Ve zkratce:
- Službu ohlásíte na Portálu NÚKIB do 60 dnů ode dne, kdy splníte podmínky. Pro většinu firem lhůta skončila 31. 12. 2025.
- Po rozhodnutí o registraci máte 30 dnů na doplnění údajů a rok na zahájení hlášení incidentů.
- Incident: prvotní hlášení do 24 hodin, u významného oznámení do 72 hodin, závěrečná zpráva do 30 dnů od oznámení.
Registrace krok za krokem
| Krok | Lhůta | Podle zákona |
|---|---|---|
| Ohlášení regulované služby přes Portál NÚKIB | do 60 dnů od splnění podmínek | § 6 odst. 1 |
| Rozhodnutí NÚKIB o registraci a režimu | vydává úřad | § 6, § 8 |
| Doplnění údajů (kontakty, rozsah služby a další) | do 30 dnů od doručení rozhodnutí | § 11 |
| Hlášení změn údajů | do 14 dnů od změny | § 11 |
| Změna služby, která může změnit režim | do 60 dnů od změny | § 9 |
| Zavedení bezpečnostních opatření | do 1 roku od doručení rozhodnutí | § 13 odst. 4 |
| Zahájení hlášení incidentů | do 1 roku od doručení rozhodnutí | § 15 odst. 4 |
Zákon je účinný od 1. 11. 2025. Kdo podmínky splňoval už tehdy, měl službu ohlásit do konce prosince 2025. Pokud jste to nestihli, ohlaste ji co nejdřív. Jestli pod zákon spadáte, orientačně spočítá naše NIS2 kalkulačka. Při přechodu z nižšího do vyššího režimu běží lhůty na opatření a hlášení znovu (§ 9 odst. 2).
Kolik firem se už registrovalo
Kolik organizací se přihlásilo
Lhůta na ohlášení podle NÚKIB uplynula 31. 12. 2025. K 11. 2. 2026 se podle úřadu registrovalo přes 4 800 subjektů, k závěru července 2026 jich NÚKIB eviduje 5 864. Úřad dlouhodobě odhaduje, že pod zákon spadá 6 až 10 tisíc organizací, takže stovky se zatím nepřihlásily.
Hlášení incidentů
Vyšší režim hlásí NÚKIB incidenty, které se projevily ve stanoveném rozsahu, mají původ v kybernetickém prostoru a nelze u nich v prvních 24 hodinách vyloučit úmysl. Nižší režim hlásí Národnímu CERT jen takové incidenty, které mají navíc významný dopad na poskytování služby (§ 15).
| Co | Kdy | Obsah |
|---|---|---|
| Prvotní hlášení | do 24 hodin od zjištění | identifikační údaje, základní údaje o incidentu, zda jde o nezákonný zásah a zda může mít přeshraniční dopad |
| Odpověď úřadu (jen vyšší režim) | do 24 hodin od hlášení | NÚKIB sdělí, zda má incident významný dopad na kybernetický prostor státu |
| Oznámení (jen významné incidenty) | do 72 hodin od zjištěníslužby vytvářející důvěru do 24 hodin | aktualizace údajů, prvotní posouzení, dopad, indikátory kompromitace |
| Průběžná zpráva | na výzvu úřadu nebo CERT | podstatné změny stavu zvládání incidentu |
| Závěrečná zpráva | do 30 dnů od oznámení | vyřešení incidentu; pokud stále trvá, průběžná zpráva a závěrečná do 30 dnů od vyřešení |
Hlásí se přes Portál NÚKIB. Když portál nejde použít, vyšší režim pošle hlášení na e-mail nebo do datové schránky NÚKIB, nižší režim Národnímu CERT (§ 16 odst. 4). Obsah, formát a způsob hlášení má upřesnit vyhláška NÚKIB, její znění jsme k 30. 10. 2026 neověřili.
Co je významný dopad
Podle § 15 odst. 3 zákona má incident významný dopad, když způsobil nebo může způsobit závažné provozní narušení služby, finanční ztráty, nebo značnou újmu jiným osobám. Firmy v nižším režimu si podle § 14 vyhlášky 410/2025 Sb. samy předem stanoví:
- únosnou míru újmy, při které ještě není ohrožen život, zdraví nebo schopnost dostát závazkům,
- oblasti posouzení: provozní dopad, počet zasažených uživatelů, čas a lidi potřebné k obnově, typ a umístění zasažených aktiv, citlivost dat a příčinu incidentu.
Prakticky: postup sepište dřív, než incident nastane. Kdo se rozhoduje až v noci při výpadku, 24 hodin snadno nestihne.
Co mít připravené k hlášení
- Přístup na Portál NÚKIB pro dva lidi, aby hlášení nestálo na jednom člověku.
- Kontakty na dodavatele (hosting, správce sítě, ochranu webu) s pohotovostí 24/7.
- Logy: kdo se kdy přihlásil, odkud šel útok, co se změnilo. Bez logů nevyplníte ani indikátory kompromitace. Vyšší režim je musí uchovávat aspoň 18 měsíců (§ 22 vyhlášky 409/2025 Sb.).
- Šablonu prvotního hlášení s předvyplněnými identifikačními údaji.
- Rozhodovací pravidla pro významný dopad (viz výše).
Kde pomůže služba ochrany webu
U útoku na web dodá ochrana typu WEDOS NIS2 Standard podklady k hlášení: logy přístupů a útoků (6 nebo 18 měsíců podle tarifu) a reporty, u tarifu Klíčové i upozornění na incidenty. Útok DDoS zároveň odfiltruje, takže incident nemusí mít významný dopad. Samotné hlášení, posouzení a postupy za vás ale neudělá.
Příklady z praxe
Kolik incidentů NÚKIB řeší
V lednu 2026 evidoval NÚKIB 32 incidentů, necelou polovinu tvořila vlna DDoS útoků. Za první čtvrtletí jich bylo přes 70 (7 významných), za druhé 44 (6 významných), v červenci 12. Úřad sám upozorňuje, že nové firmy mají na zahájení hlášení rok od registrace, takže se zákon v číslech projeví nejdřív na přelomu let 2026 a 2027.
Ředitelství silnic a dálnic, květen 2022
Ransomware zašifroval data, weby ŘSD a Dopravniinfo.cz byly několik dní nedostupné a ŘSD muselo rušit veřejné zakázky, kterým mezitím uplynula lhůta. NÚKIB útok označil za profesionální. Správa pozemních komunikací je dnes regulovaná služba (bod 15.1 vyhlášky 408/2025 Sb.). U poskytovatele ve vyšším režimu by šlo o incident s prvotním hlášením do 24 hodin a oznámením do 72 hodin.
Zdroj: ČT24, 20. 5. 2022
