Týká se firem, které podnikají v odvětvích jako výroba, potravinářství, doprava, odpady, chemie nebo IT služby. Zákon č. 264/2025 Sb. platí od 1. 11. 2025 a stojí na sebeidentifikaci: nikdo vám dopis nepošle, posoudit se musíte sami. Malé firmy do 50 lidí většinou mimo zůstanou, ale ne všechny a ne vždy úplně.
Co přesně platí
Podle § 4 zákona splníte podmínky pro registraci regulované služby, když platí obojí: poskytujete službu z odvětví vyjmenovaných v zákoně (veřejná správa, energetika, výrobní, potravinářský a chemický průmysl, vodní a odpadové hospodářství, doprava, digitální infrastruktura a služby, finanční trh, zdravotnictví, věda a vzdělávání, pošta a kurýři, obranný a vesmírný průmysl) a jste středním nebo velkým podnikem, případně splňujete zvláštní podmínky významnosti. Konkrétní seznam služeb a podmínky obsahuje příloha vyhlášky č. 408/2025 Sb., o regulovaných službách.
Kdo podmínky splní, musí službu ohlásit Národnímu úřadu pro kybernetickou a informační bezpečnost (NÚKIB) do 60 dnů ode dne, kdy je začal splňovat (§ 6 odst. 1). Ohlášení se podává přes Portál NÚKIB (vyhláška č. 334/2025 Sb., § 2). Úřad pak rozhodne o registraci. Bezpečnostní opatření i hlášení incidentů musíte začít plnit nejpozději do 1 roku od doručení rozhodnutí (§ 13 odst. 4 a § 15 odst. 4).
Sebeidentifikace ve třech otázkách
- Je moje činnost v příloze vyhlášky 408/2025 Sb.? U výroby rozhoduje oddíl CZ-NACE. Například výroba elektrických zařízení (oddíl 27) nebo strojů (oddíl 28) tam je, výroba nábytku ne. U potravin jde o průmyslovou výrobu, zpracování a velkoobchodní distribuci. U odpadů a obchodu s nimi rozhoduje i to, zda služba tvoří aspoň 5 % obratu.
- Jsem střední podnik? Podle doporučení Komise 2003/361/ES je malý podnik ten, kdo má méně než 50 zaměstnanců a roční obrat nebo bilanční sumu nejvýš 10 mil. EUR. Kdo má 50 a víc lidí, nebo obrat i bilanci nad touto hranicí, je středním podnikem. Pozor: počítají se i partnerské a propojené podniky, typicky mateřská nebo sesterská firma. Výjimku dává § 7 písm. c) zákona pro firmy, jejichž technická aktiva jsou od těch vašich zcela oddělena. Eura se přepočítávají kurzem ČNB k poslednímu dni předchozího roku (§ 2 odst. 2 vyhlášky 408/2025 Sb.).
- Neplatí pro mě zvláštní pravidlo? U části digitálních služeb, například veřejných služeb elektronických komunikací, jsou regulováni i malí a mikropodnikatelé. Ve většině výrobních odvětví ale vyhláška míří jen na střední a velké podniky.
Když vychází „ano" ve všech podstatných bodech, podejte ohlášení. Pokud jste podmínky splňovali už k 1. 11. 2025, šedesátidenní lhůta uplynula a ohlášení nemá smysl dál odkládat. Jestliže firma teprve roste, hlídejte si den, kdy hranici překročíte.
Když pod zákon nespadáte, ale dodáváte těm, kdo ano
Tady se zákon menších firem dotkne nejčastěji. Regulovaný odběratel musí podle § 13 odst. 5 vybírat dodavatele v souladu s požadavky bezpečnostních opatření a promítnout tyto požadavky do smluv. V praxi pak dostanete dodatek smlouvy nebo dotazník: kdo má přístup do systémů, jak řešíte hesla a zálohy, za jak dlouho nahlásíte bezpečnostní problém. Povinnosti tak nemáte vůči úřadu, ale vůči zákazníkovi.
Co s tím děláme u klientů
Při auditech menších provozů nejdřív projdeme činnosti podle CZ-NACE a velikost firmy včetně propojených podniků a výsledek sebeidentifikace písemně zaznamenáme, aby ho firma uměla doložit. Když firma pod zákon nespadá, ale odběratel po ní požadavky chce, připravíme odpovědi a jednoduchá pravidla (přístupy, zálohy, hlášení incidentů), která obstojí ve smlouvě a dají se reálně dodržovat.