Přihlaste každý bezpečnostní incident (včetně poruch ovlivňujících významný počet účastníků) NÚKIB: v řádu 24 hodin včasné varování, do 72 hodin oznámení, do 1 měsíce finální zpráva. Incidenty musí obsahovat technický popis, počet postižených účastníků a čas obnovy služby.
Bezpečnost zařízení sloužícího pro zákonné odposlechy musí být zvlášť chráněna. Implementujte přísné řízení přístupu, kompletní audit záznamů a šifrování komunikace. Oddělte tento subsystém od běžné operační sítě a omezujte přístup pouze na autorizovaný personál.
Termín registrace a odevzdání samohodnocení byl 31. prosince 2025. Po registraci musíte implementovat technická bezpečnostní opatření, nejpozději do 1 roku od doručení rozhodnutí o registraci. Zákon je nyní v platnosti a tyto povinnosti se na vás vztahují.
Podstatná kritická entita (kategorie telekomunů podle přílohy I) může být penalizována až 10 milionů EUR nebo 2% celosvětového obratu, podle toho která suma je vyšší. Porušení povinnosti hlášení incidentů může být klasifikováno jako zvlášť těžké.
Nezhlášení incidentu do 72 hodin porušuje zákon č. 264/2025 Sb. a NÚKIB jej může vyšetřovat a uložit pokutu. Současně tím operátor riskuje, že incident se Subsequently objeví v médiích bez jeho kontroly a poškodí důvěru účastníků v bezpečnost služby.