Zpět na blog

Režimy povinností

Nižší a vyšší režim: co se od vás skutečně chce

Autor: Matic Jezeršek, MSc. · 10. 9. 2026

Režim povinností se občas čte jako známka za vyspělost. Není to známka. Je to zařazení, které plyne z toho, jakou službu poskytujete a jak velký podnik jste, a rozhoduje o tom, který katalog opatření se na vás vztahuje, komu hlásíte incidenty a jaké nástroje má vůči vám dozorový orgán. Tenhle článek prochází, co konkrétně se v každém z obou režimů chce.

Kdo režim určuje

Nerozhodujete o něm vy a nerozhoduje se ani podle toho, jak citlivá vám vaše data připadají. Rozdělení je v téže příloze, ve které se hledá samotná služba:

Rozdělení poskytovatelů podle poskytovaných regulovaných služeb do režimů podle § 8 odst. 1 zákona je uvedeno v příloze k této vyhlášce.

§ 3 vyhlášky č. 408/2025 Sb.

U většiny bodů přílohy je vzorec jednoduchý: velký podnik do vyššího režimu, střední do nižšího. U některých bodů je celý bod v nižším režimu bez ohledu na velikost, u jiných existuje technický práh, který velikost přebíjí. A pak je tu jedna cesta, která přílohu obchází úplně:

Je-li regulovaná služba registrována rozhodnutím Úřadu na základě splnění podmínek pro registraci podle § 5, je její poskytovatel v režimu vyšších povinností.

§ 8 odst. 3 zákona č. 264/2025 Sb.

Pokud vás Úřad registruje na základě § 5, jste ve vyšším režimu bez ohledu na to, co příloha u vaší služby říká a jak velký podnik jste.

Společný základ: § 13

Oba režimy stojí na stejné definici:

Bezpečnostními opatřeními jsou organizační a technická opatření, jejichž účelem je zajištění řádného poskytování regulované služby a kybernetické bezpečnosti aktiv.

§ 13 odst. 1 zákona č. 264/2025 Sb.

Stejná je i lhůta § 13 odst. 4 zákona č. 264/2025 Sb. a stejná je povinnost promítnout požadavky do smluv s dodavateli § 13 odst. 5 zákona č. 264/2025 Sb.. Liší se obsah katalogu, a ten rozdíl je podstatný.

Vyšší režim: dva výčty

Zákon dělí opatření vyššího režimu na organizační § 14 odst. 1 písm. a) zákona č. 264/2025 Sb. a technická § 14 odst. 1 písm. b) zákona č. 264/2025 Sb.. Organizačních je čtrnáct oblastí: systém řízení bezpečnosti informací, požadavky na vrcholné vedení, stanovení bezpečnostních rolí, řízení bezpečnostní politiky a dokumentace, řízení aktiv, řízení rizik, řízení dodavatelů, bezpečnost lidských zdrojů, řízení změn, akvizice, vývoj a údržba, řízení přístupu, zvládání kybernetických bezpečnostních událostí a incidentů, řízení kontinuity činností a provádění auditu kybernetické bezpečnosti.

Technických je jedenáct: fyzická bezpečnost, bezpečnost komunikačních sítí, správa a ověřování identit, řízení přístupových práv a oprávnění, detekce kybernetických bezpečnostních událostí, zaznamenávání událostí, vyhodnocování událostí, aplikační bezpečnost, kryptografické algoritmy, zajišťování dostupnosti regulované služby a zabezpečení průmyslových, řídících a obdobných specifických technických aktiv.

Dvacet pět oblastí je hodně a je poctivé to říct rovnou: vyšší režim je zavedení systému řízení bezpečnosti informací se vším, co k němu patří, včetně interního auditu. Rok na to je splnitelný, ale ne vedle běžné agendy jednoho člověka na částečný úvazek.

Nižší režim: jeden výčet

V nižším režimu zákon nedělí opatření na organizační a technická. Uvádí je jako jeden výčet:

Pro poskytovatele regulované služby v režimu nižších povinností jsou organizačními a technickými opatřeními a) systém zajišťování minimální kybernetické bezpečnosti,

§ 14 odst. 2 zákona č. 264/2025 Sb.

Oblastí je třináct, od písmene a) po m): systém zajišťování minimální kybernetické bezpečnosti, požadavky na vrcholné vedení, řízení aktiv, řízení rizik, bezpečnost lidských zdrojů, řízení kontinuity činností, řízení přístupu, řízení identit a jejich oprávnění, detekce a zaznamenávání kybernetických bezpečnostních událostí, řešení incidentů, bezpečnost komunikačních sítí, aplikační bezpečnost a kryptografické algoritmy.

Kybriq tenhle výčet zásadně nepřerovnává do vlastního členění na organizační a technické. Zákon ho tak neuvádí a takové rozdělení by bylo naše interpretace vydávaná za text.

Vyhlášky 409 a 410: kde je skutečný detail

Paragraf 14 pojmenovává oblasti. Co se v každé oblasti konkrétně dělá, stojí ve dvou vyhláškách, a každá patří jednomu režimu. Vyhláška č. 409/2025 Sb. upravuje bezpečnostní opatření poskytovatele v režimu vyšších povinností, vyhláška č. 410/2025 Sb. tatáž opatření v režimu nižších povinností.

