Pokud jste provozovatelem základní služby, závažný kybernetický bezpečnostní incident hlásíte Národnímu bezpečnostnímu úřadu přes jednotný informační systém kybernetické bezpečnosti. Včasné varování je třeba poslat nejpozději do 24 hodin od zjištění, oznámení s prvotním posouzením do 72 hodin a závěrečnou zprávu nejpozději měsíc po oznámení. Vedle hlášení musíte incident řešit, zajistit důkazy a trestný čin, o kterém se hodnověrně dozvíte, oznámit policii nebo orgánu činnému v trestním řízení.
Když firmě vypadnou systémy nebo zjistí, že se k datům dostal někdo cizí, první hodiny patří technikům. Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti však od provozovatele základní služby žádá, aby vedle technického zásahu běžely i právní kroky s pevnými lhůtami. Lhůty se počítají od zjištění incidentu, nikoli od chvíle, kdy má vedení úplný obraz, proto je dobré znát postup dřív, než ho budete potřebovat.
Co se hlásí a co ne
Povinnost má provozovatel základní služby, tedy ten, kdo je zapsán v registru, který vede Národní bezpečnostní úřad. Zda mezi ně patříte, rozebíráme v otázce vztahuje se na nás NIS2. Kybernetickým bezpečnostním incidentem je každá událost ohrožující dostupnost, pravost, integritu nebo důvěrnost údajů či služeb v sítích a informačních systémech. Povinně se však hlásí jen incident závažný:
Za závažný kybernetický bezpečnostní incident se považuje rozsáhlý kybernetický bezpečnostní incident a kybernetický bezpečnostní incident, který a) způsobil nebo může způsobit závažné narušení fungování provozovatele základní služby, anebo škodu, jinou újmu na majetku nebo ušlý zisk ve velkém rozsahu […]
— Český překlad § 24 odst. 2 zákona č. 69/2018 Z. z.
Závažný je i incident, který zasáhl nebo může zasáhnout jiné osoby tím, že jim způsobí škodu ve značném rozsahu. Rozhoduje tedy i hrozba, nejen škoda, která již nastala. Vedle incidentů zákon ukládá hlásit i významnou kybernetickou hrozbu, událost odvrácenou na poslední chvíli a některé zranitelnosti veřejně dostupných systémů (§ 24 odst. 5). Méně závažné události lze nahlásit dobrovolně.
Tři hlášení v pevných lhůtách
Hlášení podle § 24 zákona č. 69/2018 Z. z. se podává přes jednotný informační systém kybernetické bezpečnosti a má více částí. Nejpozději do 24 hodin od zjištění se posílá včasné varování, v němž uvedete zejména, zda incident mohl být způsoben protiprávním jednáním a zda může mít přeshraniční vliv. Nejpozději do 72 hodin od zjištění následuje oznámení s prvotním posouzením incidentu, jeho závažnosti a následků. Na žádost jednotky CSIRT je třeba v určené lhůtě doplnit aktualizované informace o průběhu. Provozovatel z finančního sektoru, na kterého se vztahuje nařízení (EU) 2022/2554 (DORA), plní povinnost hlášení prostřednictvím příslušného orgánu podle tohoto nařízení a v jeho lhůtách (§ 24 odst. 8).
Nejpozději jeden měsíc po oznámení se podává závěrečná zpráva s podrobným popisem incidentu, jeho příčiny, druhu hrozby, přijatých opatření a případného přeshraničního vlivu (§ 24 odst. 3 písm. d)). Pokud incident v té době ještě trvá, zákon upravuje další aktualizace a aktualizovanou závěrečnou zprávu. Hlášení přitom nenahrazuje bezpečnostní opatření, která musíte dodržovat i nadále (§ 24 odst. 7).
Vedle hlášení: řešení, důkazy a policie
Zákon k hlášení přidává další povinnosti (§ 19 odst. 6). Incident musíte řešit a spolupracovat s úřadem i příslušným ústředním orgánem. V době incidentu je třeba zajistit důkazy tak, aby se daly použít v trestním řízení, a pokud se hodnověrně dozvíte, že byl spáchán trestný čin, oznámit to orgánu činnému v trestním řízení nebo Policejnímu sboru. Obavy z mlčenlivosti hlášení nebrzdí: oznamování incidentů v rozsahu zákona není porušením povinnosti mlčenlivosti (§ 12 odst. 4). Pokud by incident znemožnil plnění smlouvy s dodavatelem, provozovatel ho o incidentu v nezbytném rozsahu informuje (§ 19 odst. 4).
Pokud incident zasáhl i osobní údaje, je třeba samostatně posoudit povinnosti vůči Úřadu na ochranu osobních údajů a subjektům údajů. To je jiný režim s vlastními pravidly a patří do ochrany osobních údajů.
Co hrozí při zmeškání
Nenahlášení závažného incidentu podle § 24 odst. 1 nebo 3 je správním deliktem, za který může úřad uložit pokutu až do 7 000 000 eur nebo do 1,4 % celkového celosvětového ročního obratu, podle toho, co je vyšší (§ 31 odst. 2 písm. c)). U provozovatele kritické základní služby je horní hranice 10 000 000 eur nebo 2 % obratu (§ 31 odst. 3). Při určení výše úřad přihlíží zejména ke způsobu, trvání a následkům porušení.
Co doporučujeme udělat
Postup při incidentu nastavte předem: kdo incident vyhodnocuje jako závažný, kdo hlášení podává a kdo rozhoduje o oznámení policii. Zákon vyžaduje i určení kontaktní osoby pro přijímání a evidenci hlášení (§ 20 odst. 4 písm. e)). Právní část včetně interních postupů a rozdělení odpovědnosti připravíme v rámci služby NIS2 a kybernetická bezpečnost. Jak přenést hlášení incidentů na IT dodavatele, píšeme v článku NIS2 v dodavatelských smlouvách.
Odpověď je obecnou informací k právnímu stavu k 12. 9. 2026 — nejde o právní službu ani náhradu posouzení konkrétního případu. Vaše situace se může v detailech lišit; pokud si chcete být jistí, projděme ji společně při konzultaci.
