# Kybriq · Analýza mezer ZKB (zákon č. 264/2025 Sb.)

Verze obsahu: `zkb-8aff6232984c` · Vygenerováno: 2026-08-26T09:00:00.000Z
Organizace: Vzorová energetika s.r.o. (fiktivní ukázková firma) · IČO: 00000000 (fiktivní, takové IČO neexistuje) · Zpracoval: Jan Vzorový (fiktivní osoba)

> Tento dokument není právní radou. Konečné posouzení náleží NÚKIB či vašemu advokátovi.

## 1. Výsledek posouzení působnosti

**Spadáte pod zákon: režim vyšších povinností**

- Provozujete výrobnu elektřiny s celkovým instalovaným elektrickým výkonem nejméně 100 MW (bod 2.1 písm. b) přílohy vyhl. 408/2025 Sb.) → režim vyšších povinností bez ohledu na velikost podniku.

Zdroje: `zkb-s4-sector-list`, `vyh408-annex-carries-the-regimes`, `vyh408-row-2-1-electricity-generation`, `zkb-s4-size-medium-large`, `zkb-s7-sme-derogations`, `vyh408-cnb-rate-conversion`, `rec-sme-micro-ceiling`, `rec-sme-small-ceiling`, `rec-sme-medium-ceiling`

## 2. Kalendář povinností (doručení rozhodnutí 1. 4. 2026)

- **1. 4. 2026**: Doručení rozhodnutí o registraci regulované služby (statutory)
- **1. 4. 2026**: Milestone: definovat stanovený rozsah (primární a podpůrná aktiva) (milestone)
- **1. 5. 2026**: Hlášení kontaktních a doplňujících údajů NÚKIB (statutory)
- **1. 7. 2026**: Praxe: kvartální přehled pro statutární orgán (3. měsíc) (practice)
- **1. 10. 2026**: Praxe: kvartální přehled pro statutární orgán (6. měsíc) (practice)
- **1. 1. 2027**: Praxe: kvartální přehled pro statutární orgán (9. měsíc) (practice)
- **1. 4. 2027**: Zavedení bezpečnostních opatření (režim vyšších povinností) (statutory)
- **1. 4. 2027**: Milestone: smlouvy s dodavately obsahují bezpečnostní požadavky (milestone)
- **1. 4. 2027**: Go-live hlášení kybernetických bezpečnostních incidentů (statutory)

## Co obsahuje placená část

- 3. Pro vedení (statutární orgán)
- 4. Analýza mezer po opatřeních (§ 14 zákona)
- 5. Dodavatelé (§ 13 odst. 5)
- 6. Runbook hlášení incidentů
- 7. Metodika a kotvy

Placené sekce následují níže v tomto dokumentu.

=== PLACENÁ ČÁST ===

## 3. Pro vedení (statutární orgán)

Zákaz výkonu funkce člena statutárního orgánu (§ 58 odst. 1) předpokládá, že Úřad již uložil nápravné opatření podle § 56 odst. 1 a člen statutárního orgánu při jeho plnění opakovaně nebo závažně porušil své povinnosti, čímž zmařil řádné splnění rozhodnutí. Teprve pak lze funkci zakázat až do odstranění nedostatků, nejméně na 6 měsíců. Podle § 58 odst. 2 to platí jen u poskytovatele v režimu vyšších povinností.

### Sankční rámec (§ 59 odst. 4)

**§ 59 odst. 4 písm. a)**: Porušení povinností při zavádění opatření, hlášení incidentů a nápravných opatřeních

Pokutu lze uložit do 250 000 000 Kč nebo až do výše 2 % čistého celosvětového ročního obratu dosaženého podnikem podle čl. 101 a 102 Smlouvy o fungování Evropské unie, jehož je obviněný součástí, za bezprostředně předcházející účetní období, podle toho, která z daných částek je vyšší. Obrat se tedy počítá za celou skupinu, ne za posuzovanou osobu samotnou.

**§ 59 odst. 4 písm. c): nehlášení údajů podle § 11**: Neohlášení kontaktních nebo doplňujících údajů nebo jejich změny podle § 11

Za neohlášení kontaktních nebo doplňujících údajů nebo jejich změny podle § 11 se ukládá samostatná pokuta do 100 000 000 Kč. Tento stupeň nemá obratovou složku. Strop platí bez ohledu na velikost skupiny.


