Analýza mezer ZKB (zákon č. 264/2025 Sb.)
Spadáte pod zákon: režim vyšších povinností
Tento dokument není právní radou. Konečné posouzení náleží NÚKIB či vašemu advokátovi.
- Organizace:
- Vzorová energetika s.r.o. (fiktivní ukázková firma)
- IČO:
- 00000000 (fiktivní, takové IČO neexistuje)
- Zpracoval:
- Jan Vzorový (fiktivní osoba)
- Otisk (SHA-256)
2921182c0386937d8c31d4312f9d2a3a6e395d68bf7074707b53d2dd2bb6ef53
1.Shrnutí pro vedení
Tato stránka nic nového netvrdí: shrnuje, co je níže ve zprávě, aby vedení vidělo rozsah na jedné straně. Tento dokument není právní radou.
Výsledek
Spadáte pod zákon: režim vyšších povinností
Posouzení je v sekci níže, i s ustanoveními, o která se opírá. Uplatní se na vás režim vyšších povinností.
Nejbližší lhůty
| Termín | Povinnost | Původ |
|---|---|---|
| 1. 10. 2026 | Kvartální přehled pro statutární orgán (6. měsíc) | doporučená praxe |
| 1. 1. 2027 | Kvartální přehled pro statutární orgán (9. měsíc) | doporučená praxe |
| 1. 4. 2027 | Zavedení bezpečnostních opatření (režim vyšších povinností) | ze zákona |
Úplný kalendář je v sekci „Kalendář povinností“.
Stav opatření podle § 14
| Priorita | Počet opatření |
|---|---|
| vysoká | 6 z 25 |
| střední | 6 z 25 |
| nevíme | 6 z 25 |
| dohotoveno | 7 z 25 |
Otevřených oblastí: 18 z 25. Rozpis po jednotlivých opatřeních, i s doporučeným krokem, je v sekci „Analýza mezer po opatřeních“.
Expozice
§ 59 odst. 4 písm. a): Pokutu lze uložit do 250 000 000 Kč nebo až do výše 2 % čistého celosvětového ročního obratu dosaženého podnikem podle čl. 101 a 102 Smlouvy o fungování Evropské unie, jehož je obviněný součástí, za bezprostředně předcházející účetní období, podle toho, která z daných částek je vyšší. Obrat se tedy počítá za celou skupinu, ne za posuzovanou osobu samotnou.
Zákaz výkonu funkce člena statutárního orgánu (§ 58) a sankční rámec (§ 59 odst. 4) jsou v sekci „Pro vedení (statutární orgán)“.
2. Výsledek posouzení působnosti
Spadáte pod zákon: režim vyšších povinností
- Provozujete výrobnu elektřiny s celkovým instalovaným elektrickým výkonem nejméně 100 MW (bod 2.1 písm. b) přílohy vyhl. 408/2025 Sb.) → režim vyšších povinností bez ohledu na velikost podniku.
Zdroje: § 4 odst. 1 písm. a), § 3, příloha, bod 2.1: výroba elektřiny (držitel licence), § 4 odst. 1 písm. b), § 7 písm. a), § 2 odst. 2, příloha, čl. 2 odst. 3: mikropodnik, příloha, čl. 2 odst. 2: malý podnik, příloha, čl. 2 odst. 1: střední podnik (strop MSP)
Doslovné znění každého z nich je v příloze na konci zprávy.
3. Kalendář povinností (doručení rozhodnutí 1. 4. 2026)
- 1. 4. 2026: Doručení rozhodnutí o registraci regulované služby (ze zákona)
- 1. 4. 2026: Definovat stanovený rozsah (primární a podpůrná aktiva) (milník)
- 1. 5. 2026: Hlášení kontaktních a doplňujících údajů NÚKIB (ze zákona)
- 1. 7. 2026: Kvartální přehled pro statutární orgán (3. měsíc) (doporučená praxe)
- 1. 10. 2026: Kvartální přehled pro statutární orgán (6. měsíc) (doporučená praxe)
- 1. 1. 2027: Kvartální přehled pro statutární orgán (9. měsíc) (doporučená praxe)
- 1. 4. 2027: Zavedení bezpečnostních opatření (režim vyšších povinností) (ze zákona)
- 1. 4. 2027: Smlouvy s dodavateli obsahují bezpečnostní požadavky (milník)
- 1. 4. 2027: Go-live hlášení kybernetických bezpečnostních incidentů (ze zákona)
4. Pro vedení (statutární orgán)
Zákaz výkonu funkce člena statutárního orgánu (§ 58 odst. 1) předpokládá, že Úřad již uložil nápravné opatření podle § 56 odst. 1 a člen statutárního orgánu při jeho plnění opakovaně nebo závažně porušil své povinnosti, čímž zmařil řádné splnění rozhodnutí. Teprve pak lze funkci zakázat až do odstranění nedostatků, nejméně na 6 měsíců. Podle § 58 odst. 2 to platí jen u poskytovatele v režimu vyšších povinností.
