Od NIS2 k zákonu: Nový zákon o kybernetické bezpečnosti
Náš tým zaměřený na kybernetickou bezpečnost, regulatoriku a právo vás provede kompletním posouzením připravenosti ve vztahu k požadavkům vyplývajících z nového zákona o kybernetické bezpečnosti vyhlášeného ve Sbírce zákonů a mezinárodních smluv pod č. 264/2025 Sb. Tento zákon, který transponuje směrnici NIS2 do vnitrostátní legislativy a vstoupí v účinnost od listopadu 2025, představuje zásadní změnu v oblasti kybernetické bezpečnosti v České republice a zavádí nové povinnosti pro široké spektrum organizací.
Nový zákon o kybernetické bezpečnosti jako vnitrostátní předpis provádějící NIS2
NIS2 je evropská směrnice, která stanovuje pravidla a požadavky na kybernetickou bezpečnost a systémy a sítě ICT. V návaznosti na dříve platnou směrnici NIS zlepšuje stav kybernetické bezpečnosti v celé Evropské unii prostřednictvím harmonizace bezpečnostních požadavků a oznamovacích povinností. Rozšiřuje předmět úpravy na další oblasti zájmu, jako jsou vztahy dodavatelského řetězce, řízení zranitelností a kybernetická hygiena, a posiluje spolupráci a sdílení znalostí mezi členskými státy EU. Vedle nařízení o digitální provozní odolnosti (DORA) a směrnice o odolnosti kritických subjektů (CER) je NIS2 dalším legislativním nástrojem Evropské unie se zaměřením na zvýšení digitální provozní odolnosti a kybernetické bezpečnosti všech relevantních subjektů působících v EU. Přestože je NIS2 na evropské úrovni platná již od začátku roku 2023, na jednotlivé subjekty v České republice její požadavky dopadají až v podobě zákona o kybernetické bezpečnosti, účinného od listopadu 2025.
Co zákon o kybernetické bezpečnosti přináší?
Konečná podoba směrnice NIS2 byla v Úředním věstníku EU zveřejněna v prosinci 2022 ve všech úředních jazycích a členské státy měly danou lhůtu do 17. října 2024 na implementaci daných požadavků do svých právních předpisů. Tento termín nebyl v České republice dodržen. Finální znění zákona o kybernetické bezpečnosti bylo ve Sbírce zákonů a mezinárodních smluv zveřejněno 4. srpna 2025 a podepsáno prezidentem až 26. června 2025. Níže je přehled nových pravidel, která zákon přináší.
Zákon se vztahuje na širší okruh subjektů než dříve, zejména na poskytovatele regulovaných služeb v klíčových odvětvích jako je energetika, zdravotnictví, doprava a digitální služby. Toto rozšíření souvisí se změnami v samotné směrnici, kdy NIS2 rozlišuje dvě kategorie subjektů – vysoce kritické subjekty působící v odvětvích, jako je veřejná správa, digitální infrastruktura, energetika, finance, doprava, a další kritické subjekty poskytující služby například v oblasti nakládání s odpady, výzkumu, výroby. Celkem má NIS2 dopad na více než 18 odvětví a přidává další pravidla a povinnosti pro podniky ve čtyřech základních oblastech, včetně řízení rizik, odpovědnosti podniků, kontinuity provozu a oznamování. V samotném zákonu se pak dotčené subjekty setkají s dvěma režimy plnění požadavků – režim nižších a vyšší povinností. Kategorizace do režimů je dána především velikostí těchto subjektů ale také oblastí podnikání.
Subjekty, na které požadavky zákona o kybernetické bezpečnosti dopadnou, budou povinny zavést opatření k řešení konkrétních forem kybernetických hrozeb a minimalizovat jejich dopady; zajistit, aby jejich vrcholové orgány dohlížely na oblast kybernetické bezpečnosti a byly v ní mimo jiné řádně proškoleny; nastavit procesy pro oznamování bezpečnostních incidentů s významným dopadem na poskytování služeb nebo jejich příjemce; a také vypracovat komplexní plán řízení kontinuity provozu pro případy závažných kybernetických incidentů. Dodržování základních požadavků vyplývajících z NIS2 a konkretizovaných v zákoně o kybernetické bezpečnosti si v kontextu vaší společnosti můžete otestovat pomocí Deloitte nástroje NIS2 Self-Assessment Tool.
Jak můžeme pomoci?
V Deloitte nabízíme právní i konzultační služby související s novou legislativou. Pomůžeme vám i s řízením kybernetických rizik.
S čím můžeme pomoci?
Pro dotčené subjekty je nezbytné zahájit cestu k dosažení souladu se zákonnými požadavky co nejdříve, přičemž je třeba mít na paměti, že procesy zajišťování souladu, včetně posouzení celkového stavu kybernetické bezpečnosti, auditu, konzultací a implementace nástrojů, trvají několik měsíců a jsou poměrně náročné. I samotné určení režimu může představovat výzvu vzhledem k odlišným podmínkám v jednotlivých sektorech.
Náš tým odborníků na kybernetickou bezpečnost, regulatorní compliance a právo, řízení rizik a implementaci bezpečnostních prvků vám pomůže se splněním všech požadavků vyplývajících ze zákona o kybernetické bezpečnosti skrze právní i konzultační služby.
Naše podpora zahrnuje komplexní přístup k řízení kybernetických rizik a zajištění shody, včetně:
- Celkové analýzy prostředí vaší organizace a zařazení do režimu plnění povinností.
- Posouzení připravenosti a identifikace mezer v rámci plnění požadavků vyplývajících ze zákona.
- Návrhu nápravných opatření a jejich prioritizace.
- Přenastavením smluv v rámci dodavatelských řetězců pro zajištění souladu.
- Komunikace s regulátorem a provedením nutných úkonů před úřadem.
- Poskytování podpory při implementaci bezpečnostních opatření.
- Poskytování podpory při přípravě na audit, například v rámci příprav potřebné dokumentace.
- Vypracování plánů kontinuity podnikání, řízení zranitelností a zavádění bezpečnostních požadavků do dodavatelského řetězce a hodnocení třetích stran.
Pokud chcete mít jistotu, že je vaše organizace připravena na souladu s požadavky zákona, neváhejte se na nás obrátit. Rádi pro vás vypracujeme gap analýzu, připravíme akční plán a poskytneme podporu při implementaci opatření.
Přehled služeb dle oblasti naleznete níže.