## 4. Analýza mezer po opatřeních (§ 14 zákona)

### Organizační opatření (§ 14 odst. 1 písm. a))

| Opatření | Stav | Priorita | Doporučený krok |
|---|---|---|---|
| systém řízení bezpečnosti informací | zavedeno a doložitelné | dohotoveno | Máte-li doklad (politiku, log, záznam o školení), uložte jej do spisu pro případ kontroly. |
| požadavky na vrcholné vedení | částečně zavedeno | střední | Doplňte chybějící dílčí kroky a zdokumentujte, co již běží. Částečné zavádění bez důkazu se při kontrole rovná nezavedení. |
| stanovení bezpečnostních rolí | nezavedeno | vysoká | Naplánujte zavádění s vlastníkem a termínem před vypršením implementační lhůty (§ 13 odst. 4). |
| řízení bezpečnostní politiky a bezpečnostní dokumentace | nevíme / neprošetřeno | vysoká | Nejprve zjistěte stav: bez průzkumu nelze lhůtu naplánovat ani obhájit. |
| řízení aktiv | zavedeno a doložitelné | dohotoveno | Máte-li doklad (politiku, log, záznam o školení), uložte jej do spisu pro případ kontroly. |
| řízení rizik | částečně zavedeno | střední | Doplňte chybějící dílčí kroky a zdokumentujte, co již běží. Částečné zavádění bez důkazu se při kontrole rovná nezavedení. |
| řízení dodavatelů | nezavedeno | vysoká | Naplánujte zavádění s vlastníkem a termínem před vypršením implementační lhůty (§ 13 odst. 4). |
| bezpečnost lidských zdrojů | nevíme / neprošetřeno | vysoká | Nejprve zjistěte stav: bez průzkumu nelze lhůtu naplánovat ani obhájit. |
| řízení změn | zavedeno a doložitelné | dohotoveno | Máte-li doklad (politiku, log, záznam o školení), uložte jej do spisu pro případ kontroly. |
| akvizice, vývoj a údržba | částečně zavedeno | střední | Doplňte chybějící dílčí kroky a zdokumentujte, co již běží. Částečné zavádění bez důkazu se při kontrole rovná nezavedení. |
| řízení přístupu | nezavedeno | vysoká | Naplánujte zavádění s vlastníkem a termínem před vypršením implementační lhůty (§ 13 odst. 4). |
| zvládání kybernetických bezpečnostních událostí a incidentů | nevíme / neprošetřeno | vysoká | Nejprve zjistěte stav: bez průzkumu nelze lhůtu naplánovat ani obhájit. |
| řízení kontinuity činností | zavedeno a doložitelné | dohotoveno | Máte-li doklad (politiku, log, záznam o školení), uložte jej do spisu pro případ kontroly. |
| provádění auditu kybernetické bezpečnosti | částečně zavedeno | střední | Doplňte chybějící dílčí kroky a zdokumentujte, co již běží. Částečné zavádění bez důkazu se při kontrole rovná nezavedení. |

### Technická opatření (§ 14 odst. 1 písm. b))

| Opatření | Stav | Priorita | Doporučený krok |
|---|---|---|---|
| fyzická bezpečnost | nezavedeno | vysoká | Naplánujte zavádění s vlastníkem a termínem před vypršením implementační lhůty (§ 13 odst. 4). |
| bezpečnost komunikačních sítí | nevíme / neprošetřeno | vysoká | Nejprve zjistěte stav: bez průzkumu nelze lhůtu naplánovat ani obhájit. |
| správa a ověřování identit | zavedeno a doložitelné | dohotoveno | Máte-li doklad (politiku, log, záznam o školení), uložte jej do spisu pro případ kontroly. |
| řízení přístupových práv a oprávnění | částečně zavedeno | střední | Doplňte chybějící dílčí kroky a zdokumentujte, co již běží. Částečné zavádění bez důkazu se při kontrole rovná nezavedení. |
| detekce kybernetických bezpečnostních událostí | nezavedeno | vysoká | Naplánujte zavádění s vlastníkem a termínem před vypršením implementační lhůty (§ 13 odst. 4). |
| zaznamenávání událostí | nevíme / neprošetřeno | vysoká | Nejprve zjistěte stav: bez průzkumu nelze lhůtu naplánovat ani obhájit. |
| vyhodnocování kybernetických bezpečnostních událostí | zavedeno a doložitelné | dohotoveno | Máte-li doklad (politiku, log, záznam o školení), uložte jej do spisu pro případ kontroly. |
| aplikační bezpečnost | částečně zavedeno | střední | Doplňte chybějící dílčí kroky a zdokumentujte, co již běží. Částečné zavádění bez důkazu se při kontrole rovná nezavedení. |
| kryptografické algoritmy | nezavedeno | vysoká | Naplánujte zavádění s vlastníkem a termínem před vypršením implementační lhůty (§ 13 odst. 4). |
| zajišťování dostupnosti regulované služby | nevíme / neprošetřeno | vysoká | Nejprve zjistěte stav: bez průzkumu nelze lhůtu naplánovat ani obhájit. |
| zabezpečení průmyslových, řídících a obdobných specifických technických aktiv | zavedeno a doložitelné | dohotoveno | Máte-li doklad (politiku, log, záznam o školení), uložte jej do spisu pro případ kontroly. |

