Kybriq · Analýza mezer ZKB (zákon č. 264/2025 Sb.)
Verze obsahu: zkb-8aff6232984c · Vygenerováno: 2026-08-26T09:00:00.000Z
Organizace: Vzorová energetika s.r.o. (fiktivní ukázková firma) · IČO: 00000000 (fiktivní, takové IČO neexistuje) · Zpracoval: Jan Vzorový (fiktivní osoba)
Tento dokument není právní radou. Konečné posouzení náleží NÚKIB či vašemu advokátovi.
1. Výsledek posouzení působnosti
Spadáte pod zákon: režim vyšších povinností
- Provozujete výrobnu elektřiny s celkovým instalovaným elektrickým výkonem nejméně 100 MW (bod 2.1 písm. b) přílohy vyhl. 408/2025 Sb.) → režim vyšších povinností bez ohledu na velikost podniku.
Zdroje: zkb-s4-sector-list, vyh408-annex-carries-the-regimes, vyh408-row-2-1-electricity-generation, zkb-s4-size-medium-large, zkb-s7-sme-derogations, vyh408-cnb-rate-conversion, rec-sme-micro-ceiling, rec-sme-small-ceiling, rec-sme-medium-ceiling
2. Kalendář povinností (doručení rozhodnutí 1. 4. 2026)
- 1. 4. 2026: Doručení rozhodnutí o registraci regulované služby (statutory)
- 1. 4. 2026: Milestone: definovat stanovený rozsah (primární a podpůrná aktiva) (milestone)
- 1. 5. 2026: Hlášení kontaktních a doplňujících údajů NÚKIB (statutory)
- 1. 7. 2026: Praxe: kvartální přehled pro statutární orgán (3. měsíc) (practice)
- 1. 10. 2026: Praxe: kvartální přehled pro statutární orgán (6. měsíc) (practice)
- 1. 1. 2027: Praxe: kvartální přehled pro statutární orgán (9. měsíc) (practice)
- 1. 4. 2027: Zavedení bezpečnostních opatření (režim vyšších povinností) (statutory)
- 1. 4. 2027: Milestone: smlouvy s dodavately obsahují bezpečnostní požadavky (milestone)
- 1. 4. 2027: Go-live hlášení kybernetických bezpečnostních incidentů (statutory)
Co obsahuje placená část
- 3. Pro vedení (statutární orgán)
- 4. Analýza mezer po opatřeních (§ 14 zákona)
- 5. Dodavatelé (§ 13 odst. 5)
- 6. Runbook hlášení incidentů
- 7. Metodika a kotvy
Placené sekce následují níže v tomto dokumentu.
=== PLACENÁ ČÁST ===
3. Pro vedení (statutární orgán)
Zákaz výkonu funkce člena statutárního orgánu (§ 58 odst. 1) předpokládá, že Úřad již uložil nápravné opatření podle § 56 odst. 1 a člen statutárního orgánu při jeho plnění opakovaně nebo závažně porušil své povinnosti, čímž zmařil řádné splnění rozhodnutí. Teprve pak lze funkci zakázat až do odstranění nedostatků, nejméně na 6 měsíců. Podle § 58 odst. 2 to platí jen u poskytovatele v režimu vyšších povinností.
Sankční rámec (§ 59 odst. 4)
§ 59 odst. 4 písm. a): Porušení povinností při zavádění opatření, hlášení incidentů a nápravných opatřeních
Pokutu lze uložit do 250 000 000 Kč nebo až do výše 2 % čistého celosvětového ročního obratu dosaženého podnikem podle čl. 101 a 102 Smlouvy o fungování Evropské unie, jehož je obviněný součástí, za bezprostředně předcházející účetní období, podle toho, která z daných částek je vyšší. Obrat se tedy počítá za celou skupinu, ne za posuzovanou osobu samotnou.
§ 59 odst. 4 písm. c): nehlášení údajů podle § 11: Neohlášení kontaktních nebo doplňujících údajů nebo jejich změny podle § 11
Za neohlášení kontaktních nebo doplňujících údajů nebo jejich změny podle § 11 se ukládá samostatná pokuta do 100 000 000 Kč. Tento stupeň nemá obratovou složku. Strop platí bez ohledu na velikost skupiny.
