Chyby, rizika a oficiální zdroje
Cloud pro veřejnou správu: katalog cloud computingu podle zákona č. 365/2000 Sb. a co znamená pro dodavatele
Katalog cloud computingu pro veřejnou správu podle zákona č. 365/2000 Sb. – role DIA a NÚKIB, zápis poskytovatele a nabídky a kdy se týká malé IT firmy.
Orgány veřejné správy – ministerstva, úřady, kraje, obce a další – smějí cloud computing pro své informační systémy využívat jen za podmínek Hlavy VI zákona č. 365/2000 Sb., o informačních systémech veřejné správy (§ 6i až 6z). Zjednodušeně: orgán smí použít cloud od poskytovatele státního cloud computingu nebo od poskytovatele a nabídky zapsaných v katalogu cloud computingu, případně v rámci výjimek podle zákona o zadávání veřejných zakázek (§ 6l odst. 1). Katalog vede Digitální a informační agentura (DIA), která rozhoduje o zápisu poskytovatelů a nabídek; NÚKIB vydává k bezpečnostním požadavkům závazná stanoviska a kontroluje dodržování bezpečnostních pravidel. Pro běžnou malou firmu, která cloud nakupuje pro sebe, tato pravidla neplatí. Týkají se jí, pokud chce dodávat cloudové služby – hosting, aplikaci jako službu – orgánům veřejné správy. Výklad je zjednodušený; podmínky ověřte v aktuálním znění zákona a na stránkách DIA a NÚKIB. Další rizika shrnuje pilířový článek nejčastější chyby a oficiální zdroje.
Kdo co dělá
| Instituce | Role podle Hlavy VI zákona č. 365/2000 Sb. |
|---|---|
| Vláda | pověřuje poskytovatele státního cloud computingu, schvaluje plán kapacit (§ 6i odst. 1) |
| Digitální a informační agentura | koordinuje využívání cloudu, vydává metodické pokyny, spravuje informační systém cloud computingu, vede katalog, rozhoduje o zápisu poskytovatelů a nabídek, vykonává cenovou kontrolu u cen cloudu pro veřejnou správu (§ 6i odst. 2) |
| NÚKIB | kontroluje bezpečnostní požadavky na cloud a zařazení informačních systémů do bezpečnostních úrovní, vydává závazná stanoviska (§ 6i odst. 3, § 6r, § 6u) |
| Orgán veřejné správy | zařadí svůj systém do bezpečnostní úrovně, uzavře písemnou smlouvu, dodržuje bezpečnostní pravidla (§ 6l odst. 3) |
Katalog cloud computingu
Katalog je seznam, ve kterém se vedou poptávky orgánů, poskytovatelé, jejich nabídky a využívaný cloud (§ 6k). U nabídek se v katalogu vedou mimo jiné základní parametry, bezpečnostní úroveň a předpokládané místo zpracování informací, včetně údaje, zda nabídka vyžaduje dlouhodobé uložení informací mimo EU. Údaje jsou zásadně veřejné, kromě těch, jejichž zveřejnění by mohlo ohrozit kybernetickou bezpečnost.
U využívaného cloudu se v katalogu vede i finanční objem nákladů – katalog tak slouží také k přehledu o tom, kolik veřejná správa za cloud platí.
Zápis poskytovatele (§ 6q a 6r)
Poskytovatel podává žádost elektronicky ve strojově čitelném formátu. K žádosti mimo jiné přikládá:
- doklad o skutečném majiteli, pokud nemá sídlo v Česku,
- doklad o zkušenostech s poskytováním cloud computingu za posledních 5 let,
- doklad o splnění požadavků na certifikaci nebo audit v oblasti důvěrnosti, integrity a dostupnosti, pokud je prováděcí předpis vyžaduje,
- doklad o bezúhonnosti,
- doklady k bezdlužnosti ve státech sídla a dlouhodobého uložení dat.
DIA o žádosti rozhodne do 45 dnů; k posouzení schopnosti zajistit ochranu informací si vyžádá závazné stanovisko NÚKIB, které NÚKIB vydá do 3 měsíců, a informace o nedoplatcích u finanční a celní správy, sociálního zabezpečení a zdravotních pojišťoven. Proti rozhodnutí o žádosti není rozklad přípustný.
Zápis nabídky (§ 6t a 6u)
Vedle poskytovatele se do katalogu zapisují i jeho nabídky s parametry a bezpečnostní úrovní. U nabídek nad nejnižší bezpečnostní úrovní si DIA vyžádá závazné stanovisko NÚKIB, které se vydává do 30 dnů. Pokud nabídka závisí na cloudu jiného poskytovatele (typicky aplikace jako služba běžící na velkém veřejném cloudu), musí i ten splňovat požadavky a být v katalogu nebo státním cloudem (§ 6n písm. e), f)).
