Zpět na blog

Působnost zákona

Spadáte pod NIS2? Jak poznat regulovanou službu podle zákona č. 264/2025 Sb.

Autor: HEXENKRAFT ·

Kybriq banner: Spadáte pod NIS2? Test regulované služby podle § 4 zákona č. 264/2025 Sb.

Zákon č. 264/2025 Sb. nereguluje firmy, ale služby. Spadáte pod něj (a tím pod českou transpozici směrnice NIS2), pokud poskytujete službu uvedenou v příloze vyhlášky č. 408/2025 Sb. a jste střední nebo velký podnik; velikost nerozhoduje u služeb, které NÚKIB registruje podle § 5, a tam, kde to stanoví sama příloha. Velikost se posuzuje včetně partnerských a propojených podniků, nejen za vás samotné.

Nejčastější dotaz, který k nám chodí, nezní „co musíme udělat“, ale „týká se nás to vůbec“. Odpověď má v zákoně přesnou strukturu: dvě podmínky, které musí platit současně, a jednu tabulku, ve které se hledá vaše konkrétní služba. Tenhle článek prochází test krok za krokem a u každého tvrzení uvádí ustanovení, ze kterého plyne. Zákon je národní předpis; směrnice NIS2 (EU) 2022/2555 se u nás uplatňuje právě jeho prostřednictvím § 1 odst. 3 zákona č. 264/2025 Sb.

Zákon nereguluje firmy, reguluje služby

To je rozdíl, který mění celý postup. Povinnou osobou se nestává organizace jako celek, ale poskytovatel konkrétní regulované služby. Jedna firma tak může provozovat tři činnosti, z nichž jedna spadá pod zákon a dvě ne. A naopak: negativní výsledek u jedné služby neříká nic o ostatních.

Podmínky jsou dvě. Služba musí patřit do některého z odvětví, která zákon vyjmenovává § 4 odst. 1 písm. a) zákona č. 264/2025 Sb., a poskytovatel musí být střední nebo velký podnik ve smyslu doporučení Komise 2003/361/ES, případně být významný pro zabezpečení důležitých společenských nebo ekonomických činností § 4 odst. 1 písm. b) zákona č. 264/2025 Sb. Samotný zákon ale konkrétní seznam neobsahuje. Deleguje ho:

Seznam služeb podle odstavce 1 písm. a) a vymezení podmínek významnosti poskytovatele podle odstavce 1 písm. b) stanoví Úřad vyhláškou.

§ 4 odst. 2 zákona č. 264/2025 Sb.

Tou vyhláškou je vyhláška č. 408/2025 Sb. o regulovaných službách. Praktický test se proto z velké části odehrává v její příloze:

Seznam služeb podle § 4 odst. 1 písm. a) zákona a podmínky významnosti poskytovatele služby podle § 4 odst. 1 písm. b) zákona jsou uvedeny v příloze k této vyhlášce.

§ 2 odst. 1 vyhlášky č. 408/2025 Sb.

Krok 1: najděte svou službu v příloze

Příloha je členěná po odvětvích a v každém odvětví po bodech. Bod popisuje činnost poměrně úzce, často odkazem na jiný zákon nebo na držení licence. Několik příkladů, jak konkrétní ten popis bývá:

Když vaši činnost v příloze nenajdete, nemá to znamenat automatické „nespadáte“. Kalkulačka Kybriqu v takové situaci nevrací výsledek „mimo působnost“, ale „potřebujeme doplnit další informace“. Chybný negativní výsledek je totiž ta nejdražší možná chyba, kterou by nástroj tohoto typu mohl udělat.

Krok 2: velikost podniku, a proč se nepočítá jen za vás

Velikostní třída se určuje podle doporučení Komise 2003/361/ES, tedy podle počtu zaměstnanců a finančních ukazatelů. Zákon k tomu ale přidává vlastní odchylky. Neuplatní se článek 3 odst. 4 doporučení § 7 písm. a) zákona č. 264/2025 Sb., a naopak platí praktické pravidlo o technickém oddělení:

za partnerský nebo propojený podnik se nepovažují osoby, jejichž technická aktiva jsou zcela oddělena od technických aktiv, která používá posuzovaná osoba při poskytování regulované služby

§ 7 písm. c) zákona č. 264/2025 Sb.

