Registrace u NÚKIB podle NIS2: postup krok za krokem a co dělat, když jste lhůtu zmeškali

Nový zákon o kybernetické bezpečnosti (č. 264/2025 Sb.) platí od 1. listopadu 2025. Na rozdíl od starého zákona nečeká, až firmu někdo určí. Firma se musí posoudit sama a pokud splňuje podmínky, ohlásit svou službu NÚKIB. Tady je postup.

1. Zjistěte, jestli se vás zákon týká

Rozhoduje kombinace odvětví a velikosti. Zákon pokrývá 18 odvětví (výroba, potravinářství, odpady, doprava, zdravotnictví, digitální služby a další) a zpravidla dopadá na firmy od 50 zaměstnanců nebo s obratem nad 10 milionů eur. U některých služeb se velikost neposuzuje. Na Portálu NÚKIB je nástroj pro sebeposouzení. Když si nejste jistí, jak svou činnost zařadit, vyplatí se to probrat s někým, kdo už to dělal; omyl jedním i druhým směrem stojí peníze.

2. Přihlaste se na Portál NÚKIB

Ohlášení se podává elektronicky na Portálu NÚKIB. Přihlašuje se přes identitu občana (bankovní identita, eObčanka). Podává ho osoba oprávněná jednat za firmu.

3. Ohlaste regulovanou službu

V portálu najdete úkon „Ohlášení regulované služby". Vyplníte, jakou službu poskytujete, v jakém odvětví a údaje o velikosti firmy. Po odeslání dostanete potvrzení a identifikátor služby. NÚKIB ohlášení zkontroluje a službu zaregistruje; tím se firma stává regulovaným subjektem a dozví se, v jakém režimu je.

4. Do 30 dnů doplňte kontaktní údaje

Po doručení rozhodnutí o registraci máte 30 dní na nahlášení kontaktních údajů a doplňujících informací. Portál NÚKIB pak slouží jako hlavní komunikační kanál s úřadem, včetně hlášení incidentů.

5. Zaveďte bezpečnostní opatření

Na zavedení opatření dává zákon zhruba rok od registrace. Co přesně je potřeba, říká vyhláška podle vašeho režimu: č. 409/2025 Sb. pro vyšší povinnosti, č. 410/2025 Sb. pro nižší. Patří sem řízení rizik, evidence aktiv, řízení přístupů, zálohy a obnova, zvládání incidentů, školení lidí a odpovědnost vedení. Určit musíte i osobu odpovědnou za bezpečnost, ve vyšším režimu manažera kybernetické bezpečnosti.

Lhůtu jste zmeškali. Co teď?

Lhůta na ohlášení je 60 dní od chvíle, kdy firma podmínky splnila. Pro firmy, které je splňovaly už při účinnosti zákona, skončila na konci roku 2025. Pokud jste ohlášení nestihli, podejte ho co nejdřív. „Nevěděli jsme" se nepočítá a s každým měsícem roste i skluz v zavádění opatření. Stejná šedesátidenní lhůta platí i tehdy, když firma podmínky splní později, třeba když vyroste, nebo když se změní okolnosti a s nimi režim.

S čím pomůžeme

Posoudíme, jestli a v jakém režimu se vás zákon týká, pomůžeme s ohlášením a sepíšeme, co vám k souladu chybí, seřazené podle rizika. Pak opatření zavedeme a když nemáte vlastního člověka, dodáme manažera kybernetické bezpečnosti. První konzultace je zdarma.