Zpět na blog

Sankce

Pokuty podle zákona o kybernetické bezpečnosti: kolik a za co

Autor: HEXENKRAFT · 19. 10. 2026

Zákon č. 264/2025 Sb. rozlišuje přestupky poskytovatele regulované služby (§ 59) a přestupky dalších osob (§ 60 a § 61). U každého přestupku zákon stanoví nejvyšší možnou pokutu, tedy strop, nikoli sazebník. Přestupky projednává Národní úřad pro kybernetickou a informační bezpečnost § 62 odst. 1 zákona č. 264/2025 Sb. U nejvyšších sazeb je strop buď pevná částka, nebo procento čistého celosvětového ročního obratu podniku, podle toho, která z částek je vyšší.

Tento článek jen popisuje, co v publikovaném znění zákona stojí, i s číslem ustanovení. Nehodnotí, kdo a kdy bude pokutován. Znění ověřeno 19. 10. 2026 na zakonyprolidi.cz (aktuální znění účinné od 1. 11. 2025).

Kdo pokuty ukládá a čím řízení obvykle začíná?

Pokuty ukládá Úřad, tedy NÚKIB, v přestupkovém řízení § 62 odst. 1 zákona č. 264/2025 Sb. Pokuta ale není jediný nástroj. Zjistí-li NÚKIB, že poskytovatel regulované služby nebo jiná osoba neplní povinnosti, může jim uložit, aby zjištěné nedostatky ve stanovené lhůtě odstranili § 56 odst. 1 zákona č. 264/2025 Sb. Takové rozhodnutí může být prvním úkonem v řízení a rozklad proti němu nemá odkladný účinek § 56 odst. 2 zákona č. 264/2025 Sb. Nesplnění povinnosti uložené nápravným opatřením je samo přestupkem § 59 odst. 1 písm. o) a odst. 2 písm. o) zákona č. 264/2025 Sb.

Jaká je nejvyšší pokuta poskytovatele regulované služby?

U přestupků poskytovatele v režimu vyšších povinností je strop 250 000 000 Kč nebo 2 % obratu, u poskytovatele v režimu nižších povinností 175 000 000 Kč nebo 1,4 % obratu. Zákon to říká takto:

250 000 000 Kč nebo až do výše 2 % čistého celosvětového ročního obratu dosaženého podnikem podle čl. 101 a 102 Smlouvy o fungování Evropské unie, jehož je obviněný součástí, za bezprostředně předcházející účetní období, podle toho, která z daných částek je vyšší

§ 59 odst. 4 písm. a) zákona č. 264/2025 Sb.

175 000 000 Kč nebo až do výše 1,4 % čistého celosvětového ročního obratu dosaženého podnikem podle čl. 101 a 102 Smlouvy o fungování Evropské unie, jehož je obviněný součástí, za bezprostředně předcházející účetní období, podle toho, která z daných částek je vyšší

§ 59 odst. 4 písm. b) zákona č. 264/2025 Sb.

Tyto stropy platí pro většinu přestupků vyjmenovaných v § 59. V režimu vyšších povinností jde o přestupky podle odst. 1 písm. a), c) až m) a o), v režimu nižších povinností podle odst. 2 písm. a), c) až m) a o). Ostatní přestupky mají nižší stropy.

Jaké jsou nižší sazby?

Pevné částky bez procenta z obratu zákon stanoví pro tři skupiny přestupků § 59 odst. 4 písm. c) až e) zákona č. 264/2025 Sb.:

Odpovídající ustanovení jsou § 59 odst. 1 písm. b) a n) (vyšší režim) a odst. 2 písm. b) a n) (nižší režim); strop pro odst. 2 písm. n) je v § 59 odst. 4 písm. e).

100 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. b) nebo odstavce 3 písm. c), d) nebo h),

§ 59 odst. 4 písm. c) zákona č. 264/2025 Sb.

50 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. n), odstavce 2 písm. b), nebo odstavce 3 písm. e),

§ 59 odst. 4 písm. d) zákona č. 264/2025 Sb.

Poskytovatel strategicky významné služby má vlastní výčet v § 59 odst. 3. Jeho stropy jsou 250 000 000 Kč nebo 2 % obratu (písm. a, b, f, g), 100 000 000 Kč (písm. c, d, h) a 50 000 000 Kč (písm. e) § 59 odst. 4 písm. a), c) a d) zákona č. 264/2025 Sb.

Jaké pokuty hrozí dalším osobám?

