EdLaw
Regulované služby po transpozici NIS2
Rozsah nového zákona o kybernetické bezpečnosti (transpozice NIS2, účinnost od 1. listopadu 2025): předmět úpravy (§ 1) a podmínky registrace regulované služby (§§ 3–6) — odvětvový seznam zahrnuje mimo jiné „věda, výzkum a vzdělávání" a „digitální infrastruktura a služby", s prahem středního nebo velkého podniku; seznam služeb stanoví NÚKIB vyhláškou.
§ 1 — Předmět úpravy
Doslovně z e-Sbírky (aktuální znění /sb/2025/264/2025-11-01; Zákon č. 264/2025 Sb., o kybernetické bezpečnosti).
(1) Tento zákon upravuje práva a povinnosti osob, organizačních složek státu a dalších orgánů veřejné moci v oblasti zajišťování kybernetické bezpečnosti a působnost a pravomoci Národního úřadu pro kybernetickou a informační bezpečnost (dále jen „Úřad“) a dalších orgánů veřejné moci.
(2) Tento zákon se vztahuje na osoby, které jsou usazeny na území České republiky. Tento zákon se dále vztahuje na osoby, které na území České republiky zajišťují sítě nebo poskytují služby elektronických komunikací podle jiného právního předpisu^1), bez ohledu na místo jejich usazení.
(3) Tento zákon zapracovává příslušný předpis Evropské unie^2) a zároveň navazuje na přímo použitelné předpisy Evropské unie^3).
(4) Tento zákon se nevztahuje na informační nebo komunikační systémy, které nakládají s utajovanými informacemi.
§ 3 — Regulovaná služba
Doslovně z e-Sbírky (aktuální znění /sb/2025/264/2025-11-01; Zákon č. 264/2025 Sb., o kybernetické bezpečnosti).
Regulovanou službou je služba, o které tak rozhodl Úřad podle § 6 odst. 2.
§ 4 — Podmínky pro registraci regulované služby
Doslovně z e-Sbírky (aktuální znění /sb/2025/264/2025-11-01; Zákon č. 264/2025 Sb., o kybernetické bezpečnosti).
- a) jde o službu, která je významná pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice, v některém z těchto odvětví:
- 1. veřejná správa,
- 2. energetika,
- 3. výrobní průmysl,
- 4. potravinářský průmysl,
- 5. chemický průmysl,
- 6. vodní hospodářství,
- 7. odpadové hospodářství,
- 8. doprava,
- 9. digitální infrastruktura a služby,
- 10. finanční trh,
- 11. zdravotnictví,
- 12. věda, výzkum a vzdělávání,
- 13. poštovní a kurýrní služby,
- 14. obranný průmysl,
- 15. vesmírný průmysl a
- b) poskytovatel služby je středním nebo velkým podnikem ve smyslu doporučení Komise 2003/361/ES ze dne 6. května 2003 o definici mikropodniků a malých a středních podniků (dále jen „doporučení Komise 2003/361/ES“)^6), nebo je významný pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice. (2) Seznam služeb podle odstavce 1 písm. a) a vymezení podmínek významnosti poskytovatele podle odstavce 1 písm. b) stanoví Úřad vyhláškou.
§ 5
Doslovně z e-Sbírky (aktuální znění /sb/2025/264/2025-11-01; Zákon č. 264/2025 Sb., o kybernetické bezpečnosti).
Podmínky pro registraci regulované služby jsou dále splněny v případě, že
- a) jde o službu podle § 4 odst. 1 písm. a) a
- 1. její poskytovatel je jediným poskytovatelem této služby v České republice a tato služba je zásadní pro zabezpečení kritických společenských nebo ekonomických činností nebo pro bezpečnost v České republice,
- 2. narušení této služby by mohlo mít významný dopad na bezpečnost České republiky, vnitřní pořádek nebo život a zdraví,
- 3. narušení této služby by mohlo vyvolat významná systémová rizika, zejména v odvětvích, kde by takové narušení mohlo mít přeshraniční dopad, nebo
- 4. její poskytovatel je kvůli svému specifickému významu na regionální nebo celostátní úrovni zásadní pro konkrétní odvětví, ve kterém působí, nebo typ služby, kterou poskytuje anebo pro jiná vzájemně propojená odvětví v České republice,
- b) jde o službu, jejíž narušení může způsobit závažný zásah do života více než 125 000 osob, a to prostřednictvím ohrožení bezpečnosti České republiky, vnitřního pořádku, života a zdraví, majetkové hodnoty nebo životního prostředí,
- c) jde o službu, jejíž narušení může způsobit závažný zásah do schopnosti poskytovat jinou regulovanou službu poskytovatele v režimu vyšších povinností, nebo
- d) jde o službu, jejíž poskytovatel je subjektem kritické infrastruktury podle právního předpisu upravujícího krizové řízení a kritickou infrastrukturu; v takovém případě je regulovanou službou služba odpovídající prvku kritické infrastruktury určenému u tohoto subjektu.