Otevřených oblastí: 18 z 25.

## 5. Dodavatelé (§ 13 odst. 5)

- Vybírejte dodavatele v souladu s bezpečnostními požadavky a zahrnujte je do smluv.
- Checklist klauzulí: rozsah služby, hlášení incidentů (24/72 h), školení personálu dodavatele, auditní práva, ukončení s převodem dokumentace.

## 6. Runbook hlášení incidentů

- Prvotní hlášení: bez zbytečného odkladu, nejpozději 24 h od zjištění (`zkb-s16-initial-report-24h`).
- Oznámení: 72 h od zjištění u incidentů s významným dopadem; služby vytvářející důvěru 24 h (`zkb-s16-notification-72h` / `zkb-s16-trust-services-24h`).
- Závěrečná zpráva: 30 dní ode dne předložení oznámení (`zkb-s16-final-report-30d`). Kanál: Portál Úřadu (`zkb-s16-via-office-portal`).
- Role: vyhlašovatel (vedoucí IT), schvalovatel (Jana Ukázková (fiktivní osoba)), komunikace (Petr Vzorek (fiktivní osoba)). Naplánujte 2× ročně simulaci.

## 7. Metodika a kotvy

Každý právní výrok má kotvu na verbatim citaci; korpus je CI-ověřován proti živému textu (legis:check) a pozicně auditován (legis:audit).
Počet kotev v korpusu: 63.

| Kotva | Místo | Citace (zkráceno) |
|---|---|---|
| `zkb-s4-sector-list` | § 4 odst. 1 písm. a) | veřejná správa, 2. energetika, 3. výrobní průmysl… |
| `vyh408-annex-carries-the-regimes` | § 3 | Rozdělení poskytovatelů podle poskytovaných regulovaných služeb do režimů podle § 8 odst. … |
| `vyh408-row-2-1-electricity-generation` | příloha, bod 2.1: výroba elektřiny (držitel licence) | poskytovatelem regulované služby v režimu vyšších povinností v případě, že a) je podnikem,… |
| `zkb-s4-size-medium-large` | § 4 odst. 1 písm. b) | poskytovatel služby je středním nebo velkým podnikem ve smyslu doporučení Komise 2003/361/… |
| `zkb-s7-sme-derogations` | § 7 písm. a) | Odchylně od pravidel doporučení Komise 2003/361/ES pro účely tohoto zákona platí, že a) čl… |
| `vyh408-cnb-rate-conversion` | § 2 odst. 2 | v měně euro přepočtou na českou měnu kurzem vyhlášeným Českou národní bankou pro poslední … |
| `rec-sme-micro-ceiling` | Annex, Article 2(3): microenterprise | employs fewer than 10 persons and whose annual turnover and/or annual balance sheet total … |
| `rec-sme-small-ceiling` | Annex, Article 2(2): small enterprise | employs fewer than 50 persons and whose annual turnover and/or annual balance sheet total … |
| `rec-sme-medium-ceiling` | Annex, Article 2(1): medium-sized / SME ceiling | which employ fewer than 250 persons and which have an annual turnover not exceeding EUR 50… |

---
Dokument označen obsahovou verzí `zkb-8aff6232984c` a časem 2026-08-26T09:00:00.000Z.

Integrita: SHA-256 těla = d283235eb97230fa7eb73dcc57374d6223ca72d8eaccff88fdd0eeecfa15f158