Paragraf 60 se týká osob mimo výčet v § 59 i povinností, které nejsou vázané na režim poskytovatele. Stropy se pohybují od 50 000 Kč do 250 000 000 Kč § 60 odst. 7 zákona č. 264/2025 Sb. Několik příkladů:

• Do 250 000 000 Kč nebo 2 % obratu: kdo nesplní povinnost ohlásit službu NÚKIB podle § 6 odst. 1, nebo nesplní povinnost uloženou rozhodnutím podle § 24 odst. 1 (§ 60 odst. 1 písm. a) a d), odst. 7 písm. a)).
• Do 100 000 000 Kč: nesplnění povinnosti provést opatření k řešení značného ohrožení nebo narušení bezpečnosti informací v kybernetickém prostoru, uložené v souvislosti se stavem kybernetického nebezpečí podle § 39 (§ 60 odst. 1 písm. f), odst. 7 písm. b)).
• Do 50 000 000 Kč: mimo jiné neposkytnutí součinnosti při zvládání incidentu podle § 17 odst. 3 a nesplnění povinnosti uložené nápravným opatřením podle § 56 odst. 1 (§ 60 odst. 1 písm. b) a g), odst. 7 písm. c)).
• Do 20 000 000 Kč: výkon funkce v rozporu s rozhodnutím o zákazu výkonu funkce podle § 58 (§ 60 odst. 1 písm. h), odst. 7 písm. d)).
• Do 50 000 Kč: porušení povinnosti mlčenlivosti fyzickou osobou podle § 46 odst. 4 (§ 60 odst. 2, odst. 7 písm. f)).

Zvláštní přestupky mají poskytovatelé registrace doménových jmen a správci registrů domén nejvyšší úrovně (§ 60 odst. 3 a 4), s pevným stropem 50 000 000 Kč (§ 60 odst. 7 písm. c)).

Jaké jsou pokuty v oblasti certifikací?

Paragraf 61 upravuje zneužití nebo padělání evropského certifikátu kybernetické bezpečnosti a další přestupky kolem certifikace. Stropy jsou 50 000 000 Kč, 20 000 000 Kč a 2 000 000 Kč podle druhu přestupku § 61 odst. 4 zákona č. 264/2025 Sb. Týká se to především subjektů posuzování shody, držitelů certifikátů a výrobců nebo poskytovatelů, kteří vydávají EU prohlášení o shodě; běžného poskytovatele regulované služby jen tehdy, pokud certifikát nebo označení zneužije či padělá.

Odpovídá za pokutu i vedení firmy?

Přestupky v § 59 jsou formulovány jako přestupky poskytovatele regulované služby. Zákon č. 264/2025 Sb. neukládá členovi statutárního orgánu pokutu za to, že poskytovatel neplní povinnosti. Jako sankci vůči němu zná zákaz výkonu funkce: Úřad mu může zakázat výkon funkce, pokud v přímé souvislosti s plněním rozhodnutí o nápravném opatření opakovaně nebo závažně porušil své povinnosti, v důsledku čehož bylo zmařeno řádné splnění rozhodnutí. Zákaz trvá do odstranění nedostatků, nejméně 6 měsíců.

který v přímé souvislosti s plněním rozhodnutí Úřadu podle § 56 odst. 1, kterým byla poskytovateli regulované služby v režimu vyšších povinností uložena povinnost odstranit zjištěné nedostatky, opakovaně nebo závažně porušil své povinnosti při výkonu funkce, v důsledku čehož bylo zmařeno řádné splnění rozhodnutí Úřadu, zakázat až do doby odstranění zjištěných nedostatků, nejméně po dobu 6 měsíců, výkon této funkce.

§ 58 odst. 1 zákona č. 264/2025 Sb.

Rozhodnutí podle odstavce 1 lze vydat pouze vůči osobě vykonávající funkci člena statutárního orgánu u poskytovatele regulované služby v režimu vyšších povinností

§ 58 odst. 2 zákona č. 264/2025 Sb.

Zákaz se tedy týká jen režimu vyšších povinností a jen po dřívějším rozhodnutí podle § 56 odst. 1. Kdo funkci vykonává i přes zákaz, dopouští se přestupku s pokutou do 20 000 000 Kč (§ 60 odst. 1 písm. h), odst. 7 písm. d)).

Jaké další pokuty zákon zná?

Zákon zná ještě další peněžní nástroje mimo stropy v § 59 až 61. Pořádkovou pokutu až do výše 100 000 Kč lze uložit i opakovaně; celkem nesmí přesáhnout 10 000 000 Kč nebo 1 % čistého obratu, podle toho, která částka je vyšší § 63 odst. 1 zákona č. 264/2025 Sb. Donucovací pokuty k vymáhání povinnosti uložené rozhodnutím mohou dosáhnout 10 000 000 Kč nebo 1 % čistého obratu za poslední ukončené účetní období, podle toho, která částka je vyšší § 63 odst. 2 zákona č. 264/2025 Sb. Pokuta až 10 000 000 Kč je stanovena také za přestupek poskytovatele regulované služby, který jako kontrolovaná osoba nesplní některou z povinností podle § 10 odst. 2 zákona o kontrole § 63 odst. 3 zákona č. 264/2025 Sb.

Co Kybriq dělá a co ne?

Kybriq pomáhá zjistit, zda poskytujete regulovanou službu, v jakém režimu povinností jste a jaké lhůty vám běží. Nepředpovídá, zda a v jaké výši vám NÚKIB uloží pokutu, a nic nezaručuje. Registraci a hlášení podává poskytovatel sám na Portálu NÚKIB.

Chcete-li vědět, jestli se vás zákon týká, projděte test působnosti nebo spusťte kalkulačku zdarma.

Zdroje

• Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 56 až 63 (zakonyprolidi.cz); totéž v e-Sbírce.
• Směrnice (EU) 2022/2555 (NIS2) na EUR-Lex.
• Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB).