O zařazení rozhoduje regulovaná služba
Základem je vyhláška č. 408/2025 Sb., která vymezuje regulované služby a podmínky významnosti jejich poskytovatelů. Podle ní se určuje, zda organizace do regulace spadá a jakému režimu podléhá. Pro některé oblasti mají význam velikost podniku i propojené podniky, u jiných platí specifické podmínky.
Nižší povinnosti: přiměřená sada opatření
Režim nižších povinností upravuje vyhláška č. 410/2025 Sb. Je koncipován pro užší, přiměřený soubor organizačních a technických požadavků. To ale neznamená, že stačí pouze koupit antivir nebo vytvořit několik dokumentů. Opatření je potřeba zavést a reálně používat v provozu organizace.
Vyšší povinnosti: komplexnější řízení bezpečnosti
Režim vyšších povinností rozvádí vyhláška č. 409/2025 Sb. V porovnání s nižším režimem klade širší nároky na řízení rizik, bezpečnostní role, procesy, dokumentaci a návazná technická opatření. Konkrétní rozsah zůstává navázán na regulovanou službu a aktiva.
Lhůty a rozhodnutí o registraci
Ohlášení regulované služby, doplnění údajů a zavádění opatření mají odlišné zákonné lhůty. NÚKIB vysvětluje, že k zavedení opatření a hlášení incidentů se váže roční přechodná doba od doručení rozhodnutí o registraci. Úplný časový plán posuzujte podle vašeho případu; samotné datum účinnosti zákona nestačí.
Doporučený postup pro ředitele organizace
Nechte ověřit regulovanou službu, režim, rozsah informačních aktiv a stav současných opatření. Potom vytvořte harmonogram, určete vlastníky úkolů a stanovte způsob kontroly. Na začátek je vhodný odborný audit; průběžné plnění úkolů může podporovat měsíční paušál s jasným hodinovým rozsahem.
Předpisy a další zdroje
Text slouží k základní orientaci. Nejde o závazný právní výklad ani individuální posouzení konkrétní organizace.