Nový kybernetický zákon cílí primárně na střední a velké podniky. Nicméně pamatuje i na situace, kdy je nutno službu ohlásit i v případě malého podniku či mikropodniku. Pojďme se společně podívat na konkrétní situace, kdy podnik spadá pod kompetenci zákona o kybernetické bezpečnosti a zároveň tak podléhá povinnosti registrace na Portálu Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB), ačkoliv může být hodnocen jako malý či mikro.
Veřejná správa
Toto je typicky segment, kde velikost podniku nehraje příliš velkou roli. Vyhláška č. 408/2025 Sb. o regulovaných službách v tomto případě uvádí jmenovitě instituce, které již svou existencí splňují tzv. podmínky významnosti poskytovatele regulované služby. Jedná se např. o: Kancelář Prezidenta republiky, Českou národní banku, Policejní prezidium ČR, Nejvyšší kontrolní úřad, zdravotní pojišťovny, obce s rozšířenou působností a další.
Energetika – elektřina
Velikost podniku nehraje roli v případě, kdy je subjekt držitelem licence na výrobu elektřiny podle energetického zákona a zároveň provozuje výrobnu elektřiny s celkovým instalovaným elektrickým výkonem nejméně 100 MW. Dále je-li subjekt držitelem licence na přenos elektřiny podle energetického zákona. Podmínku splňují také držitelé licence na distribuci elektřiny podle energetického zákona, kteří provozují regionální distribuční soustavu elektřiny, k níž je připojeno nejméně 90 000 odběrných míst zákazníků. A dále: nominovaní organizátoři trhu s elektřinou (podle přímo použitelného předpisu EU) a držitelé licence na činnost Elektroenergetického datového centra podle energetického zákona.
Energetika – ropa a ropné produkty
Dotčeným subjektem, bez ohledu na svou velikost, je v tomto segmentu: jakkoliv velký ústřední správce zásob podle zákona o nouzových zásobách ropy a také provozovatel čerpací stanice pohonných hmot podle zákona o pohonných hmotách (v případě, že provozuje alespoň 100 veřejně přístupných čerpacích stanic motorového benzinu nebo motorové nafty na území ČR).
Energetika – zemní plyn
Zde je, bez ohledu na velikost, dotčen: držitel licence na přepravu plynu podle energetického zákona a dále držitel licence na distribuci plynu podle energetického zákona, který je zároveň provozovatelem distribuční soustavy plynu s licencovanou přenosovou kapacitou nejméně 1 000 MW.
Energetika – teplárenství
I v tomto odvětví přináší uvedená vyhláška výjimku, kdy se velikost podniku nebere v potaz. Jedná se o: držitele licence na výrobu tepelné energie podle energetického zákona, který zároveň provozuje výrobnu tepelné energie s celkovým instalovaným tepelným výkonem nejméně 50 MW.
Výrobní průmysl
Jedinou výjimkou ve výrobním průmyslu jsou výrobci motorových vozidel (kromě motocyklů), přívěsů a návěsů (ve smyslu oddílu 29 klasifikace CZ-NACE), kteří zároveň sériově vyrábí osobní motorová vozidla. Ostatní regulovaní výrobci již musí být minimálně středním podnikem.
Letecká doprava
Velikost podniku se nezohledňuje v případě, kdy je poskytovatel letových navigačních služeb podle přímo použitelného předpisu EU zároveň provozovatelem služby řízení letového provozu podle přímo použitelného předpisu EU v převážné části vzdušného prostoru ČR, nebo určeným a osvědčeným poskytovatelem meteorologických služeb podle přímo použitelného předpisu EU s působností pro poskytování meteorologických informací pro potřeby letectví v celé ČR.
Drážní doprava
Vyhláška reguluje celkem 8 služeb drážní dopravy, přičemž velikost podniku se nezohledňuje pouze u jedné z nich. Jedná se o: provoz železniční dopravní cesty ve veřejném zájmu podle zákona upravujícího správu železniční dopravní cesty.
Digitální infrastruktura a služby
Z pohledu zákona se jedná o poměrně specifický segment. Celkem je regulováno 18 různých služeb a není bez zajímavosti, že pro většinu z nich platí speciální pravidla týkající se jak hlášení incidentů, tak zavádění a provádění bezpečnostních opatření. Ale vraťme se k dnešnímu tématu.