4. Analýza mezer po opatřeních (§ 14 zákona)
Organizační opatření (§ 14 odst. 1 písm. a))
| Opatření | Stav | Priorita | Doporučený krok |
|---|---|---|---|
| systém řízení bezpečnosti informací | zavedeno a doložitelné | dohotoveno | Máte-li doklad (politiku, log, záznam o školení), uložte jej do spisu pro případ kontroly. |
| požadavky na vrcholné vedení | částečně zavedeno | střední | Doplňte chybějící dílčí kroky a zdokumentujte, co již běží. Částečné zavádění bez důkazu se při kontrole rovná nezavedení. |
| stanovení bezpečnostních rolí | nezavedeno | vysoká | Naplánujte zavádění s vlastníkem a termínem před vypršením implementační lhůty (§ 13 odst. 4). |
| řízení bezpečnostní politiky a bezpečnostní dokumentace | nevíme / neprošetřeno | vysoká | Nejprve zjistěte stav: bez průzkumu nelze lhůtu naplánovat ani obhájit. |
| řízení aktiv | zavedeno a doložitelné | dohotoveno | Máte-li doklad (politiku, log, záznam o školení), uložte jej do spisu pro případ kontroly. |
| řízení rizik | částečně zavedeno | střední | Doplňte chybějící dílčí kroky a zdokumentujte, co již běží. Částečné zavádění bez důkazu se při kontrole rovná nezavedení. |
| řízení dodavatelů | nezavedeno | vysoká | Naplánujte zavádění s vlastníkem a termínem před vypršením implementační lhůty (§ 13 odst. 4). |
| bezpečnost lidských zdrojů | nevíme / neprošetřeno | vysoká | Nejprve zjistěte stav: bez průzkumu nelze lhůtu naplánovat ani obhájit. |
| řízení změn | zavedeno a doložitelné | dohotoveno | Máte-li doklad (politiku, log, záznam o školení), uložte jej do spisu pro případ kontroly. |
| akvizice, vývoj a údržba | částečně zavedeno | střední | Doplňte chybějící dílčí kroky a zdokumentujte, co již běží. Částečné zavádění bez důkazu se při kontrole rovná nezavedení. |
| řízení přístupu | nezavedeno | vysoká | Naplánujte zavádění s vlastníkem a termínem před vypršením implementační lhůty (§ 13 odst. 4). |
| zvládání kybernetických bezpečnostních událostí a incidentů | nevíme / neprošetřeno | vysoká | Nejprve zjistěte stav: bez průzkumu nelze lhůtu naplánovat ani obhájit. |
| řízení kontinuity činností | zavedeno a doložitelné | dohotoveno | Máte-li doklad (politiku, log, záznam o školení), uložte jej do spisu pro případ kontroly. |
| provádění auditu kybernetické bezpečnosti | částečně zavedeno | střední | Doplňte chybějící dílčí kroky a zdokumentujte, co již běží. Částečné zavádění bez důkazu se při kontrole rovná nezavedení. |
Technická opatření (§ 14 odst. 1 písm. b))
| Opatření | Stav | Priorita | Doporučený krok |
|---|---|---|---|
| fyzická bezpečnost | nezavedeno | vysoká | Naplánujte zavádění s vlastníkem a termínem před vypršením implementační lhůty (§ 13 odst. 4). |
| bezpečnost komunikačních sítí | nevíme / neprošetřeno | vysoká | Nejprve zjistěte stav: bez průzkumu nelze lhůtu naplánovat ani obhájit. |
| správa a ověřování identit | zavedeno a doložitelné | dohotoveno | Máte-li doklad (politiku, log, záznam o školení), uložte jej do spisu pro případ kontroly. |
| řízení přístupových práv a oprávnění | částečně zavedeno | střední | Doplňte chybějící dílčí kroky a zdokumentujte, co již běží. Částečné zavádění bez důkazu se při kontrole rovná nezavedení. |
| detekce kybernetických bezpečnostních událostí | nezavedeno | vysoká | Naplánujte zavádění s vlastníkem a termínem před vypršením implementační lhůty (§ 13 odst. 4). |
| zaznamenávání událostí | nevíme / neprošetřeno | vysoká | Nejprve zjistěte stav: bez průzkumu nelze lhůtu naplánovat ani obhájit. |
| vyhodnocování kybernetických bezpečnostních událostí | zavedeno a doložitelné | dohotoveno | Máte-li doklad (politiku, log, záznam o školení), uložte jej do spisu pro případ kontroly. |
| aplikační bezpečnost | částečně zavedeno | střední | Doplňte chybějící dílčí kroky a zdokumentujte, co již běží. Částečné zavádění bez důkazu se při kontrole rovná nezavedení. |
| kryptografické algoritmy | nezavedeno | vysoká | Naplánujte zavádění s vlastníkem a termínem před vypršením implementační lhůty (§ 13 odst. 4). |
| zajišťování dostupnosti regulované služby | nevíme / neprošetřeno | vysoká | Nejprve zjistěte stav: bez průzkumu nelze lhůtu naplánovat ani obhájit. |
| zabezpečení průmyslových, řídících a obdobných specifických technických aktiv | zavedeno a doložitelné | dohotoveno | Máte-li doklad (politiku, log, záznam o školení), uložte jej do spisu pro případ kontroly. |
Otevřených oblastí: 18 z 25.
