Nový zákon o kybernetické bezpečnosti: proč už kyberbezpečnost není jen otázkou IT oddělení

04. 05. 2026

Od 1. listopadu 2025 je účinný nový zákon č. 264/2025 Sb., o kybernetické bezpečnosti, který do českého právního řádu promítá požadavky evropské směrnice NIS2. Jde o právní úpravu, která zásadně rozšiřuje okruh subjektů, na něž mohou dopadat povinnosti v oblasti kybernetické bezpečnosti. Pro řadu podnikatelů to znamená, že kyberbezpečnost již nelze vnímat pouze jako technický problém správce sítě nebo externího IT dodavatele.

Nová právní úprava vychází z myšlenky, že kybernetická bezpečnost je součástí řízení organizace. Týká se nejen nastavení systémů, zálohování nebo ochrany přístupů, ale také řízení rizik, odpovědnosti vedení, dodavatelských vztahů, interních pravidel, školení zaměstnanců a schopnosti reagovat na bezpečnostní incidenty. Právě tato změna perspektivy je pro podnikatele nejdůležitější.

Zákon dopadá na subjekty, které splňují kritéria stanovená právní úpravou a poskytují tzv. regulovanou službu. NÚKIB dlouhodobě uváděl, že nová regulace může zasáhnout tisíce organizací, přičemž již v prvních měsících po účinnosti zákona provedly ohlášení regulované služby tisíce subjektů. To potvrzuje, že nejde o okrajovou právní úpravu určenou pouze pro několik největších technologických společností.

Pro podnikatele je zásadní nejprve vyhodnotit, zda do působnosti zákona vůbec spadají. Tato otázka nemusí být vždy zřejmá na první pohled. Rozhodující může být velikost organizace, odvětví, typ poskytované služby, význam služby pro společnost nebo napojení na jiné regulované činnosti. Podcenění této úvodní analýzy může vést k tomu, že podnikatel nezahájí plnění povinností včas.

Pokud podnikatel do regulace spadá, musí řešit nejen formální ohlášení, ale také následné zavedení odpovídajících bezpečnostních opatření, nastavení řízení rizik, pravidla pro hlášení incidentů a dokumentaci přijatých kroků. V praxi bude důležité také smluvní nastavení vztahů s IT dodavateli, poskytovateli cloudových služeb, externími správci systémů a dalšími osobami, které mají přístup k důležitým datům nebo systémům společnosti.

Významný je i dopad na statutární orgány. Pokud kybernetická bezpečnost selže v důsledku dlouhodobě zanedbaného řízení rizik, absence základních opatření nebo ignorování zjevných hrozeb, může se otázka odpovědnosti přesunout i do roviny péče řádného hospodáře. Jednatel nebo člen statutárního orgánu se nemůže automaticky hájit tím, že „IT řešil dodavatel“. U významných rizik musí být společnost schopna doložit, že se jim vedení skutečně věnovalo a přijalo přiměřená opatření.

Závěrem lze shrnout, že nový zákon o kybernetické bezpečnosti je pro podnikatele především výzvou k provedení interního auditu. Společnosti by měly vyhodnotit, zda se na ně nová regulace vztahuje, jaká data a systémy jsou pro jejich fungování kritické, jak jsou chráněny, kdo za ně odpovídá a jak by firma postupovala při incidentu. Kyberbezpečnost se tak stává nejen technickou, ale i právní a manažerskou otázkou.

Všechny články