Nový zákon o kritické infrastruktuře, který byl vydán minulý rok, se konečně dočkal potřebných prováděcích pravidel. Počínaje 18. červencem 2026 je účinné nařízení vlády č. 127/2026 Sb., které stanoví konkrétní základní služby a kritéria významnosti. Od 1. srpna 2026 pak nabývá účinnosti také vyhláška č. 122/2026 Sb. upravující posouzení rizik, plán odolnosti, bezpečnostní opatření a hlášení incidentů. Regulované společnosti tak již mají k dispozici prakticky celý základní rámec nové právní úpravy.
Pokud jste obchodní společností či veřejnou institucí, měli byste proto položit následující otázku: Poskytujeme některou ze základních služeb a splňujeme příslušné kritérium významnosti?
Pokud je odpověď kladná, je pravděpodobné, že bude následovat zařazení na seznam subjektů kritické infrastruktury, s čímž přicházejí povinnosti, kterými jste se doposud nemuseli zabývat.
Od „prvku kritické infrastruktury“ k poskytování základní služby
Zákon č. 266/2025 Sb., o odolnosti subjektů kritické infrastruktury, je účinný od 19. srpna 2025 a do českého právního řádu transponuje evropskou směrnici CER. S novou úpravou tak dochází k zásadní změně dosavadní filozofie ochrany kritické infrastruktury.
Zatímco dřívější systém se soustředil na určování konkrétních prvků kritické infrastruktury (například budov, zařízení či sítí), nový systém staví především na významu služby, kterou určitý subjekt poskytuje. Stát nejprve identifikuje subjekt, jehož základní služba je dostatečně významná, a tento subjekt následně sám vymezí nezbytnou infrastrukturu pro její poskytování.
Právě tato změna je důvodem, proč nová úprava dopadne i na subjekty, které se dosud za součást kritické infrastruktury vůbec nepovažovaly.
1. Poskytujete základní službu?
Z textu zákona se konkrétně nedozvíte, která společnost či veřejná instituce se stane subjektem kritické infrastruktury. Klíčové je zejména nařízení vlády č. 127/2026 Sb., o základních službách a kritériích významnosti.
Nařízení v rámci několika odvětví a pododvětví definuje konkrétní základní služby a ke každé z nich stanoví kritéria významnosti. Ta jsou často založena na měřitelných technických, kapacitních či ekonomických parametrech. Například u výroby vodíku je kromě licence kritériem celkový instalovaný výkon provozovaného zařízení, u distribuce plynu je kritériem počet odběrných míst a připojení distribuční soustavy k přepravní soustavě a u poskytování akutní lůžkové péče je pak kritériem například zřízení urgentního příjmu či počet akutních lůžek.
Praktický postup je tedy dvoustupňový. Společnost musí nejprve zjistit, zda vykonává některou z činností uvedených jako základní služba, a následně ověřit, zda splňuje alespoň jedno kritérium významnosti, které je s touto službou spojeno.
Metodika MV-GŘ HZS ČR v tomto směru uvádí poměrně jednoznačné pravidlo: pokud subjekt parametry stanovené nařízením vlády nesplní, nebude poskytovatelem základní služby a další kroky v procesu určování již nemusí dělat.
Jedná se o zásadní rozdíl oproti nové regulaci kybernetické bezpečnosti, která přichází v podobném časovém horizontu jako úprava regulace kritické infrastruktury. Není tak často rozhodující velikost společnosti, ale pouze konkrétní parametr poskytované služby.
2. Splňujete kritérium? Přichází informační povinnost
Vyhodnotí-li společnost, že poskytuje základní službu a zároveň naplňuje kritérium významnosti, stává se poskytovatelem základní služby, a vzniká jí tak zákonná informační povinnost.
