Kalendář povinností
Lhůty podle zákona č. 264/2025 Sb.: co běží od kdy
Lhůty v zákoně č. 264/2025 Sb. jsou dvě různé rodiny hodin, které se často zaměňují. Jedna počítá kalendářní dny a roky a rozbíhá se od úředního dne. Druhá počítá skutečné hodiny a rozbíhá se od okamžiku, kdy jste incident zjistili. Smíchat je znamená minout termín. Tenhle článek je rozděluje a u každé uvádí ustanovení, ze kterého plyne.
Nulový bod není účinnost zákona
Zákon č. 264/2025 Sb. je účinný od 1. 11. 2025, stejně jako vyhlášky č. 408/2025 Sb., č. 409/2025 Sb. a č. 410/2025 Sb. To je datum, od kterého se podle nové úpravy postupuje. Váš kalendář ale nezačíná tam. Začíná v jednom ze dvou bodů: dnem, kdy jste splnili podmínky pro registraci, a potom dnem, kdy vám bylo doručeno rozhodnutí o registraci. Od druhého z nich se odvíjí prakticky všechno ostatní.
60 dnů: registrace
První lhůta začíná ještě předtím, než o vás Úřad ví. Přihlášku k registraci je nutné podat
nejpozději do 60 dnů ode dne, kdy ke splnění podmínek došlo
§ 6 odst. 1 zákona č. 264/2025 Sb.
Rozhodující je den splnění podmínek, ne den, kdy jste si toho všimli, a ne den, kdy vás někdo upozornil. Proto má smysl mít test působnosti zdokumentovaný ke dni, ke kterému jste ho provedli, a opakovat ho, když se vaše čísla nebo činnosti změní. Podání probíhá na Portálu NÚKIB.
30 dnů: kontaktní a doplňující údaje
Doručením rozhodnutí o registraci se rozbíhá druhá lhůta. Poskytovatel regulované služby
nejpozději do 30 dnů ode dne doručení rozhodnutí o registraci regulované služby hlásí Úřadu
§ 11 odst. 1 zákona č. 264/2025 Sb.
Jde o kontaktní údaje oprávněných osob a doplňující údaje, jako je vlastnická struktura, technické údaje a geografické rozšíření služby. Na to navazuje průběžná povinnost, která má jednu často přehlédnutou podmínku:
hlásit změny pouze těch údajů podle odstavce 1, které nejsou referenčními údaji vedenými v základních registrech, a to nejpozději do 14 dnů ode dne, kdy došlo k jejich změně
§ 11 odst. 2 zákona č. 264/2025 Sb.
Čtrnáct dnů se tedy vztahuje jen na ty údaje, které nejsou referenčními údaji v základních registrech. Změnu sídla nebo názvu zapsanou v registru osob znovu nehlásíte. Změnu kontaktní osoby ano.
Jeden rok: bezpečnostní opatření
Nejdelší a v praxi nejnáročnější lhůta se počítá od stejného dne doručení. Poskytovatel
začne plnit povinnost zavádět a provádět bezpečnostní opatření podle odstavce 2 pro každou regulovanou službu nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby
§ 13 odst. 4 zákona č. 264/2025 Sb.
Opatřeními se rozumí
Bezpečnostními opatřeními jsou organizační a technická opatření, jejichž účelem je zajištění řádného poskytování regulované služby a kybernetické bezpečnosti aktiv.
§ 13 odst. 1 zákona č. 264/2025 Sb.
Ten rok ale není rok na nákup nástrojů. Je to rok na to, aby opatření byla zavedená a prováděná v rámci takzvaného stanoveného rozsahu. Ten je potřeba definovat hned na začátku:
Součástí rozsahu řízení kybernetické bezpečnosti (dále jen „stanovený rozsah“) jsou aktiva související s poskytováním regulované služby.
§ 12 odst. 1 zákona č. 264/2025 Sb.
A není to jednorázová práce:
Stanovený rozsah je poskytovatel regulované služby povinen pravidelně přezkoumávat a aktualizovat.
§ 12 odst. 5 zákona č. 264/2025 Sb.
Do stejné roční lhůty spadá i práce, která nemá jediného vlastníka uvnitř firmy, protože
leží mezi bezpečností, nákupem a právem: požadavky vyplývající z bezpečnostních opatření je
nutné § 13 odst. 5 zákona č. 264/2025 Sb. promítnout do smluv s dodavateli. Renegociace
rámcových smluv se dá stihnout za rok jen tehdy, když se začne v prvních měsících.
Jeden rok: schopnost hlásit incidenty
Souběžně s opatřeními běží druhá roční lhůta. Poskytovatel
začne plnit povinnost hlásit kybernetické bezpečnostní incidenty podle odstavců 1 a 2 pro každou regulovanou službu nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby
§ 15 odst. 4 zákona č. 264/2025 Sb.
