NIS2 a nový zákon o kybernetické bezpečnosti: týká se i vaší firmy nebo e-shopu?

Nový zákon o kybernetické bezpečnosti (č. 264/2025 Sb.), česká verze evropské směrnice NIS2, platí od 1. listopadu 2025 a podle odhadu NÚKIB se týká zhruba šesti tisíc organizací. Většiny malých firem a běžných e-shopů se přímo netýká. Rozhoduje velikost firmy, obor podnikání a konkrétní služba. Malé firmy ho přesto mohou pocítit nepřímo, jako dodavatelé regulovaných odběratelů.

Rychlé shrnutí

• Zákon se vztahuje hlavně na střední a velké podniky (zhruba od 50 zaměstnanců) v oborech uvedených ve vyhlášce č. 408/2025 Sb. Malých podniků a mikropodniků se standardně netýká, až na výjimky (např. telekomunikace, služby vytvářející důvěru).
• Běžný e-shop, který prodává vlastní zboží, regulovanou službou není. Regulované je on-line tržiště (marketplace pro cizí prodejce), a to jen u středních a velkých provozovatelů.
• Kdo podmínky splňuje, musí službu ohlásit NÚKIB do 60 dnů. Pro firmy, které je splňovaly už při účinnosti zákona, lhůta skončila 31. 12. 2025.
• Na zavedení bezpečnostních opatření a zahájení hlášení incidentů je 1 rok od doručení rozhodnutí o registraci. NÚKIB rozhodnutí rozesílal od začátku roku 2026, takže první lhůty vypršívají v roce 2027.
• Pokuty jdou až do 250 mil. Kč nebo 2 % obratu (vyšší režim), resp. 175 mil. Kč nebo 1,4 % obratu (nižší režim).

Týká se mě to? Rozhodovací strom

Zákon nepracuje se seznamem firem. Každá organizace si sama posoudí, zda poskytuje regulovanou službu (tzv. samoidentifikace). Postupujte takto:

1. Působíte v jednom z regulovaných odvětví? Zákon jich vyjmenovává 15: veřejná správa, energetika, výrobní průmysl, potravinářský průmysl, chemický průmysl, vodní hospodářství, odpadové hospodářství, doprava, digitální infrastruktura a služby, finanční trh, zdravotnictví, věda, výzkum a vzdělávání, poštovní a kurýrní služby, obranný průmysl a vesmírný průmysl. Ne → zákon se vás přímo netýká, pokračujte kapitolou o dodavatelích.
2. Poskytujete konkrétní službu z vyhlášky č. 408/2025 Sb.? Nestačí „být v energetice“. Rozhoduje konkrétní služba, například výroba elektrických zařízení (CZ-NACE 27), velkoobchodní distribuce potravin, služba cloud computingu nebo on-line tržiště. Ne → netýká se vás.
3. Splňujete velikostní podmínku u dané služby? U většiny služeb jde o střední nebo velký podnik. Některé služby jsou regulované bez ohledu na velikost (např. veřejně dostupné služby elektronických komunikací, kvalifikované služby vytvářející důvěru, provoz registru domény nejvyšší úrovně). Ne → netýká se vás.
4. Ano u všech tří bodů → máte povinnost ohlásit službu NÚKIB a vyhláška vám zároveň určí režim (nižší, nebo vyšší povinnosti).

Nejrychleji to ověříte v oficiální kalkulačce na Portálu NÚKIB. Po zodpovězení otázek ukáže, zda pravděpodobně spadáte pod regulaci a do jakého režimu.

Jak se počítá velikost podniku

Zákon odkazuje na doporučení Komise 2003/361/ES, tedy na stejnou definici malých a středních podniků, jakou znáte z dotací. NÚKIB ve svých otázkách a odpovědích uvádí tyto hranice:

Pozor na partnerské a propojené podniky. Pokud patříte do skupiny nebo holdingu, započítávají se i jejich zaměstnanci a čísla, takže i firma s 20 lidmi může vyjít jako střední nebo velký podnik. Zákon (§ 7) má ale výjimku: nezapočítávají se podniky, jejichž technická aktiva jsou úplně oddělená od aktiv, která používáte při poskytování regulované služby.

