Zpět na blog

Působnost zákona

Spadáte pod nový kybernetický zákon? Jak poznat regulovanou službu

Autor: Matic Jezeršek, MSc. ·

Kybriq banner: Spadáte pod nový kybernetický zákon? Test regulované služby podle § 4 zákona č. 264/2025 Sb.

Nejčastější dotaz, který k nám chodí, nezní „co musíme udělat“, ale „týká se nás to vůbec“. Odpověď na něj má v zákoně č. 264/2025 Sb. překvapivě přesnou strukturu. Nejde o odhad ani o velikost firmy v obecném slova smyslu. Jde o dvě podmínky, které musí platit současně, a o jednu tabulku, ve které se hledá vaše konkrétní služba. Tenhle článek prochází ten test krok za krokem a u každého tvrzení uvádí ustanovení, ze kterého plyne.

Zákon nereguluje firmy, reguluje služby

To je rozdíl, který mění celý postup. Povinnou osobou se nestává organizace jako celek, ale poskytovatel konkrétní regulované služby. Jedna firma tak může provozovat tři činnosti, z nichž jedna spadá pod zákon a dvě ne. A naopak: negativní výsledek u jedné služby neříká nic o ostatních.

Podmínky jsou dvě. Služba musí patřit do některého z odvětví, která zákon vyjmenovává § 4 odst. 1 písm. a) zákona č. 264/2025 Sb., a poskytovatel musí být střední nebo velký podnik ve smyslu doporučení Komise 2003/361/ES, případně být významný pro zabezpečení důležitých společenských nebo ekonomických činností § 4 odst. 1 písm. b) zákona č. 264/2025 Sb.. Samotný zákon ale konkrétní seznam neobsahuje. Deleguje ho:

Seznam služeb podle odstavce 1 písm. a) a vymezení podmínek významnosti poskytovatele podle odstavce 1 písm. b) stanoví Úřad vyhláškou.

§ 4 odst. 2 zákona č. 264/2025 Sb.

Tou vyhláškou je vyhláška č. 408/2025 Sb. o regulovaných službách. Praktický test se proto z velké části odehrává v její příloze:

Seznam služeb podle § 4 odst. 1 písm. a) zákona a podmínky významnosti poskytovatele služby podle § 4 odst. 1 písm. b) zákona jsou uvedeny v příloze k této vyhlášce.

§ 2 odst. 1 vyhlášky č. 408/2025 Sb.

Krok 1: najděte svou službu v příloze

Příloha je členěná po odvětvích a v každém odvětví po bodech. Bod popisuje činnost poměrně úzce, často odkazem na jiný zákon nebo na držení licence. Několik příkladů, jak konkrétní ten popis bývá:

Když vaši činnost v příloze nenajdete, nemá to znamenat automatické „nespadáte“. Kalkulačka Kybriqu v takové situaci nevrací výsledek „mimo působnost“, ale „potřebujeme doplnit další informace“. Chybný negativní výsledek je totiž ta nejdražší možná chyba, kterou by nástroj tohoto typu mohl udělat.

Krok 2: velikost podniku, a proč se nepočítá jen za vás

Velikostní třída se určuje podle doporučení Komise 2003/361/ES, tedy podle počtu zaměstnanců a finančních ukazatelů. Zákon k tomu ale přidává vlastní odchylky. Neuplatní se článek 3 odst. 4 doporučení § 7 písm. a) zákona č. 264/2025 Sb., a naopak platí praktické pravidlo o technickém oddělení:

za partnerský nebo propojený podnik se nepovažují osoby, jejichž technická aktiva jsou zcela oddělena od technických aktiv, která používá posuzovaná osoba při poskytování regulované služby

§ 7 písm. c) zákona č. 264/2025 Sb.

Prakticky to znamená dvě věci. Za prvé, pokud máte partnerské nebo propojené podniky, vaše čísla se pro účely testu obvykle konsolidují a samostatné údaje mateřské či dceřiné společnosti nestačí. Kalkulačka Kybriqu proto v tomhle případě záměrně odmítá počítat a vrací výsledek k doplnění: konsolidaci za skupinu neumíme provést za vás a odhad by tu byl horší než přiznaná neznalost. Za druhé, technicky zcela oddělená aktiva mohou skupinu rozpojit, ale je to výjimka, kterou musíte umět doložit, ne výchozí stav.

Pokud jsou prahové hodnoty v příloze vyjádřené v eurech, vyhláška určuje i způsob přepočtu § 2 odst. 2 vyhlášky č. 408/2025 Sb.. Kurz tedy není na vašem výběru.

Kdy velikost nerozhoduje vůbec

Existují tři situace, ve kterých se test velikostí neřídí.