Informace musí předat věcně příslušnému ministerstvu, jinému ústřednímu správnímu úřadu nebo České národní bance (tzv. gestorovi) a současně Ministerstvu vnitra. Gestor se liší podle konkrétního odvětví, které jsou uvedena v první příloze k zákonu. Například v dopravě může jít o Ministerstvo dopravy, v bankovnictví o Českou národní banku a u veřejné správy o Ministerstvo vnitra.
Maximální zákonná lhůta pro nahlášení činí tři měsíce ode dne zahájení poskytování základní služby. Pokud však poskytovatele k nahlášení informací vyzve gestor nebo Ministerstvo vnitra, je lhůta zkrácena na jeden měsíc od doručení výzvy.
Poskytovatel zejména uvádí své identifikační údaje, konkrétní základní službu, odvětví nebo pododvětví, splněné kritérium významnosti či o tom, zda je infrastruktura využívaná pro poskytování základní služby umístěna v České republice nebo také v jiných členských státech EU.
Portál kritické infrastruktury jako hlavní komunikační místo
Nový systém stojí z velké části na Portálu kritické infrastruktury, který Ministerstvo vnitra – GŘ HZS ČR připravilo jako centrální elektronické místo pro komunikaci mezi poskytovateli základních služeb, subjekty kritické infrastruktury, gestory a Ministerstvem vnitra.
Portál slouží nejen k prvotnímu poskytnutí informací, ale i k následné správě profilu subjektu, plnění dalších informačních povinností a hlášení incidentů. V případě, že portál z technických důvodů není možné využít, zákon jako náhradní variantu připouští datovou schránku a případně poštovní služby.
Doposud nebylo možné s definitivní jistotou určit konkrétní základní služby a příslušná kritéria významnosti, avšak s nabytím účinnosti nařízení vlády č. 127/2026 Sb. je zmíněný portál dokončený a plně připravený. Pro subjekty tak představuje primární a závazný způsob komunikace se státem.
3. O zařazení mezi subjekty kritické infrastruktury, nakonec rozhodne stát
Samotným poskytnutím informací se společnost subjektem kritické infrastruktury ještě automaticky nestává.
Příslušný gestor nejprve posoudí, zda poskytovatel skutečně naplňuje kritérium významnosti. Pokud tomu tak je, předá Ministerstvu vnitra podnět k rozhodnutí o jeho zařazení na seznam subjektů kritické infrastruktury.
Výhradní pravomoc k zařazení má Ministerstvo vnitra. Poskytovatel se stává subjektem kritické infrastruktury až zařazením na příslušný seznam a doručením rozhodnutí, přičemž případný rozklad proti tomuto rozhodnutí nemá odkladný účinek.
Právě den doručení rozhodnutí je klíčovým milníkem, jelikož od tohoto okamžiku se začíná počítat většina zákonných lhůt pro splnění nových povinností.
4. Devět měsíců na posouzení rizik
Jednou z prvních zásadních povinností je zpracování posouzení rizik subjektu kritické infrastruktury. Na jeho dokončení má subjekt devět měsíců ode dne doručení rozhodnutí o zařazení na seznam a následně jej musí aktualizovat nejméně jednou za čtyři roky.
Nejde přitom o pouhou ochranu před úmyslným útokem. Vyhláška č. 122/2026 Sb. požaduje vyhodnocení širokého spektra rizik. Subjekt musí pracovat s riziky souvisejícími s lidskou činností, přírodními vlivy, technickými selháními a haváriemi, závislostí na jiných základních službách, přeshraničními hrozbami, mimořádnými událostmi v oblasti veřejného zdraví, hybridními hrozbami, ozbrojeným konfliktem nebo teroristickými útoky.
Vyhláška současně přímo odkazuje na ČSN ISO 31000. Posouzení zpracované v souladu s touto normou se považuje za vyhovující požadavkům vyhlášky. To ale neznamená, že by organizace musely při řízení rizik vycházet výhradně z tohoto standardu. V praxi mohou velmi dobře využít také jiné osvědčené metodiky, například M_o_R (Management of Risk), pokud jejich prostřednictvím zajistí konkrétní identifikaci, analýzu, hodnocení a ošetření rizik vztahujících se přímo k poskytování základní služby.