E-shop a NIS2: tržiště ano, běžný obchod ne

Na internetu se často píše, že NIS2 „dopadne na e-shopy“. Podle vyhlášky to tak jednoduché není. V odvětví digitální infrastruktury je regulovaná služba on-line tržiště podle zákona o ochraně spotřebitele. Jde o platformu, přes kterou spotřebitelé uzavírají smlouvy s jinými obchodníky. Pod regulaci spadá v režimu nižších povinností, a to jen pokud je provozovatel střední nebo velký podnik. Klasický e-shop, který prodává vlastní zboží, sám o sobě regulovanou službou není, ani když má sto zaměstnanců.

E-shop se ale může dostat do regulace „bokem“ přes jinou činnost firmy:

• prodáváte i vlastní výrobky a jste střední výrobce třeba elektroniky, elektrických zařízení nebo strojů (výrobní průmysl, oddíly CZ-NACE 26–30),
• jste střední nebo velký potravinářský podnik s průmyslovou výrobou, zpracováním nebo velkoobchodní distribucí potravin (maloobchod do regulace nespadá),
• vyrábíte zdravotnické prostředky, chemické látky podléhající registraci apod.,
• provozujete vlastní kurýrní nebo poštovní službu.

Pro firmy z oboru webu a IT je důležité, že vyhláška reguluje i cloud computing, datová centra, CDN, řízené služby a řízené bezpečnostní služby (správa IT pro firemní zákazníky). Platí to od středního podniku výš, u velkých podniků v režimu vyšších povinností. Střední hostingová firma nebo IT outsourcing pro firmy se tak tématem zabývat musí. Malá webová agentura obvykle ne.

Malá firma jako dodavatel: tady vás NIS2 může dostihnout

Regulovaná organizace musí podle § 13 odst. 5 zákona vybírat dodavatele v souladu s bezpečnostními opatřeními a promítnout požadavky do smluv. Pokud tedy spravujete IT, vyvíjíte software, hostujete systémy nebo dodáváte služby nemocnici, obci, energetické firmě či středně velkému výrobci, počítejte s tím, že:

• dostanete bezpečnostní dotazník nebo dodatek ke smlouvě (MFA, zálohy, řízení přístupů, hlášení incidentů odběrateli, mlčenlivost),
• odběratel bude chtít vědět, kdo má přístup do jeho systémů a jak je chráněný,
• bez rozumné odpovědi můžete ve výběrovém řízení prohrát s konkurencí.

Zákonnou povinnost vůči NÚKIB to malému dodavateli nevytváří. Smluvní povinnosti vůči zákazníkovi ale vzniknout mohou. Samostatnou kapitolou je mechanismus prověřování dodavatelů (§ 27 a násl.), který se týká jen strategicky významných služeb a slouží k omezení rizikových dodavatelů, typicky ze zemí, které představují bezpečnostní hrozbu. Běžné malé firmy se nedotkne.

Pokud pod zákon spadáte: co dělat a do kdy

1. Ohlášení (pokud jste ho prošvihli, udělejte ho hned)

Ohlášení se dělá elektronicky v sekci „Chci vyřídit“ na Portálu NÚKIB. Přihlašuje se statutární orgán, nebo jím pověřený zástupce, přes Identitu občana (NIA), tedy bankovní identitou, eObčankou nebo mobilním klíčem. Podle NÚKIB službu ohlásilo do 8. 2. 2026 přes 4 800 organizací, přičemž úřad původně odhadoval zhruba 6 000. NÚKIB výslovně uvádí, že neohlášení patří k vážnějším přestupkům, za které hrozí pokuta až 250 mil. Kč nebo 2 % obratu. Délka prodlení se promítne do výše sankce. Pokud jste ohlášení zmeškali, udělejte ho co nejdříve. Pokud jste podmínky splnili nově (třeba jste letos překročili 50 zaměstnanců), běží vám 60 dnů od tohoto okamžiku.

2. Stanovte rozsah a zjistěte výchozí stav

Nemusíte zabezpečit celou firmu podle nejpřísnějších norem. Povinný je takzvaný stanovený rozsah, tedy aktiva (systémy, data, lidé, dodavatelé), která souvisí s regulovanou službou. NÚKIB doporučuje nejdřív sepsat, co už děláte (zálohy, antivir, oddělené administrátorské účty, zamčená serverovna), a teprve potom plánovat chybějící opatření.