§ 6 — Ohlášení a registrace regulované služby
Doslovně z e-Sbírky (aktuální znění /sb/2025/264/2025-11-01; Zákon č. 264/2025 Sb., o kybernetické bezpečnosti).
(1) Poskytovatel služby splňující podmínky pro registraci regulované služby podle § 4 odst. 1 je pro účely vydání rozhodnutí o registraci regulované služby povinen ohlásit tuto službu Úřadu nejpozději do 60 dnů ode dne, kdy ke splnění podmínek došlo. Formát a způsob ohlášení podle tohoto odstavce stanoví Úřad vyhláškou.
(2) Úřad rozhodne o registraci regulované služby v případě, že jsou splněny podmínky pro registraci regulované služby podle § 4 odst. 1 nebo § 5.
(3) Řízení o registraci regulované služby splňující podmínky pro registraci podle § 5 lze zahájit pouze z moci úřední.
(4) Rozhodnutí o registraci regulované služby podle odstavce 2 může být prvním úkonem Úřadu v řízení. Rozklad podaný proti rozhodnutí o registraci regulované služby nemá odkladný účinek.
Poznámky pod čarou:
- ^1) Zákon č. 127/2005 Sb., o elektronických komunikacích a o změně některých souvisejících zákonů (zákon o elektronických komunikacích), ve znění pozdějších předpisů.
- ^2) Směrnice Evropského parlamentu a Rady (EU) 2022/2555 ze dne 14. prosince 2022 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii a o změně nařízení (EU) č. 910/2014 a směrnice (EU) 2018/1972 a o zrušení směrnice (EU) 2016/1148 (směrnice NIS 2).
- ^3) Nařízení Evropského parlamentu a Rady (EU) 2019/881 ze dne 17. dubna 2019 o agentuře ENISA („Agentuře Evropské unie pro kybernetickou bezpečnost“), o certifikaci kybernetické bezpečnosti informačních a komunikačních technologií a o zrušení nařízení (EU) č. 526/2013 („akt o kybernetické bezpečnosti“). Nařízení Evropského parlamentu a Rady (EU) 2021/887 ze dne 20. května 2021, kterým se zřizuje Evropské průmyslové, technologické a výzkumné centrum kompetencí pro kybernetickou bezpečnost a síť národních koordinačních center. Nařízení Evropského parlamentu a Rady (EU) 2021/696 ze dne 28. dubna 2021, kterým se zavádí Kosmický program Unie a zřizuje Agentura Evropské unie pro Kosmický program a zrušují nařízení (EU) č. 912/2010, (EU) č. 1285/2013 a (EU) č. 377/2014 a rozhodnutí č. 541/2014/EU. Rozhodnutí Evropského parlamentu a Rady č. 1104/2011/EU ze dne 25. října 2011 o podmínkách přístupu k veřejné regulované službě nabízené globálním družicovým navigačním systémem vytvořeným na základě programu Galileo. Nařízení Evropského parlamentu a Rady (EU) 2023/588 ze dne 15. března 2023, kterým se zavádí Program Unie pro bezpečnou konektivitu na období 2023-2027.
- ^6) Sdělení Ministerstva průmyslu a obchodu č. 7/2023 o vyhlášení českého znění doporučení Komise 2003/361/ES ze dne 6. května 2003 o definici mikropodniků a malých a středních podniků.
Sources
Meta
Text zákona výše je převzat doslovně z e-Sbírky (e-sbirka.gov.cz, oficiální elektronická Sbírka zákonů; externí JSON API, aktuální znění /sb/2025/264/2025-11-01), extrahován strojově — viz tools/e-sbirka/build_cz.py; režim verify kontroluje, že každý zdrojový fragment je v dokumentu obsažen doslovně, a selže, jakmile API nabídne novější konsolidaci, než ze které byl dokument sestaven (pak builder spustit znovu). Text zákona ručně neupravovat. Odkazy na poznámky pod čarou jsou vyznačeny ^N); texty poznámek jsou uvedeny pod „Poznámky pod čarou". Kotvy vycházejí z tištěného číslování ({#p7} = § 7, {#p62-5} = § 62 odst. 5).