Nový zákon o kybernetické bezpečnosti

Materiály k mapování bezpečnostních opatření dle prováděcího nařízení pro poskytovatele digitálních služeb a (i) vyhlášky pro poskytovatele v režimu vyšších povinností a (ii) standardu ISO 270001 – Přehledně mapuje vazby mezi bezpečnostními opatřeními podle prováděcího nařízení Komise (EU) 2024/2690, které se týká digitálních služeb, a vyhlášky č. 409/2025 Sb., která upravuje režim vyšších povinností poskytovatelů regulovaných služeb. Zaměřuje se na poskytovatele digitálních služeb, jako jsou např. cloud computing, datová centra, DNS služby, online tržiště či sociální platformy, a je určen zejména subjektům, u nichž dochází k souběhu dle obou regulací. Jeho cílem je usnadnit implementaci bezpečnostních opatření v situacích, kdy se překrývají požadavky obou předpisů. Obdobný materiál zveřejnila i Evropská agentura pro bezpečnost sítí a informací (ENISA) ve vztahu k standardu ISO 270001.

Materiál k významnosti incidentu v režimu nižších povinností – Poskytuje praktický návod, jak mají poskytovatelé regulovaných služeb v režimu nižších povinností sami vyhodnocovat významnost dopadu kybernetických bezpečnostních incidentů. Na rozdíl od režimu vyšších povinností zde významnost neposuzuje NÚKIB, ale přímo poskytovatel. Popisuje tříkrokový proces zahrnující stanovení únosné míry újmy, posouzení dopadů v definovaných oblastech (např. provoz služby, počet dotčených osob či citlivost dat) a aplikaci rozhodovacího pravidla. Materiál poskytuje rovněž praktické příklady.

Materiál k aplikaci přiměřenosti při zavádění bezpečnostních opatření v režimu nižších povinností – Vysvětluje, jak uplatňovat zásadu přiměřenosti při zajišťování kybernetické bezpečnosti poskytovatelem regulované služby v režimu nižších povinností podle vyhlášky č. 410/2025 Sb. Vyhláška je založena na principu tzv. performativních pravidel – stanoví cíle, nikoliv konkrétní postupy; ponechává poskytovatelům prostor zvolit vhodná opatření s ohledem na jejich velikost, technické možnosti a specifika provozu. Materiál zdůrazňuje tři klíčové body přiměřenosti: proporcionalitu (opatření musí odpovídat závažnosti rizika a bezpečnostním potřebám), ekonomickou efektivitu (náklady nesmí převyšovat přínos a možný dopad incidentu) a uživatelskou přívětivost (příliš složitá opatření mohou vést k jejich obcházení). Materiál obsahuje také praktické příklady při zavádění bezpečnostních opatření.

Materiál k významnosti incidentu v režimu nižších povinností – Poskytuje praktický návod, jak mají poskytovatelé regulovaných služeb v režimu nižších povinností sami vyhodnocovat významnost dopadu kybernetických bezpečnostních incidentů. Na rozdíl od režimu vyšších povinností zde významnost neposuzuje NÚKIB, ale přímo poskytovatel. Popisuje tříkrokový proces zahrnující stanovení únosné míry újmy, posouzení dopadů v definovaných oblastech (např. provoz služby, počet dotčených osob či citlivost dat) a aplikaci rozhodovacího pravidla. Materiál poskytuje rovněž praktické příklady.

Doporučení k (ne)poskytování informací v oblasti kybernetické bezpečnosti – Shrnuje pravidla a limity poskytování informací s ohledem na ochranu kybernetické bezpečnosti podle § 36 zákona o kybernetické bezpečnosti, zákona o svobodném přístupu k informacím a zákona o ochraně utajovaných informací. Zdůrazňuje, že informace, jejichž zveřejnění by mohlo ohrozit bezpečnostní opatření nebo zajišťování kybernetické bezpečnosti, se neposkytují, přičemž zvláštní režim se vztahuje také na informace vedené v evidencích NÚKIB. Cílem materiálu je poskytnout vodítko, jak správně aplikovat výjimky z práva na informace v praxi.