3. Nižší, nebo vyšší režim

Většina středních firem spadá do režimu nižších povinností (vyhláška č. 410/2025 Sb.). Ten obsahuje 13 oblastí opatření, mimo jiné řízení aktiv a rizik, řízení přístupu, kontinuitu činností, detekci událostí a kryptografii. Nemusíte jmenovat manažera ani auditora kybernetické bezpečnosti, ale vedení musí určit osobu pověřenou kybernetickou bezpečností. Režim vyšších povinností (vyhláška č. 409/2025 Sb.) vychází z norem řady ISO 27000 a zahrnuje systém řízení bezpečnosti informací, bezpečnostní role a audit. Certifikát ISO 27001 podle NÚKIB pomáhá, ale sám o sobě splnění povinností neprokazuje.

4. Povinnosti vedení firmy

NIS2 dopadá přímo na jednatele a představenstvo. Ve vyhlášce pro nižší režim musí vrcholné vedení mimo jiné:

• určit osobu pověřenou kybernetickou bezpečností a dát jí potřebné pravomoci,
• prokazatelně absolvovat školení o svých povinnostech a bezpečnostní politice,
• zajistit na bezpečnost zdroje (lidi a peníze),
• prokazatelně se seznamovat se stavem plnění opatření a stanovit prioritu obnovy klíčových systémů.

Ve vyšším režimu může NÚKIB při opakovaném nebo závažném neplnění nápravných opatření dočasně zakázat členovi statutárního orgánu výkon funkce, a to nejméně na 6 měsíců (§ 58).

5. Hlášení incidentů

• Nižší režim hlásí Národnímu CERT jen incidenty s významným dopadem na regulovanou službu. Vyšší režim hlásí NÚKIB všechny incidenty, které mají původ v kybernetickém prostoru a u kterých nelze vyloučit úmysl.
• Prvotní hlášení do 24 hodin od zjištění, u závažných incidentů oznámení do 72 hodin a závěrečná zpráva do 30 dnů (§ 16).
• Hlásí se přes Portál NÚKIB. Když portál nefunguje, e-mailem nebo datovou schránkou.

Mějte proto předem sepsáno, kdo incident vyhodnotí a kdo ho nahlásí, a to i o víkendu. Pokud zároveň unikly osobní údaje, běží souběžně i 72hodinová lhůta podle GDPR vůči ÚOOÚ.

Pokuty

Jde o horní hranice. NÚKIB opakovaně říká, že jeho cílem není trestat, ale pomoci firmám povinnosti splnit. Podle FAQ úřad při kontrole akceptuje i to, že některé opatření nebylo z objektivních důvodů zavedeno v plánovaném roce, pokud je to rozumně zdůvodněné v přehledu bezpečnostních opatření nebo v plánu zvládání rizik.

Pokud pod zákon nespadáte: minimum, které se vyplatí stejně

Útočníci nerozlišují, jestli firma spadá pod NIS2. Ransomware, ukradená hesla nebo podvodné faktury zasáhnou pětičlennou firmu stejně jako velký podnik. Vyhláška pro nižší režim je přitom dobrý seznam toho, co má smysl udělat v každé firmě, a dá se vzít jako inspirace:

1. Vícefaktorové ověření (MFA) všude, kde to jde: e-mail, administrace e-shopu, hosting, bankovnictví, účetnictví. Vyhláška ho stanovuje jako hlavní způsob ověření identity. Ještě odolnější jsou passkeys.
2. Dlouhá a unikátní hesla. Pokud se MFA použít nedá, vyhláška požaduje u uživatelských účtů heslo dlouhé alespoň 12 znaků, u administrátorských 17 a u technických účtů 22 znaků. Bez správce hesel to v praxi nejde. Pro firmy se hodí verze se sdílenými trezory a správou uživatelů, jako je NordPass Business (podrobněji v naší recenzi NordPass Business).
3. Zálohy oddělené od provozu. Aspoň jedna kopie mimo síť a mimo dosah běžných účtů. Obnovu ze zálohy občas vyzkoušejte. Inspiraci najdete v článku kde a jak zálohovat data.
4. Aktualizace bez odkladu pro systém, prohlížeče, WordPress a pluginy, firmware routerů a NAS.
5. Ochrana zařízení pomocí antiviru nebo EDR na všech počítačích (viz nejlepší antiviry) a šifrování disků notebooků.
6. Školení lidí na phishing a pravidlo, že změnu čísla účtu dodavatele vždy ověříte telefonem (viz jak poznat phishing).
7. Řízení přístupů: když někdo odchází, zrušte mu účty týž den, nepoužívejte sdílené administrátorské účty a přidělujte jen práva, která lidé potřebují.
8. Jednostránkový plán pro incident: kdo rozhoduje, komu volat (IT dodavatel, banka, pojišťovna), kde jsou zálohy. Dobrovolně můžete hlásit incidenty i NÚKIB nebo Národnímu CERT, který na požádání poskytne metodickou pomoc.

