NIS2 a zákon č. 264/2025 Sb.: kdy je regulovaný poskytovatel cloudu a co musí řešit jeho zákazník

Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, který od 1. 11. 2025 zapracovává evropskou směrnici NIS2, se hostingu a cloudu týká ze dvou stran. Poskytovatelé služby cloud computingu a služby datového centra jsou podle přílohy vyhlášky NÚKIB č. 408/2025 Sb. o regulovaných službách regulovaní, pokud jsou středním podnikem (režim nižších povinností) nebo velkým podnikem (režim vyšších povinností); poskytovatel státního cloud computingu je vždy ve vyšším režimu. Obdobně se regulují poskytovatelé sítí pro doručování obsahu (CDN) a řízených služeb pro zákazníky, kteří nejsou spotřebiteli. Zákazníci, kteří sami poskytují regulovanou službu, musí řídit své dodavatele – a cloud nebo správce serverů bývá jejich významným dodavatelem, se kterým musí mít smlouvu s určenými náležitostmi. Malá firma, která hosting jen nakupuje a sama regulovaná není, přímé povinnosti ze zákona obvykle nemá. Výklad je zjednodušený; o konkrétní situaci rozhoduje znění zákona, vyhlášek a postup NÚKIB. Další rizika shrnuje pilířový článek nejčastější chyby a oficiální zdroje.

Kteří poskytovatelé jsou regulovaní

Velikost podniku se posuzuje podle doporučení Komise 2003/361/ES: střední podnik má méně než 250 zaměstnanců a roční obrat nejvýše 50 mil. EUR nebo bilanční sumu nejvýše 43 mil. EUR; malý podnik méně než 50 zaměstnanců a obrat nebo bilanci nejvýše 10 mil. EUR. Do velikosti se započítávají i propojené a partnerské podniky.

Poskytovatel, který podmínky splní, musí regulovanou službu oznámit NÚKIB přes Portál NÚKIB do 60 dnů (§ 6 odst. 1 zákona). Pro služby, které podmínky splňovaly už k 1. 11. 2025, lhůta uplynula koncem roku 2025. Bezpečnostní opatření a hlášení incidentů musí zavést do jednoho roku od doručení rozhodnutí o registraci.

Co z toho má zákazník

Regulace poskytovatele znamená, že musí mít zavedená bezpečnostní opatření a hlásit významné incidenty. Pro zákazníka to může být jedno z hledisek výběru – ale nenahrazuje to vlastní posouzení. Zeptejte se poskytovatele, zda je regulovaný a v jakém režimu, a jaká opatření doloží (například certifikaci systému řízení bezpečnosti informací nebo výsledky auditů).

Regulovaný zákazník: řízení dodavatelů

Pokud vaše firma sama poskytuje regulovanou službu, musíte řídit dodavatele.

Režim vyšších povinností – vyhláška č. 409/2025 Sb.

• stanovit pravidla pro dodavatele a prokazatelně je s nimi seznámit (§ 9 odst. 1 písm. a), b)),
• identifikovat a evidovat významné dodavatele – ty, kdo poskytují plnění významné pro kybernetickou bezpečnost regulované služby (§ 2 písm. h), § 9 odst. 1 písm. d)) – a písemně je o tom informovat (písm. e)),
• zajistit, aby smlouvy s nimi obsahovaly relevantní ustanovení z přílohy č. 5 (písm. f)),
• před uzavřením smlouvy provést hodnocení rizik dodavatele a pak pravidelně kontrolovat zavedená opatření (§ 9 odst. 2).

Příloha č. 5 mimo jiné uvádí: bezpečnost informací a mlčenlivost, pravidla zákaznického auditu, řetězení dodavatelů, informování o incidentech a o změně ovládání dodavatele, informování o žádostech cizozemských orgánů o zpřístupnění dat, exit strategii (přechodné období, migrace dat), kontinuitu činností, náležitosti SLA, formát předání dat na vyžádání, pravidla pro likvidaci dat, právo vypovědět smlouvu bez výpovědní doby při významné změně kontroly nad dodavatelem a sankce.

Režim nižších povinností – vyhláška č. 410/2025 Sb. obsahuje jednodušší požadavky; mezi nimi i zohlednění dodavatelů (§ 3 odst. 5 a příloha č. 2). Rozsah si ověřte v textu vyhlášky.

Jak to promítnout do smlouvy s cloudem

U velkých poskytovatelů obvykle nepodepíšete individuální smlouvu – přijímáte obchodní podmínky a doplňky. Postup pro regulovaného zákazníka:

1. Projděte přílohu č. 5 (nebo požadavky vyhlášky 410/2025) a označte relevantní body.
2. Ke každému bodu najděte odpovídající ustanovení v podmínkách, zpracovatelské smlouvě, SLA nebo bezpečnostní dokumentaci poskytovatele.
3. Kde ustanovení chybí, vyjednejte doplněk – nebo zdokumentujte riziko a jeho řešení.
4. Výsledek uložte jako podklad pro audit.

Náležitosti SLA, které příloha č. 5 zmiňuje, rozebírá článek SLA, dostupnost a smlouva.

Část požadavků se překrývá s Data Actem (exit strategie, přechodné období, export dat – viz Data Act a změna poskytovatele) a s GDPR (zpracovatelská smlouva, audit, výmaz – viz GDPR a umístění dat).

Cena regulace

Regulace se promítá do ceny i u zákazníka. Ilustrativní rozpočet pro regulovanou firmu, která poprvé dokumentuje cloudového dodavatele:

První rok tedy modelově 68 000 Kč, další roky 12 000 Kč. U spravovaného cloudu od regulovaného poskytovatele může být část dokumentace k dispozici hotová, což náklad snižuje.

Časté otázky

Jsem malá firma s e-shopem v cloudu. Týká se mě zákon?

Pokud sama neposkytujete regulovanou službu, obvykle ne. Zákon ale ovlivňuje vaše poskytovatele, a pokud dodáváte regulovaným firmám, mohou po vás chtít smluvní záruky.

Malý poskytovatel hostingu – je regulovaný?

Podle přílohy vyhlášky č. 408/2025 Sb. se služby cloud computingu a datových center regulují u středních a velkých podniků. Malý podnik by za běžných okolností pod tyto body nespadal; posuďte ale všechny body přílohy a propojené podniky.

Kde zjistím, zda je poskytovatel regulovaný?

Zeptejte se ho přímo. Informace o regulovaných službách a registraci najdete na stránkách NÚKIB a v Portálu NÚKIB.

Zdroje

• NÚKIB – zákon o kybernetické bezpečnosti, metodiky
• Portál NÚKIB – oznámení regulovaných služeb
• Zákony pro lidi – zákon č. 264/2025 Sb., vyhlášky č. 408/2025 Sb., 409/2025 Sb. a 410/2025 Sb.
• e-Sbírka – oficiální znění
• EUR-Lex – směrnice (EU) 2022/2555 (NIS2), doporučení 2003/361/ES