Právě M_o_R může být pro implementaci požadavků ZKI velmi vhodným základem, protože nabízí strukturovaný a systematický rámec pro řízení rizik a lze jej dobře přizpůsobit požadavkům nové právní úpravy. Organizace, které M_o_R již využívají, proto nemusí vytvářet nový systém řízení rizik od počátku. Vhodným postupem je zejména namapovat stávající metodiku M_o_R na konkrétní požadavky vyhlášky a případné mezery cíleně doplnit.
Tomu odpovídá i § 26 ZKI, který pracuje s principem rovnocennosti. Pokud již existující dokumentace splňuje náležitosti posouzení rizik nebo plánu odolnosti, není nutné ji vytvářet znovu; obdobně lze využít i již zavedená opatření, pokud svou povahou odpovídají opatřením podle ZKI. Pro organizace využívající M_o_R tak může být tato metodika praktickým a efektivním základem pro splnění nových povinností.
5. Deset měsíců na plán odolnosti
Na posouzení rizik bezprostředně navazuje plán odolnosti. Ten musí být zpracován do deseti měsíců od doručení rozhodnutí o zařazení na seznam subjektů kritické infrastruktury a stejně jako posouzení rizik se následně aktualizuje nejméně jednou za čtyři roky.
Plán odolnosti není pouhý formální krizový dokument. Vyhláška jej rozděluje do tří částí: informační, operativní a pomocná část.
V rámci informační a pomocné části obsahuje detailní popis poskytovaných základních služeb, přehled vlastní kritické infrastruktury, vazeb mezi jejími jednotlivými částmi, seznam kritických pracovníků a kritických dodavatelů nebo zdroje nezbytné pro poskytování základní služby.
Operativní část následně propojuje identifikovaná rizika s konkrétními bezpečnostními opatřeními, jejich cíli, potřebnými zdroji, harmonogramem implementace a odpovědnostmi. Součástí je také komunikační plán pro zvládání incidentů.
Zjednodušeně řečeno: posouzení rizik určí, co vše může základní službu ohrozit, a plán odolnosti stanoví, co konkrétně s tím udělat.
6. Odolnost není jen fyzická ochrana budovy
Nová legislativa pojímá odolnost komplexně. Subjekt kritické infrastruktury musí zavádět technická, bezpečnostní a organizační opatření odpovídající jeho vyhodnoceným rizikům.
Vyhláška č. 122/2026 Sb. je staví zejména na řízení rizik, kontinuitě činností, připravenosti a odezvě na incidenty, fyzické bezpečnosti, bezpečnosti pracovníků a bezpečnosti dodavatelského řetězce.
Například v oblasti kontinuity činností musí společnost zpracovat analýzu dopadů, určit minimální úroveň nezbytného poskytování základní služby a stanovit dobu, během níž musí být tato minimální úroveň po incidentu obnovena. Vyhláška zde výslovně odkazuje na postupy podle ČSN EN ISO 22301. Plán kontinuity je navíc nutné minimálně jednou za čtyři roky testovat a podle výsledků aktualizovat.
Fyzická bezpečnost pak zahrnuje stanovení bezpečnostního perimetru, zónování objektů, kontrolu vstupů, mechanické zábranné prostředky, kamerové systémy, poplachová zařízení nebo další detekční technologie.
Zásadním principem celé právní úpravy je přiměřenost. Vyhláška umožňuje na základě výsledků posouzení rizik stanovit konkrétní rozsah jednotlivých opatření, a za určitých okolností dokonce odůvodnit, proč určité opatření přijato nebude. Není tedy cílem zavést stejný katalog bezpečnostních opatření u všech poskytovatelích základních služeb bez ohledu na jejich reálná rizika.