Technický práh v samotném bodě přílohy. U výroby elektřiny například příloha spojuje velikostní podmínku a výkonovou podmínku spojkou „nebo“:

poskytovatelem regulované služby v režimu vyšších povinností v případě, že a) je podnikem, který přesahuje hodnoty vymezující střední podnik podle doporučení Komise 2003/361/ES o definici mikropodniků a malých a středních podniků (dále jen „velký podnik“), nebo b) provozuje výrobnu elektřiny s celkovým instalovaným elektrickým výkonem nejméně 100 MW

příloha, bod 2.1: výroba elektřiny (držitel licence) vyhlášky č. 408/2025 Sb.

Výrobna s instalovaným výkonem nejméně 100 MW je tedy v režimu vyšších povinností bez ohledu na to, jak velký podnik ji provozuje. Podobně u veřejně dostupné služby elektronických komunikací funguje práh počtu aktivních SIM karet příloha, bod 16.1 písm. b)–c) vyhlášky č. 408/2025 Sb..

Registrace z rozhodnutí Úřadu podle § 5. Zákon umožňuje registrovat službu i tehdy, když je její poskytovatel jediným poskytovatelem v České republice § 5 písm. a) bod 1 zákona č. 264/2025 Sb., nebo když narušení služby může zasáhnout velký počet lidí:

jde o službu, jejíž narušení může způsobit závažný zásah do života více než 125 000 osob

§ 5 písm. b) zákona č. 264/2025 Sb.

Následek je jednoznačný a nezávisí na příloze ani na velikosti:

Je-li regulovaná služba registrována rozhodnutím Úřadu na základě splnění podmínek pro registraci podle § 5, je její poskytovatel v režimu vyšších povinností.

§ 8 odst. 3 zákona č. 264/2025 Sb.

Zvláštní postavení ve veřejné správě. U některých bodů přílohy je rozhodující právní forma poskytovatele, nikoli jeho velikost.

Kdo pod zákon nespadá, a kdo si to jen myslí

Nejčastější omyl je čtení výsledku „mimo působnost“ jako vyjádření o celé firmě. Platí vždy jen pro tu službu, kterou jste právě testovali. Druhý omyl se týká finančních institucí. Pro subjekty, na které dopadá nařízení DORA, obsahuje zákon výjimku, ale je to výjimka částečná:

stanoví povinnosti v oblasti zavádění a provádění bezpečnostních opatření nebo hlášení kybernetických bezpečnostních incidentů a tyto povinnosti mají alespoň srovnatelný účinek jako povinnosti podle tohoto zákona, ustanovení tohoto zákona upravující povinnosti zavádět a provádět bezpečnostní opatření a hlásit kybernetické bezpečnostní incidenty se neuplatní, a to včetně ustanovení o dozoru nad dodržováním uvedených povinností.

§ 70 odst. 1 zákona č. 264/2025 Sb.

Vypadávají tedy povinnosti zavádět bezpečnostní opatření a hlásit incidenty, včetně dozoru nad nimi. Nic víc. Registrace a hlášení údajů podle zákona běží dál. Kybriq proto v tomto případě nevrací „nespadáte“, ale výsledek, který výjimku pojmenuje a zbytek povinností ponechá.

Když test vyjde kladně

Kladný výsledek spouští první lhůtu. Registraci je nutné podat

nejpozději do 60 dnů ode dne, kdy ke splnění podmínek došlo

§ 6 odst. 1 zákona č. 264/2025 Sb.

Šedesát dnů běží ode dne, kdy byly podmínky splněny, ne ode dne, kdy jste si toho všimli. Samotné podání probíhá na Portálu NÚKIB. Kybriq připraví podklady a doloží, na základě čeho výsledek vyšel, ale registraci za vás nepodává. Co běží dál po registraci, rozebírá druhý článek v tomto seriálu.

Jak si výsledek uložit

Ať už test dopadne jakkoli, uložte si ho. Kalkulačka Kybriqu vrací u každého výsledku kotvy, tedy doslovné citace ustanovení, ze kterých rozhodnutí vzniklo, a odkaz s zakódovanými odpověďmi. Když se za rok zeptá auditor, kontrolní orgán nebo nový obchodní partner v dodavatelském dotazníku, máte doložený postup, ne vzpomínku. Úplná plocha pravidel je veřejná na stránce Jak rozhodujeme.

Toto není právní rada. Text popisuje, co v publikovaném znění zákona a vyhlášek stojí, a jak s tím pracuje rozhodovací stroj Kybriqu. Posouzení vaší konkrétní situace patří vašemu právnímu zástupci nebo NÚKIB. Registrace regulované služby probíhá výhradně na Portálu NÚKIB; Kybriq podklady připravuje, ale nepodává je.

Kam dál