Pět omylů o novém kyberzákonu, kvůli kterým firmy riskují statisícové pokuty
Nový zákon o kybernetické bezpečnosti platí už rok, přesto kolem něj mezi firmami koluje řada mylných představ. Některé z nich mohou podnik i jeho vedení přijít draho. Podívali jsme se na pět nejčastějších omylů, se kterými se firmy potýkají, a na to, jak se jim vyhnout.
Komerční sdělení
Jihomoravský kraj patří k nejsilnějším průmyslovým a technologickým regionům v zemi. Právě proto zde nový zákon č. 264/2025 Sb. o kybernetické bezpečnosti, který je českou úpravou evropské směrnice NIS2, dopadá na nadprůměrné množství firem. Strojírenské podniky, výrobci, poskytovatelé IT služeb i zdravotnická zařízení se nově musí zabývat kybernetickou bezpečností nejen v praxi, ale i po stránce dokumentace a odpovědnosti vedení. Přesto řada z nich stále vychází z informací, které neplatí.
Omyl první. Nový zákon se týká jen velkých firem
Nejrozšířenější představa je, že kybernetická bezpečnost je starostí velkých korporací a kritické infrastruktury. To dlouho platilo, nový zákon to ale zásadně změnil.
Povinnosti nově dopadají i na střední firmy s 50 a více zaměstnanci, které působí v regulovaných odvětvích, jako jsou výroba, doprava, zdravotnictví, energetika nebo informační technologie.
V praxi tak jde o tisíce podniků, které dosud podobná pravidla řešit nemusely. Ověřit, zda firma pod zákon spadá, přitom zabere jen pár minut prostřednictvím takzvané samoidentifikace na Portálu NÚKIB.
Omyl druhý. Za bezpečnost odpovídá IT oddělení
Druhý častý omyl se týká odpovědnosti. Firmy automaticky předpokládají, že kybernetickou bezpečnost vyřeší jejich IT správce nebo externí dodavatel.
Zákon to ale vidí jinak. Za splnění povinností nově ručí přímo vedení společnosti, tedy jednatel nebo představenstvo, a tuto odpovědnost nelze na nikoho přenést. Kybernetická bezpečnost se tak stává otázkou řízení firmy, nikoli jen technickým detailem.
„Nejčastější chybou, kterou u firem vidíme, je právě přesvědčení, že to za ně vyřeší někdo jiný,“ říká Lukáš Vencálek, zakladatel českého online nástrojeCompligen, který se digitalizací legislativy a regulovaných odvětví zabývá přes sedm let. „Jenže pokud dojde k pochybení, dopadne to na konkrétní osoby ve vedení, ne na IT oddělení.“
Omyl třetí. Nesplnění se nijak zvlášť netrestá
Řada firem přípravu odkládá s tím, že případný postih nebude tak zásadní. Opak je pravdou.
Za nesplnění povinností hrozí firmám v nižším režimu pokuty, které u nejzávažnějších porušení dosahují až 175 milionů korun nebo 1,4 procenta ročního obratu, podle toho, která hodnota je vyšší.
K tomu se přidává osobní odpovědnost členů vedení, kterým může být uložen i dočasný zákaz výkonu funkce. NÚKIB navíc může provádět kontroly a vymáhat nápravu. Nejde tedy o formalitu, ale o reálné riziko s citelnými následky.
Omyl čtvrtý. Máme antivirus a zálohy, takže jsme připravení
Technická opatření jsou důležitá, sama o sobě ale ke splnění zákona nestačí. Tady firmy narážejí nejčastěji.
Zákon totiž vyžaduje nejen zavedení opatření, ale i jejich formální zpracování do dokumentace, kterou musí firma při kontrole doložit. A právě dokumentaci prověřuje NÚKIB jako první. Mnoho podniků má přitom zálohy i správu přístupů v pořádku, chybí jim ale papír, který to prokáže.
„Firmy jsou často dál, než si samy myslí. Většinu opatření reálně mají, jen o tom nevědí a nemají to podchycené,“ vysvětluje Vencálek. „Naším cílem bylo tenhle proces zjednodušit, aby dokumentace nebyla měsíce práce pro drahého konzultanta.“
Omyl pátý. Příprava zabere měsíce a stojí statisíce
Poslední rozšířený omyl se týká náročnosti. Zpracování dokumentace bylo dlouho doménou externích konzultantů, jejichž služby se pohybují v řádu desítek až stovek tisíc korun a příprava trvá měsíce.
To ale dnes už neplatí. Na trhu se objevila digitální řešení, která proces zásadně zjednodušují. Příkladem je právě český online průvodce Compligen, který firmu provede tvorbou dokumentace krok za krokem.
Uživatel odpovídá na srozumitelné otázky o své firmě a nástroj z odpovědí vyhodnotí aktuální stav, upozorní na mezery a vytvoří kompletní dokumentaci na míru podle vyhlášky. Celý proces lze zvládnout online během jednoho odpoledne, což firmám v nižším režimu výrazně šetří čas i náklady.
Co si z toho odnést
Nový zákon o kybernetické bezpečnosti není jednorázová událost, ale nastavení dlouhodobého systému, který firma bude udržovat i do budoucna. Klíčové je nespoléhat na mylné představy a začít včas.
Firmy na jižní Moravě, které tvoří významnou část průmyslového zázemí republiky, by měly nejprve ověřit, zda pod zákon spadají, a poté zahájit přípravu. Ty, které začnou včas, se vyhnou zbytečnému stresu i riziku sankcí. A jak ukazuje praxe, samotná příprava dnes zdaleka není tak náročná, jak se ještě donedávna zdálo.