7. Nová role: manažer kritické infrastruktury
Do deseti měsíců od doručení rozhodnutí musí subjekt jmenovat manažera kritické infrastruktury a následně tuto skutečnost oznámit Ministerstvu vnitra a příslušnému gestorovi bez zbytečného odkladu.
Manažer není jen formální kontaktní osobou, musí splňovat požadavky odborné způsobilosti a současně podmínky pro výkon citlivé činnosti. Zákon požaduje nejméně tříletou praxi v oblasti bezpečnosti státu, ochrany obyvatelstva, krizového řízení, podnikové bezpečnosti nebo řízení kontinuity činností (u osoby s vysokoškolským vzděláním postačuje nejméně jeden rok takové praxe).
Do doby, než subjekt manažera oficiálně jmenuje, jeho povinnosti nezůstávají „bez vlastníka“. U právnické osoby je podle zákona vykonává statutární orgán, případně pověřený člen kolektivního statutárního orgánu, nebo určený pracovník.
8. Kritičtí pracovníci a kritičtí dodavatelé
Zákon výrazně zasahuje do personální a dodavatelské oblasti.
Subjekt musí identifikovat pracovníky, kteří jsou nezbytní pro poskytování základní služby, a nastavit pravidla jejich bezpečnosti. Vyhláška předpokládá mimo jiné určení relevantních pracovních pozic, přístupových oprávnění, požadavků na odbornou přípravu a kvalifikaci, pravidel ověřování spolehlivosti a systému bezpečnostního vzdělávání.
Podobná pravidla platí i pro dodavatele. Kritickým dodavatelem je ten, jehož zboží nebo služby jsou nezbytné pro zajištění poskytování základní služby. Subjekt kritické infrastruktury musí své kritické dodavatele evidovat, vyhodnocovat související rizika, přijímat opatření k jejich omezení a příslušné informace o kritických dodavatelích poskytovat Ministerstvu vnitra a gestorovi.
Právě dodavatelský řetězec může být v praxi jednou z nejnáročnějších částí implementace. Společnost totiž nemůže posuzovat jen vlastní schopnost pokračovat v poskytování služby, ale také to, co se stane, pokud selže subjekt, bez kterého svou základní službu zajistit nedokáže.
9. Incident nestačí vyřešit. Musí se také nahlásit
Po uplynutí deseti měsíců od doručení rozhodnutí začíná povinnost hlásit incidenty. Incidentem přitom podle zákona není každá drobná provozní komplikace, ale událost, která může významně narušit nebo již narušuje poskytování základní služby.
Standardním pravidlem je ohlásit incident bez zbytečného odkladu po jeho zjištění prostřednictvím Portálu KI.
Pokud ale subjekt kvůli samotnému řešení incidentu není schopen zaslat plné hlášení, zákon umožňuje postupovat po jednotlivých etapách. Nejpozději do 24 hodin od vzniku incidentu se zasílá prvotní hlášení a následně nejpozději do jednoho měsíce závěrečná zpráva. Pokud incident stále trvá, zasílá se zpráva o pokroku a závěrečná zpráva následuje nejpozději do jednoho měsíce od jeho skončení.
Vyhláška pak konkretizuje údaje, které musí hlášení obsahovat – například popis a příčinu incidentu, jeho časovou posloupnost, počet dotčených uživatelů, délku narušení základní služby nebo účinnost přijatých opatření.
Důležité je také připomenout, že hlášení podle ZKI nenahrazuje případné další oznamovací povinnosti. Jeden incident tak může být podle okolností hlášen například také podle zákona o kybernetické bezpečnosti, obecného nařízení o ochraně osobních údajů nebo jiné sektorové regulace.
10. Povinnosti nekončí vytvořením dokumentace
Nová regulace není postavena na jednorázovém vytvoření posouzení rizik a plánu odolnosti pro pouhé splnění formální povinnosti.