Sankční rámec (§ 59 odst. 4)
§ 59 odst. 4 písm. a): Porušení povinností při zavádění opatření, hlášení incidentů a nápravných opatřeních
Pokutu lze uložit do 250 000 000 Kč nebo až do výše 2 % čistého celosvětového ročního obratu dosaženého podnikem podle čl. 101 a 102 Smlouvy o fungování Evropské unie, jehož je obviněný součástí, za bezprostředně předcházející účetní období, podle toho, která z daných částek je vyšší. Obrat se tedy počítá za celou skupinu, ne za posuzovanou osobu samotnou.
§ 59 odst. 4 písm. c): nehlášení údajů podle § 11: Neohlášení kontaktních nebo doplňujících údajů nebo jejich změny podle § 11
Za neohlášení kontaktních nebo doplňujících údajů nebo jejich změny podle § 11 se ukládá samostatná pokuta do 100 000 000 Kč. Tento stupeň nemá obratovou složku. Strop platí bez ohledu na velikost skupiny.
5. Analýza mezer po opatřeních (§ 14 zákona)
Organizační opatření (§ 14 odst. 1 písm. a))
| Opatření | Stav | Priorita | Doporučený krok |
|---|---|---|---|
| systém řízení bezpečnosti informací | zavedeno a doložitelné | dohotoveno | Máte-li doklad (politiku, log, záznam o školení), uložte jej do spisu pro případ kontroly. |
| požadavky na vrcholné vedení | částečně zavedeno | střední | Doplňte chybějící dílčí kroky a zdokumentujte, co již běží. Částečné zavádění bez důkazu se při kontrole rovná nezavedení. |
| stanovení bezpečnostních rolí | nezavedeno | vysoká | Naplánujte zavádění s vlastníkem a termínem před vypršením implementační lhůty (§ 13 odst. 4). |
| řízení bezpečnostní politiky a bezpečnostní dokumentace | nevíme / neprošetřeno | vysoká | Nejprve zjistěte stav: bez průzkumu nelze lhůtu naplánovat ani obhájit. |
| řízení aktiv | zavedeno a doložitelné | dohotoveno | Máte-li doklad (politiku, log, záznam o školení), uložte jej do spisu pro případ kontroly. |
| řízení rizik | částečně zavedeno | střední | Doplňte chybějící dílčí kroky a zdokumentujte, co již běží. Částečné zavádění bez důkazu se při kontrole rovná nezavedení. |
| řízení dodavatelů | nezavedeno | vysoká | Naplánujte zavádění s vlastníkem a termínem před vypršením implementační lhůty (§ 13 odst. 4). |
| bezpečnost lidských zdrojů | nevíme / neprošetřeno | vysoká | Nejprve zjistěte stav: bez průzkumu nelze lhůtu naplánovat ani obhájit. |
| řízení změn | zavedeno a doložitelné | dohotoveno | Máte-li doklad (politiku, log, záznam o školení), uložte jej do spisu pro případ kontroly. |
| akvizice, vývoj a údržba | částečně zavedeno | střední | Doplňte chybějící dílčí kroky a zdokumentujte, co již běží. Částečné zavádění bez důkazu se při kontrole rovná nezavedení. |
| řízení přístupu | nezavedeno | vysoká | Naplánujte zavádění s vlastníkem a termínem před vypršením implementační lhůty (§ 13 odst. 4). |
| zvládání kybernetických bezpečnostních událostí a incidentů | nevíme / neprošetřeno | vysoká | Nejprve zjistěte stav: bez průzkumu nelze lhůtu naplánovat ani obhájit. |
| řízení kontinuity činností | zavedeno a doložitelné | dohotoveno | Máte-li doklad (politiku, log, záznam o školení), uložte jej do spisu pro případ kontroly. |
| provádění auditu kybernetické bezpečnosti | částečně zavedeno | střední | Doplňte chybějící dílčí kroky a zdokumentujte, co již běží. Částečné zavádění bez důkazu se při kontrole rovná nezavedení. |
Technická opatření (§ 14 odst. 1 písm. b))