5. Dodavatelé (§ 13 odst. 5)
- Vybírejte dodavatele v souladu s bezpečnostními požadavky a zahrnujte je do smluv.
- Checklist klauzulí: rozsah služby, hlášení incidentů (24/72 h), školení personálu dodavatele, auditní práva, ukončení s převodem dokumentace.
6. Runbook hlášení incidentů
- Prvotní hlášení: bez zbytečného odkladu, nejpozději 24 h od zjištění (
zkb-s16-initial-report-24h). - Oznámení: 72 h od zjištění u incidentů s významným dopadem; služby vytvářející důvěru 24 h (
zkb-s16-notification-72h/zkb-s16-trust-services-24h). - Závěrečná zpráva: 30 dní ode dne předložení oznámení (
zkb-s16-final-report-30d). Kanál: Portál Úřadu (zkb-s16-via-office-portal). - Role: vyhlašovatel (vedoucí IT), schvalovatel (Jana Ukázková (fiktivní osoba)), komunikace (Petr Vzorek (fiktivní osoba)). Naplánujte 2× ročně simulaci.
7. Metodika a kotvy
Každý právní výrok má kotvu na verbatim citaci; korpus je CI-ověřován proti živému textu (legis:check) a pozicně auditován (legis:audit).
Počet kotev v korpusu: 63.
| Kotva | Místo | Citace (zkráceno) |
|---|---|---|
zkb-s4-sector-list | § 4 odst. 1 písm. a) | veřejná správa, 2. energetika, 3. výrobní průmysl… |
vyh408-annex-carries-the-regimes | § 3 | Rozdělení poskytovatelů podle poskytovaných regulovaných služeb do režimů podle § 8 odst. … |
vyh408-row-2-1-electricity-generation | příloha, bod 2.1: výroba elektřiny (držitel licence) | poskytovatelem regulované služby v režimu vyšších povinností v případě, že a) je podnikem,… |
zkb-s4-size-medium-large | § 4 odst. 1 písm. b) | poskytovatel služby je středním nebo velkým podnikem ve smyslu doporučení Komise 2003/361/… |
zkb-s7-sme-derogations | § 7 písm. a) | Odchylně od pravidel doporučení Komise 2003/361/ES pro účely tohoto zákona platí, že a) čl… |
vyh408-cnb-rate-conversion | § 2 odst. 2 | v měně euro přepočtou na českou měnu kurzem vyhlášeným Českou národní bankou pro poslední … |
rec-sme-micro-ceiling | Annex, Article 2(3): microenterprise | employs fewer than 10 persons and whose annual turnover and/or annual balance sheet total … |
rec-sme-small-ceiling | Annex, Article 2(2): small enterprise | employs fewer than 50 persons and whose annual turnover and/or annual balance sheet total … |
rec-sme-medium-ceiling | Annex, Article 2(1): medium-sized / SME ceiling | which employ fewer than 250 persons and which have an annual turnover not exceeding EUR 50… |
Dokument označen obsahovou verzí zkb-8aff6232984c a časem 2026-08-26T09:00:00.000Z.