CyberPrep

Zákon o kybernetické bezpečnosti: co se změnilo od 2014

Vydáno 6. 11. 2026 · fakta ověřena k 4. 11. 2026 · 5 min čtení

Zákon o kybernetické bezpečnosti 181/2014 Sb. a nový zákon 264/2025 Sb.: kdo pod něj spadá, lhůty hlášení incidentů, pokuty a co si ze změny vzít.

Od 1. 11. 2025 platí zákon č. 264/2025 Sb., který nahradil zákon o kybernetické bezpečnosti č. 181/2014 Sb. Starý zákon reguloval hlavně konkrétní informační systémy, nový reguluje služby v 15 odvětvích a dopadá na mnohem víc organizací. Incident se hlásí do 24 hodin a pokuty jsou až 250 mil. Kč nebo 2 % obratu.

Jak dlouho platil starý zákon o kybernetické bezpečnosti?

Zákon č. 181/2014 Sb. byl přijat 23. 7. 2014 a účinný byl od 1. 1. 2015. Do svého zrušení k 1. 11. 2025 prošel osmi zněními. Poslední znění (od 6. 8. 2022) odkazovalo na první evropskou směrnici o bezpečnosti sítí a informačních systémů (EU) 2016/1148, tedy NIS.

Nový zákon č. 264/2025 Sb. zapracovává směrnici (EU) 2022/2555, známou jako NIS2, která první směrnici NIS zrušila. Zákon zároveň zrušil zákon č. 181/2014 Sb. a jeho prováděcí vyhlášky (§ 72). S ním začaly 1. 11. 2025 platit i prováděcí vyhlášky NÚKIB:

PředpisObsah
408/2025 Sb.regulované služby
409/2025 Sb.bezpečnostní opatření v režimu vyšších povinností
410/2025 Sb.bezpečnostní opatření v režimu nižších povinností
334/2025 Sb.Portál NÚKIB a požadavky na některé úkony

Co se změnilo: srovnání v tabulce

Zákon 181/2014 Sb. (poslední znění)Zákon 264/2025 Sb.
Koho regulujevýčet v § 3: např. správci a provozovatelé informačních systémů kritické informační infrastruktury, významných informačních systémů, provozovatelé základních služeb, poskytovatelé digitálních služebposkytovatele regulovaných služeb v 15 odvětvích (§ 4), obvykle střední a velké podniky, a další služby podle § 5
Úrovně povinnostípodle typu systému a roledva režimy: vyšší a nižší povinnosti
Hlášení incidentubezodkladně po detekci, poskytovatel digitální služby bez zbytečného odkladu (§ 8)prvotní hlášení do 24 hodin, oznámení do 72 hodin, závěrečná zpráva do 30 dnů od oznámení (§ 16)
Nejvyšší pokuta5 000 000 Kč (§ 25)250 000 000 Kč nebo 2 % celosvětového obratu ve vyšším režimu, 175 000 000 Kč nebo 1,4 % v nižším (§ 59)
Odpovědnost vedenízákon dočasný zákaz funkce neupravovaldočasný zákaz výkonu funkce člena statutárního orgánu ve vyšším režimu (§ 58)
Vstup do regulacepodle určení systémuohlášení služby do 60 dnů a rozhodnutí NÚKIB o registraci (§ 6)

Odvětví podle nového zákona

Veřejná správa, energetika, výrobní průmysl, potravinářský průmysl, chemický průmysl, vodní hospodářství, odpadové hospodářství, doprava, digitální infrastruktura a služby, finanční trh, zdravotnictví, věda, výzkum a vzdělávání, poštovní a kurýrní služby, obranný průmysl a vesmírný průmysl.

Kolik organizací pod nový zákon spadá?

NÚKIB dlouhodobě odhadoval, že pod nový zákon bude spadat asi 6 000 organizací. Organizace, které splňovaly podmínky k 1. 11. 2025, měly službu ohlásit do 60 dnů, tedy do 31. 12. 2025. K 8. 2. 2026 to podle NÚKIB udělalo 4 825 subjektů a úřad vyzval ostatní, aby ohlášení dokončily.

Od kdy se plní nové povinnosti?

Lhůty běží od doručení rozhodnutí o registraci, ne od účinnosti zákona:

  • bezpečnostní opatření nejpozději do 1 roku od doručení rozhodnutí (§ 13 odst. 4);
  • hlášení incidentů podle § 15 nejpozději do 1 roku od doručení rozhodnutí (§ 15 odst. 4).

Organizace regulované už podle starého zákona mezitím plní aspoň dosavadní povinnosti, a to v rozsahu odpovídajícím jejich novému režimu. Způsobem podle nového zákona ale hlásí incidenty už ode dne doručení rozhodnutí o registraci (§ 71 odst. 1).

Co se z této změny dá vzít?

Poučení 1: znalosti z doby před rokem 2025 nestačí. Kdo se zákon učil podle zákona 181/2014 Sb., zná jiné kategorie, jiné lhůty i jiné sankce. Pojem „významný informační systém“ nový zákon jako kategorii regulace nezná, objevuje se jen v přechodných a zrušovacích ustanoveních (§ 71 a 72). Dnes se mluví o regulované službě a režimu povinností.

Poučení 2: lhůty jsou teď v hodinách. Místo obecného „bezodkladně“ je pevné 24hodinové prvotní hlášení a 72hodinové oznámení u incidentů s významným dopadem. Kdo nemá připravený postup a kontakty, lhůtu snadno nestihne.

Poučení 3: odpovědnost se posunula k vedení. Pokuty vzrostly z milionů na stovky milionů korun a ve vyšším režimu může NÚKIB členovi statutárního orgánu na nejméně 6 měsíců zakázat výkon funkce. Podmínkou je, že v souvislosti s rozhodnutím o odstranění nedostatků opakovaně nebo závažně poruší své povinnosti a tím zmaří jeho splnění.

Poučení 4: povinnosti nezačínají jedním dnem pro všechny. Každá organizace má vlastní lhůtu podle data doručení rozhodnutí o registraci. Ve firmě si proto ověř, kdy rozhodnutí přišlo.

Jak si znalost zákona ověřit

Na CyberPrepu procvičíš zákon č. 264/2025 Sb. a vyhlášky NÚKIB: kdo pod zákon spadá, registraci, bezpečnostní opatření, hlášení incidentů a sankce. K dispozici je test znalostí, případy z praxe a rychlý test pro vedení. Procvičování je součástí plného přístupu k Security+. Nejde o právní poradenství a školení vedení podle vyhlášky nenahrazuje.

Zajímá tě, jestli se kvůli NIS2 vyplatí certifikace? Přečti si srovnání Security+ a CISSP.

Zdroje

Příprava: Zákon o kybernetické bezpečnosti (NIS2)

Zákon 264/2025 Sb. a vyhlášky NÚKIB: registrace, bezpečnostní opatření, hlášení incidentů a sankce. Pro vedení a IT firem pod NIS2; v plném přístupu k Security+. S účtem zdarma si vyzkoušíš ukázku a uvidíš, kde jsi.

Vytvořit účet zdarma

CyberPrep je nezávislá studijní pomůcka, není spojena s pořadateli zkoušek ani jimi schválena. Pravidla a poplatky se mění, před přihláškou je ověř u pořadatele.

Další články

Všechny články →