| Opatření | Stav | Priorita | Doporučený krok |
|---|---|---|---|
| fyzická bezpečnost | nezavedeno | vysoká | Naplánujte zavádění s vlastníkem a termínem před vypršením implementační lhůty (§ 13 odst. 4). |
| bezpečnost komunikačních sítí | nevíme / neprošetřeno | vysoká | Nejprve zjistěte stav: bez průzkumu nelze lhůtu naplánovat ani obhájit. |
| správa a ověřování identit | zavedeno a doložitelné | dohotoveno | Máte-li doklad (politiku, log, záznam o školení), uložte jej do spisu pro případ kontroly. |
| řízení přístupových práv a oprávnění | částečně zavedeno | střední | Doplňte chybějící dílčí kroky a zdokumentujte, co již běží. Částečné zavádění bez důkazu se při kontrole rovná nezavedení. |
| detekce kybernetických bezpečnostních událostí | nezavedeno | vysoká | Naplánujte zavádění s vlastníkem a termínem před vypršením implementační lhůty (§ 13 odst. 4). |
| zaznamenávání událostí | nevíme / neprošetřeno | vysoká | Nejprve zjistěte stav: bez průzkumu nelze lhůtu naplánovat ani obhájit. |
| vyhodnocování kybernetických bezpečnostních událostí | zavedeno a doložitelné | dohotoveno | Máte-li doklad (politiku, log, záznam o školení), uložte jej do spisu pro případ kontroly. |
| aplikační bezpečnost | částečně zavedeno | střední | Doplňte chybějící dílčí kroky a zdokumentujte, co již běží. Částečné zavádění bez důkazu se při kontrole rovná nezavedení. |
| kryptografické algoritmy | nezavedeno | vysoká | Naplánujte zavádění s vlastníkem a termínem před vypršením implementační lhůty (§ 13 odst. 4). |
| zajišťování dostupnosti regulované služby | nevíme / neprošetřeno | vysoká | Nejprve zjistěte stav: bez průzkumu nelze lhůtu naplánovat ani obhájit. |
| zabezpečení průmyslových, řídících a obdobných specifických technických aktiv | zavedeno a doložitelné | dohotoveno | Máte-li doklad (politiku, log, záznam o školení), uložte jej do spisu pro případ kontroly. |
Otevřených oblastí: 18 z 25.
6. Přehled bezpečnostních opatření (vyhláška č. 410/2025 Sb., příloha č. 1)
Přehled bezpečnostních opatření podle přílohy č. 1 stanoví vyhláška č. 410/2025 Sb. pro režim nižších povinností. Vy jste v režimu vyšších povinností, kde platí vyhláška č. 409/2025 Sb., a tabulka výše proto není váš dokument.
Obdobnou roli u vás plní dva dokumenty podle § 8 vyhlášky č. 409/2025 Sb.:
- § 8 odst. 1 písm. f): zpracuje na základě bezpečnostních potřeb a výsledků hodnocení rizik prohlášení o aplikovatelnosti, které obsahuje přehled všech bezpečnostních opatření požadovaných touto vyhláškou, která 1. nebyla aplikována, včetně odůvodnění a uvedení případných přijatých náhradních bezpečnostních opatření, a 2. byla aplikována, včetně způsobu plnění,
- § 8 odst. 1 písm. g): na základě provedeného hodnocení rizik podle písmene c) a v souladu se stanovenými kritérii pro akceptovatelnost rizik zpracuje plán zvládání rizik, který obsahuje 1. popis bezpečnostních opatření pro zvládání rizik, 2. cíle a přínosy bezpečnostních opatření pro zvládání rizik, 3. určení osoby zajišťující zavedení bezpečnostních opatření pro zvládání rizik, 4. předpokládané lidské, finanční a technické zdroje pro zavedení bezpečnostních opatření, 5. požadovaný termín zavedení bezpečnostních opatření, 6. popis vazeb mezi riziky a příslušnými bezpečnostními opatřeními a 7. konkrétní způsob realizace bezpečnostních opatření.