Prakticky to znamená dvě věci. Za prvé, pokud máte partnerské nebo propojené podniky, vaše čísla se pro účely testu obvykle konsolidují a samostatné údaje mateřské či dceřiné společnosti nestačí. Kalkulačka Kybriqu proto v tomhle případě záměrně odmítá počítat a vrací výsledek k doplnění: konsolidaci za skupinu neumíme provést za vás a odhad by tu byl horší než přiznaná neznalost. Za druhé, technicky zcela oddělená aktiva mohou skupinu rozpojit, ale je to výjimka, kterou musíte umět doložit, ne výchozí stav.

Pokud jsou prahové hodnoty v příloze vyjádřené v eurech, vyhláška určuje i způsob přepočtu § 2 odst. 2 vyhlášky č. 408/2025 Sb. Kurz tedy není na vašem výběru.

Kdy velikost nerozhoduje vůbec

Existují tři situace, ve kterých se test velikostí neřídí.

Technický práh v samotném bodě přílohy. U výroby elektřiny například příloha spojuje velikostní podmínku a výkonovou podmínku spojkou „nebo“:

poskytovatelem regulované služby v režimu vyšších povinností v případě, že a) je podnikem, který přesahuje hodnoty vymezující střední podnik podle doporučení Komise 2003/361/ES o definici mikropodniků a malých a středních podniků (dále jen „velký podnik“), nebo b) provozuje výrobnu elektřiny s celkovým instalovaným elektrickým výkonem nejméně 100 MW

příloha, bod 2.1: výroba elektřiny (držitel licence) vyhlášky č. 408/2025 Sb.

Výrobna s instalovaným výkonem nejméně 100 MW je tedy v režimu vyšších povinností bez ohledu na to, jak velký podnik ji provozuje. Podobně u veřejně dostupné služby elektronických komunikací funguje práh počtu aktivních SIM karet příloha, bod 16.1 písm. b) a c) vyhlášky č. 408/2025 Sb.

Registrace z rozhodnutí Úřadu podle § 5. Zákon umožňuje registrovat službu i tehdy, když je její poskytovatel jediným poskytovatelem v České republice § 5 písm. a) bod 1 zákona č. 264/2025 Sb., nebo když narušení služby může zasáhnout velký počet lidí:

jde o službu, jejíž narušení může způsobit závažný zásah do života více než 125 000 osob

§ 5 písm. b) zákona č. 264/2025 Sb.

Následek je jednoznačný a nezávisí na příloze ani na velikosti:

Je-li regulovaná služba registrována rozhodnutím Úřadu na základě splnění podmínek pro registraci podle § 5, je její poskytovatel v režimu vyšších povinností.

§ 8 odst. 3 zákona č. 264/2025 Sb.

Zvláštní postavení ve veřejné správě. U některých bodů přílohy je rozhodující právní forma poskytovatele, nikoli jeho velikost.

Kdo pod zákon nespadá, a kdo si to jen myslí

Nejčastější omyl je čtení výsledku „mimo působnost“ jako vyjádření o celé firmě. Platí vždy jen pro tu službu, kterou jste právě testovali. Druhý omyl se týká finančních institucí. Pro subjekty, na které dopadá nařízení DORA, obsahuje zákon výjimku, ale je to výjimka částečná:

stanoví povinnosti v oblasti zavádění a provádění bezpečnostních opatření nebo hlášení kybernetických bezpečnostních incidentů a tyto povinnosti mají alespoň srovnatelný účinek jako povinnosti podle tohoto zákona, ustanovení tohoto zákona upravující povinnosti zavádět a provádět bezpečnostní opatření a hlásit kybernetické bezpečnostní incidenty se neuplatní, a to včetně ustanovení o dozoru nad dodržováním uvedených povinností.

§ 70 odst. 1 zákona č. 264/2025 Sb.

Vypadávají tedy povinnosti zavádět bezpečnostní opatření a hlásit incidenty, včetně dozoru nad nimi. Nic víc. Registrace a hlášení údajů podle zákona běží dál. Kybriq proto v tomto případě nevrací „nespadáte“, ale výsledek, který výjimku pojmenuje a zbytek povinností ponechá.

Když test vyjde kladně

Kladný výsledek spouští první lhůtu. Registraci je nutné podat

nejpozději do 60 dnů ode dne, kdy ke splnění podmínek došlo

§ 6 odst. 1 zákona č. 264/2025 Sb.