Pro malou firmu je správce hesel nejjednodušší první krok s viditelným efektem: hesla přestanou kolovat v e-mailech a tabulkách, odchod zaměstnance vyřešíte odebráním přístupu k trezoru a jako dodavatel máte na dotazník odběratele konkrétní odpověď.

Pokud si firemní dokumenty (smlouvy, exporty, zálohy) potřebujete před nahráním do cloudu zašifrovat, poslouží k tomu nástroje jako NordLocker. Další možnosti najdete v přehledu cloudových úložišť.

Časté otázky

Mám e-shop se 60 zaměstnanci. Musím se registrovat?

Pokud prodáváte jen vlastní zboží (případně zboží nakoupené od dodavatelů) přímo zákazníkům, samotný e-shop regulovanou službou není. Registrace by přišla v úvahu, kdybyste provozovali on-line tržiště pro cizí prodejce, nebo kdyby firma vedle e-shopu poskytovala jinou regulovanou službu, třeba průmyslovou výrobu nebo velkoobchod s potravinami. Pro jistotu projděte kalkulačku NÚKIB.

Používám Shoptet nebo jinou pronajímanou platformu. Řeší NIS2 za mě?

Pokud pod zákon nespadáte, nic řešit nemusíte. Pokud ano, odpovídáte za svou regulovanou službu vy a platforma je váš dodavatel. Bezpečnostní požadavky se pak promítají do výběru dodavatele a do smlouvy, i když u standardizovaných služeb budete spíš ověřovat, co poskytovatel garantuje, než vyjednávat vlastní podmínky.

Ohlásil jsem službu a pak jsem zjistil, že pod zákon nespadám. Co teď?

Přes Portál NÚKIB můžete požádat o zrušení registrace (§ 10 zákona). NÚKIB ji zruší, pokud služba podmínky nesplňuje.

Jsem OSVČ a dělám IT správu pro pár firem. Týká se mě to?

Přímo ne. Řízené služby jsou regulované až od středního podniku. Pokud ale mezi klienty máte regulovanou organizaci, počítejte se smluvními požadavky na zabezpečení. Bez MFA, správce hesel a zdokumentovaných záloh se dnes jako dodavatel IT obhajujete těžko.

Kdy NÚKIB začne kontrolovat?

Povinnost zavádět opatření a hlásit incidenty začíná pro každou službu nejpozději rok od doručení rozhodnutí o registraci. U většiny firem, které se ohlásily na konci roku 2025, to znamená rok 2027. Přesné datum si spočítejte podle data doručení rozhodnutí do vaší datové schránky nebo na Portál.

Závěr

Nový zákon o kybernetické bezpečnosti není „povinnost pro všechny“, jak se někdy tvrdí. Míří na střední a velké firmy ve vyjmenovaných službách. Běžné e-shopy, malé agentury a živnostníci mezi ně zpravidla nepatří. Kdo pod zákon spadá a službu ještě neohlásil, měl by to udělat hned, protože lhůty pro stávající firmy už uplynuly. Všichni ostatní mohou vyhlášku pro nižší režim brát jako bezplatný návod: MFA, správce hesel, zálohy, aktualizace a proškolení lidé pokryjí velkou část reálných rizik za zlomek ceny, kterou by stál vážný incident.

Upozornění: Článek vychází ze zákona č. 264/2025 Sb., vyhlášek č. 408/2025, 409/2025 a 410/2025 Sb. a materiálů NÚKIB ve znění ke dni 7. 10. 2026. Nejde o právní poradenství. Pokud si nejste jistí, zda pod regulaci spadáte, použijte kalkulačku NÚKIB nebo se obraťte na odborníka.