Kybriq zatím negeneruje ani prohlášení o aplikovatelnosti, ani plán zvládání rizik. Vyhlášku č. 409/2025 Sb. pokrýváme zatím jen v rozsahu oblastí, které upravuje, nikoli po jednotlivých ustanoveních; níže je proto seznam oblastí, nikoli seznam povinností.
| Oblast podle vyhlášky č. 409/2025 Sb. |
|---|
| § 3 Systém řízení bezpečnosti informací |
| § 4 Požadavky na vrcholné vedení |
| § 5 Stanovení bezpečnostních rolí |
| § 6 Řízení bezpečnostní politiky a bezpečnostní dokumentace |
| § 7 Řízení aktiv |
| § 8 Řízení rizik |
| § 9 Řízení dodavatelů |
| § 10 Bezpečnost lidských zdrojů |
| § 11 Řízení změn |
| § 12 Akvizice, vývoj a údržba |
| § 13 Řízení přístupu |
| § 14 Zvládání kybernetických bezpečnostních událostí a incidentů |
| § 15 Řízení kontinuity činností |
| § 16 Provádění auditu kybernetické bezpečnosti |
| § 17 Fyzická bezpečnost |
| § 18 Bezpečnost komunikačních sítí |
| § 19 Správa a ověřování identit |
| § 20 Řízení přístupových práv a oprávnění |
| § 21 Detekce kybernetických bezpečnostních událostí |
| § 22 Zaznamenávání událostí |
| § 23 Vyhodnocování kybernetických bezpečnostních událostí |
| § 24 Aplikační bezpečnost |
| § 25 Kryptografické algoritmy |
| § 26 Zajišťování dostupnosti regulované služby |
| § 27 Zabezpečení průmyslových, řídicích a obdobných specifických technických aktiv |
7. Dodavatelé (§ 13 odst. 5)
- Vybírejte dodavatele v souladu s bezpečnostními požadavky a zahrnujte je do smluv.
- Checklist klauzulí: rozsah služby, hlášení incidentů (24/72 h), školení personálu dodavatele, auditní práva, ukončení s převodem dokumentace.
8. Runbook hlášení incidentů
- Prvotní hlášení: bez zbytečného odkladu, nejpozději 24 h od zjištění (§ 16 odst. 1).
- Oznámení: 72 h od zjištění u incidentů s významným dopadem (§ 16 odst. 3 písm. a)); služby vytvářející důvěru 24 h (§ 16 odst. 3 písm. a): služby vytvářející důvěru).
- Závěrečná zpráva: 30 dní ode dne předložení oznámení (§ 16 odst. 3 písm. c)). Kanál: Portál Úřadu (§ 16 odst. 4).
- Role: vyhlašovatel (vedoucí IT), schvalovatel (Jana Ukázková (fiktivní osoba)), komunikace (Petr Vzorek (fiktivní osoba)). Naplánujte 2× ročně simulaci.
9. Metodika a kotvy
Každý právní výrok má kotvu na verbatim citaci; korpus je CI-ověřován proti živému textu (legis:check) a pozicně auditován (legis:audit).
Počet kotev v korpusu: 242.
Ustanovení, o která se opírá posouzení působnosti: § 4 odst. 1 písm. a), § 3, příloha, bod 2.1: výroba elektřiny (držitel licence), § 4 odst. 1 písm. b), § 7 písm. a), § 2 odst. 2, příloha, čl. 2 odst. 3: mikropodnik, příloha, čl. 2 odst. 2: malý podnik, příloha, čl. 2 odst. 1: střední podnik (strop MSP). Doslovné znění každého z nich je v příloze na konci zprávy, nezkrácené.
Dokument označen obsahovou verzí zkb-922ac89ac91e ze dne 26. 8. 2026.