Podmínky významnosti splňuje (bez ohledu na velikost podniku): osoba poskytující veřejně dostupnou službu elektronických komunikací (podle zákona o elektronických komunikacích) prostřednictvím nejméně 350 000 aktivních mobilních SIM karet na území České republiky, nebo poskytovatel nejméně 100 000 aktivních pevných internetových přípojek na území ČR a dále všichni poskytovatelé veřejně dostupné služby elektronických komunikací, kteří jsou hodnoceni jako malý podnik či mikropodnik.
Dále: osoby zajišťující veřejnou komunikační síť (podle zákona o elektronických komunikacích), a to prostřednictvím nejméně 350 000 aktivních mobilních SIM karet na území ČR, nebo poskytovatel nejméně 100 000 aktivních pevných internetových přípojek na území ČR a stejně tak malé podniky a mikropodniky.
Regulován je také poskytovatel služby výměnného uzlu internetu (IXP), který umožňuje propojení nejméně 100 nezávislých sítí s datovým tokem alespoň 1 Tbps. A také poskytovatel služeb systému překladu doménových jmen, který aktivně poskytuje veřejně dostupné služby pro rekurzivní překlad doménových jmen koncovým uživatelům internetu, případně poskytuje služby pro autoritativní překlad doménových jmen pro použití třetí stranou pro více než 10 000 domén.
Zákonu neunikne ani poskytovatel spravující a provozující registr domény nejvyššího úrovně a doménu druhé úrovně gov.cz. Regulován je i poskytovatel státního cloud computingu podle zákona o informačních systémech veřejné správy.
Bez ohledu na velikost podniku je dále regulován kvalifikovaný správce systému elektronické identifikace podle zákona o elektronické identifikaci a také poskytovatel služby vytvářející důvěru podle přímo použitelného předpisu EU – kvalifikovaný poskytovatel zcela bez ohledu na velikost podniku a nekvalifikovaný poskytovatel kromě obligátní velikosti velký a střední podnik také v případě podniku malého a mikro. A povinným je také tzv. Provozovatel Národního CERT.
Finanční trh
Zde má u většiny služeb vliv velikost podniku. S výjimkou těchto dvou: činnost platební instituce podle zákona o platebním styku (za předpokladu, že průměr ročních objemů jí provedených platebních transakcí, vykázaných v souladu se zákonem o platebním styku, za dobu předchozích tří účetních období přesahuje částku odpovídající 1 000 000 000 000 Kč) a činnost instituce elektronických peněz podle zákona o platebním styku (za předpokladu, že průměr ročních objemů jí vydaných elektronických peněz, vykázaných v souladu se zákonem o platebním styku, za dobu předchozích tří účetních období přesahuje částku odpovídající 500 000 000 000 Kč).
Zdravotnictví
Bez ohledu na velikost je regulována organizační složka státu zřízená ústředním orgánem státní správy, jíž bylo uděleno oprávnění k poskytování zdravotních služeb podle zákona o zdravotních službách. A dále také poskytovatel zdravotnické záchranné služby podle zákona o zdravotnické záchranné službě.
Věda, výzkum a vzdělávání
Veřejné výzkumné instituce, výzkumné organizace podle přímo použitelného přepisu EU, vysoké školy nebo výzkumné instituce (jejichž hlavním cílem je provádět aplikovaný výzkum za účelem využití výsledků tohoto výzkumu pro komerční účely a které nejsou vzdělávací institucí) jsou regulovány na základě specifických podmínek daných vyhláškou (typicky se jedná o délku výzkumné činnosti v uplynulých letech a specifické oblasti výzkumu).
Pro úplnost ještě doplňme, že v těchto konkrétních odvětvích jsou regulovány pouze střední a velké podniky (splňující specifické podmínky stanovené vyhláškou):
• energetika – vodík,
• potravinářský průmysl,
• chemický průmysl,
• vodní hospodářství,
• odpadové hospodářství,
• námořní vodní doprava,
• silniční doprava,
• poštovní a kurýrní služby,
• obranný průmysl,
• vesmírný průmysl.
Kompletní podmínky významnosti pro jednotlivé regulované služby naleznete ve vyhlášce č. 408/2025 Sb. o regulovaných službách. Počítání velikosti podniku v souladu se zákonem o kybernetické bezpečnosti má svá specifika. Blíže jsme se jim věnovali v tomto článku.
Není Vám jasné, zda se Vás nový zákon vůbec týká, nemáte volnou časovou kapacitu a zároveň se rádi opíráte o pomoc profesionálů? V takovém případě šetřete čas a energii a obraťte se na nás. Provedeme Vás nejen celým procesem (od samoidentifikace, přes analýzu Vašeho stávajícího prostředí a procesů až po implementaci zákona), ale klidně i jen poradíme s některými novými pravidly, se kterými si nevíte rady.