Subjekt musí průběžně přijímat opatření, aktualizovat své dokumenty, sledovat změny poskytovaných základních služeb, hlásit incidenty, aktualizovat informace o kritických pracovnících a dodavatelích, účastnit se příslušných cvičení a umožnit kontrolu ze strany věcně příslušných orgánů.
Pokud subjekt změní rozsah poskytované základní služby, začne poskytovat novou službu nebo některou službu ukončí, musí o této skutečnosti informovat příslušného gestora do jednoho měsíce. Metodika přitom upřesňuje, že se má jednat zejména o významné a dlouhodobé změny, nikoli o běžnou dočasnou odstávku.
Gestoři jsou oprávněni plnění zákonných povinností kontrolovat a ukládat nápravná opatření. Ministerstvo vnitra může v souvislosti s kontrolou požádat také NÚKIB o provedení kontroly v oblasti kybernetické bezpečnosti.
Zákon obsahuje nový sankční mechanismus. U opakovaných závažnějších porušení dosahují horní hranice pokut desítek milionů korun a u některých přestupků se odvozují také od čistého ročního obratu společnosti.
Co by měly potenciálně dotčené společnosti udělat právě teď?
Nařízení vlády s konkrétními kritérii je účinné a prováděcí vyhláška detailně stanoví, jak má implementace v praxi vypadat. Po téměř roce čekání je tak nezbytné postupně ověřit dopad nových povinností na vaši organizaci.
Doporučený postup lze shrnout následovně:
Identifikovat činnosti: Prověřit všechny činnosti společnosti, které mohou naplňovat definici základní služby podle nařízení vlády č. 127/2026 Sb., a u každé ověřit příslušné kritérium významnosti.
Splnit informační povinnost: Pokud je kritérium naplněno, máte povinnost připravit a poskytnout požadované informace prostřednictvím Portálu KI příslušnému gestorovi a Ministerstvu vnitra.
Zmapovat klíčové závislosti: Již před případným rozhodnutím začít mapovat infrastrukturu, lidi a dodavatele nezbytné pro poskytování základní služby.
Předpřipravit analýzu rizik: Připravit proces pro zpracování posouzení rizik a určit odpovědnou osobu za tuto agendu.
Vyřešit personální obsazení: Prověřit, zda má společnost vhodnou osobu pro roli manažera kritické infrastruktury.
Propojit stávající procesy: Navázat stávající krizové, bezpečnostní, fyzickobezpečnostní, dodavatelské a personální procesy a BCM na nové požadavky ZKI.
Nastavení hlášení incidentů: Nastavit proces identifikace a hlášení incidentů, aby byl schopen pracovat se zákonnými lhůtami.
Zohlednit souběh regulací: Koordinovat kroky s dalšími regulacemi, zejména s novým zákonem o kybernetické bezpečnosti.
Kritická infrastruktura už není jen záležitostí krizového manažera
Jedním z nejvýraznějších rysů nové právní úpravy je skutečnost, že zasahuje napříč celou organizací.
Implementace nového zákona o kritické infrastruktuře nebude pouze úkolem oddělení krizového řízení nebo fyzické bezpečnosti. Posouzení rizik vyžaduje aktivní zapojení vedení společnosti, kontinuita činností se dotýká provozních útvarů, oblast kritických pracovníků spadá pod HR, prověřování dodavatelů zaměstná procurement a právní oddělení, fyzická ochrana leží na facility managementu a řešení incidentů se neobejde bez bezpečnostních a IT týmů.
Nová legislativa proto v řadě organizací vyžaduje především propojení procesů, které dosud fungovaly relativně odděleně.
A právě v tom bude spočívat největší praktická výzva nové regulace: Nejde jen o formální zjištění, zda společnost splňuje určité kritérium, ale o skutečné pochopení, na čem poskytování její základní služby závisí – a zajištění toho, aby tuto službu dokázala spolehlivě poskytovat i ve chvíli, kdy nastane krizová situace.
