Tato stránka je určena provozovatelům vodárenské infrastruktury, vedoucím IT bezpečnosti a compliance manažerům v ČR, kteří musí splnit povinnosti zákona č. 264/2025 Sb. o kybernetické bezpečnosti. Dozvíte se konkrétní opatření pro ochranu SCADA systémů, řízení přístupu a hlášení incidentů, která musí být zavedena nejpozději do 1 roku od doručení rozhodnutí o registraci.
Povinnost se týká všech právnických osob poskytujících služby pitné vody a operátorů čistíren odpadních vod v ČR, bez ohledu na velikost. Vedlejší podnik nebo pobočka zahraniční společnosti působící na území České republiky musí tuto povinnost splňovat, pokud má technické či organizační řízení služby v ČR.
Každý poskytovatel pitné vody a operátor čistírny, který byl v působnosti zákona již 1. 11. 2025, měl registrovat svůj subjekt u NÚKIB do 31. prosince 2025 a provést sebeevaluaci podle metodiky NIS2; nově povinné subjekty se registrují do 60 dnů od splnění kritérií. Sebeevaluace musí identifikovat kritické SCADA systémy řídící úpravu vody, čerpací stanice a distribuční sítě. Výsledkem je seznam opatření, která je třeba implementovat nejpozději do 1 roku od doručení rozhodnutí o registraci.
Všechny SCADA systémy používané při úpravě pitné vody, čerpání a distribuci musí být chráněny firewallem a izolované od korporátní sítě. Dosažení řídících systémů z internetu bez VPN s autentizací je zakázáno. Každý systém pro dávkování chemikálií (chlorování, řízení pH) musí mít změněná výchozí hesla a dvoustupňové ověření přístupu.
Oddělte operační síť (OT) od informační sítě (IT) fyzickými hranicemi nebo logickou segmentací pomocí firewallu. Čerpací stanice a úpravny musí mít kontrolu přístupu s biometrickými prvky nebo kartami. Kombinujte fyzickou bezpečnost s kybernetickou — např. uzamykání dveří místnosti s PLC je stejně důležité jako heslo k přístupu.
Při incidentu, který omezuje dodávku pitné vody nebo čištění odpadní vody pro významný počet občanů (prahová hodnota vyplyne z pokynů NÚKIB), musíte hlásit: včasné varování do 24 hodin, formální oznámení do 72 hodin a závěrečná zpráva do jednoho měsíce. Incidenty zahrnují havárie SCADA, ransomware, fyzické poškození rozvodů nebo sabotáž.
Všichni poskytovatelé IT služeb a kritického software (např. SCADA operátoři, výrobci čidel) musí být vhodně prověřeni a mít smluvně stanoveny bezpečnostní požadavky. Vaše odpovědnost za bezpečnost nezmizí — vedete seznam všech dodavatelů přístupu k operační síti a jejich bezpečnostní opatření pravidelně auditujete.
Registraci u NÚKIB jste měli provést do 31. prosince 2025, pokud jste byli v působnosti zákona již k 1. 11. 2025; nové subjekty se registrují do 60 dnů od splnění kritérií. Pokud neregistrujete včas, riskujete pokutu až 10 milionů eur nebo 2 % ročního obratu pro podstatný subjekt. Registrace se provádí prostřednictvím portálu NÚKIB — kontaktujte svou IT bezpečnostní tým nebo konzultanta.
Máte přibližně 12 měsíců od registrace na implementaci technických opatření z sebeevaluace. To znamená, že pokud se registrujete v prosinci 2025, musíte být připraveni na konci roku 2026. NÚKIB vás bude ověřovat průběžně — prioritou jsou okamžité opatření jako změna hesel a izolace SCADA od internetu.
Hlásíte incidenty, které mají dopad na dodávku pitné vody nebo fungování čistírny pro značný počet osob — konkrétní práh určí NÚKIB v pokynech. Krátký výpadek jedné čerpací stanice, který nemá vliv na celkovou distribuci, hlášen nemusí být. Avšak kybernetický útok, ransomware či sabotáž SCADA se hlásí vždy; hlášení probíhá v třech fázích — 24 hodin (včasné varování), 72 hodin (oznámení) a 1 měsíc (závěrečná zpráva).