Komu se hlásí, závisí na režimu. V režimu vyšších povinností je poskytovatel povinen
§ 15 odst. 1 zákona č. 264/2025 Sb. hlásit Úřadu, v režimu nižších povinností
§ 15 odst. 2 zákona č. 264/2025 Sb. Národnímu CERT. Rok je tady lhůta na to, aby
existoval funkční runbook, ne na to, aby existoval záměr ho napsat: první incident se
neptá, kolik dnů zbývá do konce lhůty.
Výjimka pro dříve regulované osoby
Pokud jste byli povinnou osobou už podle zákona č. 181/2014 Sb., roční odklad na hlášení incidentů se na vás nevztahuje. Přechodná ustanovení vážou povinnost hlásit
již ode dne doručení rozhodnutí o registraci regulované služby
Přechodná ustanovení: osoby dříve regulované podle 181/2014 Sb. zákona č. 264/2025 Sb.
Prakticky to znamená, že den doručení rozhodnutí je zároveň dnem, od kterého musí být hlásicí proces funkční. Kalkulačka Kybriqu se proto na dřívější regulaci ptá a kalendář podle odpovědi mění.
Incidentní hodiny: 24, 72 a 30
Tady se rodina lhůt mění. Nepočítají se kalendářní dny od úředního doručení, ale skutečný čas od zjištění incidentu. Zákon staví tři termíny za sebe.
| Podání | Lhůta | Počítá se od | Ustanovení |
|---|---|---|---|
| Prvotní hlášení | 24 hodin | zjištění incidentu | § 16 odst. 1 |
| Oznámení | 72 hodin | zjištění incidentu | § 16 odst. 3 písm. a) |
| Oznámení, služby vytvářející důvěru | 24 hodin | zjištění incidentu | § 16 odst. 3 písm. a): služby vytvářející důvěru |
| Závěrečná zpráva | 30 dnů | předložení oznámení | § 16 odst. 3 písm. c) |
Prvotní hlášení se předkládá
nejpozději do 24 hodin po zjištění kybernetického bezpečnostního incidentu, předloží prvotní hlášení
§ 16 odst. 1 zákona č. 264/2025 Sb.
Na něj navazuje oznámení § 16 odst. 3 písm. a) zákona č. 264/2025 Sb.. U poskytovatelů služeb
vytvářejících důvěru je tato lhůta zkrácená: § 16 odst. 3 písm. a): služby vytvářející důvěru zákona č. 264/2025 Sb..
Třetí termín má jiný počátek, než většina lidí čeká. Nepočítá se od zjištění incidentu:
nejpozději do 30 dnů ode dne předložení oznámení podle písmene a) závěrečnou zprávu o vyřešení kybernetického bezpečnostního incidentu
§ 16 odst. 3 písm. c) zákona č. 264/2025 Sb.
Třicet dnů tedy běží od předložení oznámení. Kdo oznámí dřív, má dřív
i závěrečnou zprávu. Všechna tři podání jdou § 16 odst. 4 zákona č. 264/2025 Sb..
Proč hodiny a dny nemícháme
Rozhodovací stroj Kybriqu tyhle dvě rodiny drží oddělené i v kódu, protože jejich záměna je klasická chyba. Kalendářní lhůty, tedy 60 dnů, 30 dnů, 14 dnů a rok, se počítají na občanském kalendáři. Incidentní lhůty 24 a 72 hodin se počítají jako skutečně uplynulý čas, takže je nerozhodí přechod na letní čas ani časové pásmo, ve kterém byl údaj zapsán.
Jeden detail stojí za zmínku, protože se na něm dá ztratit celý den. Třicetidenní lhůta na závěrečnou zprávu je kalendářní, ale její počátek je okamžik. Kybriq proto ten okamžik nejdřív převede na občanský den v časovém pásmu Europe/Prague a teprve pak počítá dny. Oznámení odeslané v 23:30 UTC prvního září bylo v Praze podáno druhého září a jeho lhůta běží odtud. Kdyby se místo toho jen ořízlo prvních deset znaků z časového razítka, stejný okamžik zapsaný s jiným posunem by vyrobil jiný termín.
Co si z toho odnést
Kalendář má dvě kotvy a šest termínů. Kotvy jsou den splnění podmínek a den doručení rozhodnutí o registraci. Termíny jsou 60 dnů na registraci, 30 dnů na údaje, 14 dnů na změnu údajů, rok na opatření, rok na schopnost hlásit a potom incidentní hodiny. Kalkulačka Kybriqu vám z data doručení sestaví celý kalendář včetně kotev, ze kterých plyne, a u dříve regulovaných osob upraví hlášení podle přechodných ustanovení.
Toto není právní rada. Text popisuje, co v publikovaném znění zákona a vyhlášek stojí, a jak s tím pracuje rozhodovací stroj Kybriqu. Posouzení vaší konkrétní situace patří vašemu právnímu zástupci nebo NÚKIB. Registrace regulované služby probíhá výhradně na Portálu NÚKIB; Kybriq podklady připravuje, ale nepodává je.