Materiál k počítání velikosti podniku – Vysvětluje, jak postupovat při určování velikostní kategorie subjektu podle nového zákona, přičemž vychází z doporučení Evropské komise 2003/361/ES o definici mikropodniků a malých a středních podniků. Velikost podniku se určuje na základě počtu zaměstnanců, ročního obratu a bilanční sumy roční rozvahy. Materiál podrobně vysvětluje majetkovou provázanost, na základě, které se mohou společnosti považovat za propojené a jejichž velikost se sčítá. Podobně vysvětluje také provázanost personální. Zdůrazňuje, že zákon zavádí několik výjimek z obecných pravidel. Tak například osoby se zcela oddělenými technickými aktivy se nepovažují za partnerské či propojené podniky. Tato výjimka se typicky může uplatnit při investování do start-upů, kde nedochází k provázání informačních systémů nebo sdílení hardwaru napříč holdingem.

Materiál k hlášení kybernetických bezpečnostních incidentů – Ozřejmuje, co je incidentem a událostí, kdo má povinnost incidenty hlásit, jaký je postup a jaké sankce hrozí za opožděné nebo neprovedené ohlášení. Incidenty musí být hlášeny prostřednictvím Portálu NÚKIB (případně e-mailem či datovou schránkou) bez zbytečného odkladu, nejpozději do 24 hodin. Proces zahrnuje prvotní hlášení, následné oznámení do 72 hodin, průběžné zprávy na výzvu a závěrečnou zprávu do 30 dnů. Speciální pravidla se vztahují na vybrané digitální služby dle nařízení Komise (EU) 2024/2690. Samotný vznik incidentu není přestupkem, přestupkem je jeho neohlášení ve stanovené lhůtě.

Materiál ke stanovení rozsahu řízení kybernetické bezpečnosti – Osvětluje klíčové pojmy, zejména rozlišení primárních aktiv (poskytované služby a informace) a podpůrných aktiv (technická, personální a organizační zajištění). Rozsah řízení musí zahrnovat všechna aktiva související s poskytováním regulované služby a tvoří základ pro další povinnosti, jako je zavádění bezpečnostních opatření či hlášení incidentů. Stanovení rozsahu probíhá ve třech krocích – určení primárních aktiv, jejich posouzení z hlediska poskytování regulované služby a určení souvisejících podpůrných aktiv. Rozsah musí být řádně zdokumentován a pravidelně aktualizován. Do doby jeho stanovení platí výchozí rozsah všech aktiv poskytovatele. Nově nabytá nebo změněná aktiva jsou automaticky součástí rozsahu, dokud nedojde k jejich řádnému posouzení a potenciálnímu vyjmutí.

Materiál k informační povinnosti podle § 19 zákona – Popisuje povinnosti poskytovatele regulované služby vůči uživatelům jeho služby podle § 19 ZKB. Poskytovatel oznámí bez zbytečného odkladu uživatelům kybernetický bezpečnostní incident s významným dopadem, pokud to považuje za vhodné z důvodu zajištění řádného poskytování regulované služby a kybernetické bezpečnosti aktiv. Posouzení, zda je vhodné informovat o incidentu s významným dopadem, vždy závisí na konkrétní situaci, okolnostech a uvážení poskytovatele regulované služby. Zákon nestanovuje přesná kritéria, kdy oznámení je či není vhodné. NÚKIB však může ve správním řízení rozhodnout, že poskytovateli uloží povinnost informovat uživatele o incidentu nebo naopak uloží zákaz informovat, přičemž v rozhodnutí vždy stanoví rozsah informační povinnosti nebo zákazu a při rozhodování zvažuje bezpečnostní otázky, nikoliv obchodní zájmy poskytovatelů.