Zákon o kybernetické bezpečnosti (NIS2): lhůty, pokuty a kolik stojí nástroje pro firmu

Zákon č. 264/2025 Sb. o kybernetické bezpečnosti, česká verze směrnice NIS2, je účinný od 1. 11. 2025 (zákon č. 264/2025 Sb.). Firma, která splní podmínky regulované služby, ji musí sama ohlásit NÚKIB do 60 dnů (§ 6). Od doručení rozhodnutí o registraci má rok na zavedení bezpečnostních opatření (§ 13) a na hlášení incidentů (§ 15). Opatření pro režim nižších povinností stanoví vyhláška č. 410/2025 Sb., pro vyšší režim vyhláška č. 409/2025 Sb.. Část požadavků pokryjí české nástroje s veřejným ceníkem: vzdálený přístup s vícefaktorovým ověřením GoodAccess od 7 USD za uživatele měsíčně (ceník GoodAccess) a ochranu dat Safetica od 72 USD za uživatele ročně (ceník Safetica). Ceny k 14. 10. 2026, přepočet kurzem ČNB ze 14. 10. 2026 (21,754 Kč/USD).

Ve zkratce

• Nevíte, jestli pod zákon spadáte: rozhoduje splnění podmínek regulované služby, ohlášení je na vás, ne na výzvě úřadu.
• Nižší režim, do 50 lidí: vícefaktorové přihlášení, VPN a správce hesel vyjdou zhruba na 55 000 Kč ročně pro 10 lidí.
• Vyšší režim nebo průmysl: zaznamenávání a vyhodnocování událostí (SIEM, analýza provozu) od TeskaLabs, GREYCORTEX nebo Flowmon, ceny na nabídku.

Lhůty a sankce

Vyšší režim hlásí incidenty Úřadu, nižší režim Národnímu CERT (§ 15). Za nejzávažnější přestupky hrozí pokuta do 250 milionů Kč nebo 2 % celosvětového obratu, v dalších případech do 175 milionů Kč nebo 1,4 % obratu (§ 59).

Co vyhláška chce a čím to pokrýt

Vyhláška pro nižší režim chce mimo jiné vícefaktorové ověření identity administrátorů i uživatelů (§ 8), pravidelné zálohy (§ 6) a detekci událostí včetně kontroly provozu na perimetru sítě a nepřetržité ochrany proti škodlivému kódu na serverech a koncových stanicích (§ 9) (vyhláška č. 410/2025 Sb.). Vyšší režim přidává bezpečnostní role, audit, zaznamenávání a vyhodnocování událostí (§ 21 až 23) (vyhláška č. 409/2025 Sb.).

Zdroje: ceník GoodAccess, ceník Bitwarden, ceník Safetica. GoodAccess účtuje navíc 49 USD měsíčně za každou dedikovanou bránu.

Kolik to stojí za rok

Předpoklad: GoodAccess Premium, Bitwarden Teams a Safetica Standard pro všechny zaměstnance, roční platba, bez DPH a bez dedikované brány.

Každá dedikovaná brána GoodAccess přidá 12 791 Kč ročně. Nástroje nejsou splněním zákona samy o sobě: vyhláška chce i řízení přístupu, plán kontinuity, školení a dokumentaci, a ty za vás žádný software nenapíše.

Pro koho to dává smysl / kdy ne

• GoodAccess: cloudová VPN bez hardwaru, statická IP pro whitelisting firemních systémů. Kdy ne: firma, která už má Microsoft Entra ID s podmíněným přístupem a vše provozuje v cloudu Microsoftu.
• Safetica: audit toku dat, pravidla pro e-mail, USB a AI nástroje (ChatGPT, Claude, Copilot), integrace se SIEM od tarifu Premium (Safetica). Kdy ne: firma, která potřebuje jen zálohy a MFA, ochranu proti úniku dat vyhláška pro nižší režim nevyžaduje jako samostatný nástroj.
• TeskaLabs, GREYCORTEX, Flowmon: pro vyšší režim a průmyslové sítě, kde se zaznamenávání a vyhodnocování událostí vyžaduje. Kdy ne: kancelář s deseti notebooky, tam nedává smysl platit SIEM ani NDR.

1. Ověřte, jestli poskytujete regulovanou službu, a do 60 dnů ji ohlaste přes portál NÚKIB.
2. Zapněte vícefaktorové ověření všem uživatelům a administrátorům, to je nejlevnější splněný bod vyhlášky.
3. Nastavte zálohy a jednou za čtvrt roku vyzkoušejte obnovu.
4. Připravte postup hlášení incidentu s kontakty, ať zvládnete prvotní hlášení do 24 hodin.
5. Teprve pak vybírejte nástroje na detekci a zaznamenávání podle režimu.

Kroky pro firmy mimo regulaci jsou v článku Jak zabezpečit malou firmu, další nástroje v kategorii Kyberbezpečnost.

Nástroje z článku

Časté otázky

Od kdy platí nový zákon o kybernetické bezpečnosti?

Zákon č. 264/2025 Sb. je účinný od 1. listopadu 2025. Starý zákon č. 181/2014 Sb. se v textu nového zákona výslovně zmiňuje jako předchozí úprava.

Musím mít v nižším režimu SIEM?

Vyhláška č. 410/2025 Sb. pro nižší režim vyžaduje detekci událostí na perimetru sítě a ochranu proti škodlivému kódu. Samostatné zaznamenávání a vyhodnocování událostí podle § 21 až 23 je ve vyhlášce pro vyšší režim.

Komu se hlásí incident?

Vyšší režim hlásí Úřadu (NÚKIB), nižší režim Národnímu CERT. Prvotní hlášení musí odejít do 24 hodin od zjištění.

Zdroje (7)

1. Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, Zákony pro lidi(zakonyprolidi.cz)
2. Vyhláška č. 410/2025 Sb. (režim nižších povinností), Zákony pro lidi(zakonyprolidi.cz)
3. Vyhláška č. 409/2025 Sb. (režim vyšších povinností), Zákony pro lidi(zakonyprolidi.cz)
4. Pricing, GoodAccess(goodaccess.com)
5. Product Plans, Safetica(safetica.com)
6. Business pricing, Bitwarden(bitwarden.com)
7. Kurzy devizového trhu 14. 10. 2026, ČNB(cnb.cz)