Proč „samoidentifikace“
ZKB zavádí princip „ohlášení regulované služby“ – stát neurčuje předem seznam povinných osob, ale organizace samy posoudí, zda naplňují zákonná kritéria pro regulované služby, a následně to v zákonné lhůtě oznámí NÚKIB. Šedesátidenní lhůta je stanovena přímo prováděcími materiály NÚKIB a navazuje na okamžik nabytí účinnosti zákona (ve většině případů tedy od 1. 11. 2025). Ohlášení se provádí přes Portál NÚKIB.
Koho se to týká (orientačně)
Podle ZKB/NIS2 se regulace dotkne zejména poskytovatelů kritických a významných služeb ve vybraných sektorech (např. poskytovatelé elektronických komunikací a hostingů, datová centra, ICT správa a outsourcing, zdravotnictví, energetika, doprava, veřejná správa, vodárenství, výroba vybraných produktů aj.). Rozhodující je naplnění zákonných kritérií velikosti a povahy služby, nikoli pouze předmět podnikání v rejstříku. Pro základní orientaci lze využít kalkulačku NÚKIB a průvodce k novému zákonu.
Co musíte udělat teď (minimální compliance plán)
-
Rychlé posouzení dopadu (gap-analysis): Zda poskytujete regulovanou službu a v jakém režimu. Zmapujte služby, zákazníky, SLA, smlouvy a subdodavatele.
-
Ohlášení regulované služby do 60 dnů: Vyplňte a odešlete oznámení přes Portál NÚKIB (nejpozději 31. 12. 2025).
-
Po registraci:
-
do 30 dnů doplňte požadované kontaktní údaje,
-
do 12 měsíců implementujte povinná bezpečnostní opatření dle vašeho režimu (řízení rizik, ISMS prvky, řízení dodavatelů, incidenty, testování, školení, dokumentace apod.).
-
Nový ZKB jasně určuje zodpovědnost managementu, řízení dodavatelského řetězce a reporting incidentů – to jsou nezbytné stavební kameny robustního digitálního trhu. Zároveň však upozorňujeme na potřebu praktických metodik, realistických lhůt a proporcionálních nároků zejména na malé a střední poskytovatele ICT služeb.
Pokud si nejste jisti, zda pod regulaci spadáte, nečekejte: proveďte rychlé posouzení a v případě naplnění kritérií ohlaste službu do 31. 12. 2025. VNICTP je připraven členům pomoci s rychlým screeningem, mapou povinností a plánem implementace (12měsíční okno po registraci).
Kontaktujte VNICTP pro metodickou podporu a vzorové podklady k samoidentifikaci, ohlášení a nastavení řízení kybernetické bezpečnosti.