Formálně se služba stává regulovanou rozhodnutím NÚKIB o registraci (§ 3 a § 6 odst. 2 zákona č. 264/2025 Sb.). Splňuje-li služba podmínky podle § 4 odst. 1, ohlásit ji musíte sami, bez čekání na výzvu (§ 6 odst. 1); registraci podle § 5 zahajuje NÚKIB z moci úřední (§ 6 odst. 3).

Šedesát dnů běží ode dne, kdy byly podmínky splněny, ne ode dne, kdy jste si toho všimli. Samotné podání probíhá na Portálu NÚKIB. Kybriq připraví podklady a doloží, na základě čeho výsledek vyšel, ale registraci za vás nepodává. Co běží dál po registraci, rozebírá druhý článek v tomto seriálu.

Jak si výsledek uložit

Ať už test dopadne jakkoli, uložte si ho. Kalkulačka Kybriqu vrací u každého výsledku kotvy, tedy doslovné citace ustanovení, ze kterých rozhodnutí vzniklo, a odkaz s zakódovanými odpověďmi. Když se za rok zeptá auditor, kontrolní orgán nebo nový obchodní partner v dodavatelském dotazníku, máte doložený postup, ne vzpomínku. Úplná plocha pravidel je veřejná na stránce Jak rozhodujeme.

Samotest: pět otázek

Odpovídejte postupně. Kladný nebo nejasný výsledek je důvod projít kalkulačku na svých číslech.

  1. Poskytujete službu, kterou najdete jako řádek v příloze vyhlášky č. 408/2025 Sb.?
  2. Jste střední nebo velký podnik, když sečtete i partnerské a propojené podniky?
  3. Pokud ne: je vaše služba v příloze vedená s vlastním technickým prahem, který splňujete?
  4. Pokud ne: jste jediným poskytovatelem této služby v ČR, nebo by narušení vaší služby mohlo závažně zasáhnout život více než 125 000 osob? O registraci v takovém případě rozhoduje NÚKIB z moci úřední.
  5. Platí pro vás jiný předpis EU, který ukládá srovnatelná bezpečnostní opatření a hlášení incidentů?

Otázky 1 až 3 odpovídají § 4 zákona č. 264/2025 Sb. a příloze vyhlášky č. 408/2025 Sb., otázka 4 odpovídá § 5 a otázka 5 § 70 odst. 1. Jedna odpověď „ano“ nestačí k závěru: rozhoduje, zda jsou podmínky splněny vcelku.

Časté otázky

Spadá pod zákon i malá firma?

Může. Velikost není jediné kritérium: poskytovatel musí být střední nebo velký podnik, nebo být významný podle podmínek, které stanoví vyhláška § 4 odst. 1 písm. b) a odst. 2 zákona č. 264/2025 Sb. Navíc NÚKIB může službu registrovat z moci úřední podle § 5 § 6 odst. 3 zákona č. 264/2025 Sb.

Jak se počítá velikost, když mám dceřinou nebo mateřskou společnost?

Podle doporučení Komise 2003/361/ES, s odchylkami zákona. Partnerské a propojené podniky se obvykle započítávají, ledaže jejich technická aktiva jsou zcela oddělena od technických aktiv, která používáte při poskytování služby (doporučení Komise 2003/361/ES; § 7 písm. c) zákona č. 264/2025 Sb.)

Platí zákon i pro firmu se sídlem v jiném členském státě EU?

Zákon se vztahuje na osoby usazené na území České republiky a dále na osoby, které v ČR zajišťují sítě nebo poskytují služby elektronických komunikací § 1 odst. 2 zákona č. 264/2025 Sb. Případy s více členskými státy posuzujte s právním zástupcem nebo s NÚKIB.

Musím ohlásit službu, i když si nejsem jistý?

Povinnost ohlásit službu vzniká dnem, kdy služba splní podmínky pro registraci podle § 4 odst. 1, a lhůta 60 dnů běží od tohoto dne (§ 6 odst. 1 zákona č. 264/2025 Sb.). Při nejistotě je rozumné vyjasnit výsledek dřív, než lhůta uplyne, například dotazem na NÚKIB.

Zdroje

Znění zákona ověřeno 19. 10. 2026.

Toto není právní rada. Text popisuje, co v publikovaném znění zákona a vyhlášek stojí, a jak s tím pracuje rozhodovací stroj Kybriqu. Posouzení vaší konkrétní situace patří vašemu právnímu zástupci nebo NÚKIB. Registrace regulované služby probíhá výhradně na Portálu NÚKIB; Kybriq podklady připravuje, ale nepodává je.

Kam dál