Bezpečnostní úrovně
Orgán veřejné správy před uzavřením smlouvy zařadí systém do bezpečnostní úrovně podle dopadů možného incidentu; nabízený cloud musí mít stejnou nebo vyšší úroveň (§ 6n písm. d)). Cloud v nejvyšší bezpečnostní úrovni smí poskytovat pouze poskytovatel státního cloud computingu (§ 6m odst. 2). Konkrétní kritéria stanoví vyhlášky NÚKIB vydané podle § 12 odst. 2 zákona: vyhláška č. 411/2025 Sb., o bezpečnostních úrovních informačních systémů veřejné správy, a vyhláška č. 412/2025 Sb., o bezpečnostních pravidlech pro orgány veřejné správy využívající služby poskytovatelů cloud computingu (obě účinné od 1. 11. 2025; nahradily dřívější vyhlášky č. 315/2021 Sb. a 190/2023 Sb.). Požadavky pro zápis do katalogu upravuje od 1. 1. 2026 vyhláška č. 505/2025 Sb. Aktuální znění ověřte na e-Sbírce.
Co to znamená pro malou IT firmu
| Situace | Týká se vás katalog? |
|---|---|
| Kupujete cloud nebo hosting pro vlastní firmu | ne |
| Hostujete web obce na sdíleném hostingu | posuďte podle povahy systému a výjimek; zeptejte se zadavatele, jak službu klasifikuje |
| Nabízíte školám nebo úřadům aplikaci jako službu | pravděpodobně ano – nabídka i podkladový cloud musí splnit podmínky |
| Spravujete úřadu servery v jeho vlastní serverovně | nejde o cloud computing ve smyslu zákona, ale platí jiné požadavky (smlouva, bezpečnost) |
Zákon stanoví i výjimky: Hlava VI se nepoužije na cloud, který slouží výlučně například ke správě a diagnostice technických prostředků, k aktualizaci software nebo ke zkušebnímu provozu bez skutečných údajů (§ 6l odst. 4).
Náklady na vstup do katalogu jsou hlavně administrativní a bezpečnostní: příprava dokladů, certifikace nebo audit, pokud je předpis vyžaduje, dokumentace bezpečnostních opatření. Modelově (ilustrativně) může příprava žádosti zabrat 5–10 člověkodnů interní práce, k tomu případné náklady na audit. Před rozhodnutím si spočítejte, zda objem zakázek z veřejné správy náklad vyváží.
Pro orgán veřejné správy jako zákazníka
Pokud cloud využívaný orgánem přestane splňovat podmínky (například je nabídka vymazána z katalogu), musí orgán jeho využívání ukončit nejpozději do 12 měsíců ode dne, kdy se to dozvěděl (§ 6l odst. 2). Pro dodavatele to znamená riziko, že ztráta zápisu povede k ukončení smlouvy – a pro úřad potřebu mít připravenou exit strategii (migrace a náklady na odchod). Na smlouvu se vedle zákona č. 365/2000 Sb. uplatní i Data Act (Data Act a změna poskytovatele) a u regulovaných služeb zákon č. 264/2025 Sb. (NIS2, cloud a datová centra).
Časté otázky
Je katalog cloud computingu totéž co registrace u NÚKIB podle zákona o kybernetické bezpečnosti?
Ne. Katalog vede DIA podle zákona č. 365/2000 Sb. a týká se cloudu pro veřejnou správu. Oznámení regulované služby NÚKIB podle zákona č. 264/2025 Sb. je samostatná povinnost poskytovatelů, kteří splní podmínky regulace.
Mohu se do katalogu zapsat jako malá firma?
Zákon nestanoví minimální velikost, ale vyžaduje mimo jiné doklad o pětiletých zkušenostech s poskytováním cloudu, bezúhonnost a bezdlužnost a splnění bezpečnostních požadavků podle úrovně nabídky.
Kde katalog najdu?
Informace o katalogu a informačním systému cloud computingu zveřejňuje Digitální a informační agentura na svých stránkách.
Zdroje
- Digitální a informační agentura – katalog cloud computingu, metodické pokyny
- NÚKIB – bezpečnostní požadavky a závazná stanoviska
- Zákony pro lidi – zákon č. 365/2000 Sb., Hlava VI (§ 6i–6z)
- e-Sbírka – oficiální znění zákona a prováděcích předpisů (vyhlášky č. 411/2025 Sb., 412/2025 Sb. a 505/2025 Sb.)