Rozdíl v hloubce je vidět na příkladu. Vyhláška 409 například v rámci řízení rizik požaduje, aby povinná osoba

zpracuje na základě bezpečnostních potřeb a výsledků hodnocení rizik prohlášení o aplikovatelnosti, které obsahuje přehled všech bezpečnostních opatření požadovaných touto vyhláškou, která 1. nebyla aplikována, včetně odůvodnění a uvedení případných přijatých náhradních bezpečnostních opatření, a 2. byla aplikována, včetně způsobu plnění,

§ 8 odst. 1 písm. f) vyhlášky č. 409/2025 Sb.

Prohlášení o aplikovatelnosti je dokument, který musí obsáhnout všechna opatření požadovaná vyhláškou, včetně odůvodnění u těch, která zavedena nebyla. Vedle něj stojí plán zvládání rizik § 8 odst. 1 písm. g) vyhlášky č. 409/2025 Sb. se sedmi povinnými náležitostmi, od popisu opatření po konkrétní způsob realizace.

Vyhláška 410 pracuje v jiném měřítku. Například u role odpovědné osoby požaduje, aby povinná osoba

určí osobu pověřenou kybernetickou bezpečností, které svěří pravomoci potřebné k řízení a rozvoji kybernetické bezpečnosti, dohledu nad stavem kybernetické bezpečnosti a komunikaci s vrcholným vedením, přičemž pro výkon této činnosti 1. absolvuje bez zbytečného odkladu odborné školení podle § 5 odst. 2 písm. d), nebo 2. prokáže odbornou znalost v kybernetické bezpečnosti,

§ 4 písm. a) vyhlášky č. 410/2025 Sb.

Nebo v řízení aktiv:

Povinná osoba v rámci řízení aktiv stanoví pravidla pro používání a manipulaci technických aktiv.

§ 3 odst. 4 vyhlášky č. 410/2025 Sb.

Tady je na místě upřímnost o tom, co Kybriq umí. Vyhlášku 410 máme digitalizovanou na úrovni jednotlivých ustanovení, takže z ní umíme sestavit deset dokumentů, které jmenuje, u každého s ustanovením, které jej vyžaduje, a jeho doslovným zněním. Vyhlášku 409 máme zatím zpracovanou jen na úrovni nadpisů paragrafů, tedy jako rejstřík oblastí, například § 3 vyhlášky č. 409/2025 Sb., § 10 vyhlášky č. 409/2025 Sb. nebo § 16 vyhlášky č. 409/2025 Sb.. Nepředstírá se, že jde o úplný seznam povinností vyššího režimu, a ani vy byste s ním tak pracovat neměli.

Komu se hlásí incidenty

Druhý praktický rozdíl je adresát hlášení. V režimu vyšších povinností je poskytovatel povinen § 15 odst. 1 zákona č. 264/2025 Sb. hlásit Úřadu. V režimu nižších povinností se hlásí § 15 odst. 2 zákona č. 264/2025 Sb. Národnímu CERT. Lhůty podle § 16 jsou přitom v obou režimech stejné a schopnost hlásit musí být funkční do roka od doručení rozhodnutí § 15 odst. 4 zákona č. 264/2025 Sb..

Rozdíl, který se často přehlédne

Zákon zná nástroj, kterým lze členu statutárního orgánu dočasně zakázat výkon funkce. Bývá citovaný nepřesně, tak si ho pojmenujme celý. Předpokládá, že Úřad už dříve uložil rozhodnutí podle § 56 odst. 1, kterým poskytovateli uložil odstranit zjištěné nedostatky, a že člen statutárního orgánu

který v přímé souvislosti s plněním rozhodnutí Úřadu podle § 56 odst. 1, kterým byla poskytovateli regulované služby v režimu vyšších povinností uložena povinnost odstranit zjištěné nedostatky, opakovaně nebo závažně porušil své povinnosti při výkonu funkce, v důsledku čehož bylo zmařeno řádné splnění rozhodnutí Úřadu, zakázat až do doby odstranění zjištěných nedostatků, nejméně po dobu 6 měsíců, výkon této funkce.

§ 58 odst. 1 zákona č. 264/2025 Sb.

Nejde tedy o následek jakéhokoli porušení zákona, ale o reakci na zmaření už uloženého nápravného opatření. A hlavně, na nižší režim nedopadá vůbec:

Rozhodnutí podle odstavce 1 lze vydat pouze vůči osobě vykonávající funkci člena statutárního orgánu u poskytovatele regulované služby v režimu vyšších povinností

§ 58 odst. 2 zákona č. 264/2025 Sb.

Pro vrcholné vedení z toho plyne praktický závěr: v obou režimech je doložitelný přehled o stavu plnění povinností užitečný, ale povaha expozice statutárního orgánu se mezi režimy liší a nemá smysl ji přenášet z jednoho na druhý.

Co připravuje Kybriq a co ne

Kybriq zdarma určí režim a sestaví kalendář povinností s kotvami. V placené části připraví dokumenty podle vyhlášky č. 410/2025 Sb.: každý je výchozí struktura, kterou vyplňuje povinná osoba, a u každého je uvedeno ustanovení, které jej vyžaduje, včetně doslovného znění. Kybriq neposuzuje, zda je opatření skutečně zavedeno, a nevydává o tom prohlášení. Registrace regulované služby probíhá výhradně na Portálu NÚKIB. Nejsme NÚKIB ani s ním nespolupracujeme.

Pokud si nejste jistí, do kterého režimu spadáte, začněte testem působnosti. Celou plochu pravidel i s citacemi si můžete přečíst na stránce Jak rozhodujeme, strojově čitelnou verzi najdete v rozhodovací tabulce.