10.Přílohy: doslovné citace
Níže je doslovné znění ustanovení, o která se tato zpráva opírá. Text je citován tak, jak je publikován; případné rozpory rozhoduje Sbírka zákonů, nikoli tento dokument.
| Č. | Ustanovení | Doslovné znění |
|---|---|---|
| 1 | § 3 odst. 2 písm. a) | „stanoví přehled bezpečnostních opatření podle přílohy č. 1 k této vyhlášce, který obsahuje přehled všech bezpečnostních opatření, která 1. byla povinnou osobou zavedena, včetně popisu jejich zavedení, 2. budou povinnou osobou zavedena, včetně termínů pro jejich zavedení, priority jejich zavedení a určení osoby odpovědné za jejich zavedení, a 3. nebyla zavedena, včetně odůvodnění jejich nezavedení,“ |
| 2 | § 3 odst. 2 písm. b) | „provede a dokumentuje alespoň jednou ročně aktualizaci přehledu bezpečnostních opatření, včetně vyhodnocení účinnosti zavedených bezpečnostních opatření,“ |
| 3 | § 3 odst. 2 písm. c) | „uchovává jednotlivé přehledy bezpečnostních opatření a jejich aktualizace alespoň po dobu 4 let.“ |
| 4 | § 16 odst. 1 | „nejpozději do 24 hodin po zjištění kybernetického bezpečnostního incidentu, předloží prvotní hlášení“ |
| 5 | § 16 odst. 3 písm. a) | „nejpozději do 72 hodin po zjištění kybernetického bezpečnostního incidentu oznámení“ |
| 6 | § 16 odst. 3 písm. a): služby vytvářející důvěru | „předloží toto oznámení do 24 hodin po zjištění kybernetického bezpečnostního incidentu“ |
| 7 | § 16 odst. 3 písm. c) | „nejpozději do 30 dnů ode dne předložení oznámení podle písmene a) závěrečnou zprávu o vyřešení kybernetického bezpečnostního incidentu“ |
| 8 | § 16 odst. 4 | „prostřednictvím Portálu Úřadu“ |
| 9 | § 4 odst. 1 písm. a) | „veřejná správa, 2. energetika, 3. výrobní průmysl“ |
| 10 | § 3 | „Rozdělení poskytovatelů podle poskytovaných regulovaných služeb do režimů podle § 8 odst. 1 zákona je uvedeno v příloze k této vyhlášce.“ |
| 11 | příloha, bod 2.1: výroba elektřiny (držitel licence) | „poskytovatelem regulované služby v režimu vyšších povinností v případě, že a) je podnikem, který přesahuje hodnoty vymezující střední podnik podle doporučení Komise 2003/361/ES o definici mikropodniků a malých a středních podniků (dále jen „velký podnik“), nebo b) provozuje výrobnu elektřiny s celkovým instalovaným elektrickým výkonem nejméně 100 MW“ |
| 12 | § 4 odst. 1 písm. b) | „poskytovatel služby je středním nebo velkým podnikem ve smyslu doporučení Komise 2003/361/ES ze dne 6. května 2003 o definici mikropodniků a malých a středních podniků (dále jen „doporučení Komise 2003/361/ES“) 6 ) , nebo je významný pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice.“ |
| 13 | § 7 písm. a) | „Odchylně od pravidel doporučení Komise 2003/361/ES pro účely tohoto zákona platí, že a) čl. 3 odst. 4 doporučení Komise 2003/361/ES se neuplatní,“ |
| 14 | § 2 odst. 2 | „v měně euro přepočtou na českou měnu kurzem vyhlášeným Českou národní bankou pro poslední den předcházející posuzovanému kalendářnímu roku“ |
| 15 | příloha, čl. 2 odst. 3: mikropodnik | „employs fewer than 10 persons and whose annual turnover and/or annual balance sheet total does not exceed EUR 2 million“ |
| 16 | příloha, čl. 2 odst. 2: malý podnik | „employs fewer than 50 persons and whose annual turnover and/or annual balance sheet total does not exceed EUR 10 million“ |
| 17 | příloha, čl. 2 odst. 1: střední podnik (strop MSP) | „which employ fewer than 250 persons and which have an annual turnover not exceeding EUR 50 million, and/or an annual balance sheet total not exceeding EUR 43 million“ |