Cílem regulace kybernetické bezpečnosti je, aby vybrané organizace měly povinnost zavádět přiměřená preventivní bezpečnostníopatření, a staly se tak odolnější vůči rizikům z kyberprostoru. Kyberkriminalita je dnes třetí největší „ekonomikou“ světa, takževýznam kybernetické bezpečnosti rychle roste. Mnohé organizace to však stále neberou vážně – oficiální vyjádření působíuklidňujícím dojmem, ale realita často ukazuje na nezájem vedení, nedostatečné financování a neopodstatněné výjimky.
povinnosti, bezpečnost ZoKB regulované služby NIS2
Česká republika byla díky prvnímu zákonu o kybernetické bezpečnosti1 evropským premiantem. Zákon nastavil rámec pravidel, která se krátce poté – v upravené podobě v rámci tzv. směrnice NIS – promítla i do celoevropské legislativy.2 Samotný zákon kybernetickou bezpečnost nezajistí, ale v praxi se stal silným impulzem k jejímu systematickému řešení, zejména ve veřejné správě. Na zhoršující se bezpečnostní situaci reagovala EU směrnicí NIS23, která výrazně rozšiřuje okruh regulovaných subjektů. Na jejím základě vznikl nový český zákon č. 264/2025 Sb., o kybernetické bezpečnosti (dále jako „ZKB“), jenž ukládá povinnosti tisícům dalších organizací.
Jak posoudit, zda organizace spadá pod zákon?
Prvním důležitým krokem je zjistit, zda se zákon na organizaci vůbec vztahuje. Nespadá pod něj každá organizace v České republice. Zákon se zaměřuje na tzv. regulované služby a u těch, kteří takové služby poskytují, zpravidla na střední a velké podniky (významnou výjimku z tohoto pravidla tvoří zejm. poskytovatelé veřejně dostupné služby nebo sítě elektronických komunikací, kteří pod zákon spadají všichni bez rozdílu).
Přesnou odpověď na to, zda organizace spadá pod zákon, je potřeba hledat ve vyhlášce č. 408/2025 Sb., o regulovaných službách. V této vyhlášce jsou služby rozděleny do odvětví, a pokud organizace některou z uvedených služeb (levý sloupec přílohy vyhlášky) vykonává a zároveň naplní kritéria u této služby (odpovídající pravý sloupec přílohy vyhlášky), bude pod zákon pro takovou službu spadat.
Častým problémem je vymezení regulovaných služeb a správný výpočet velikosti podniku. Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) vydal společně s vyhláškou obsáhlou důvodovou zprávu, která regulované služby popisuje. 4 V případě počítání velikosti podniku, což je nejčastější kritérium u regulovaných služeb, se jedná o právní otázku, u níž je postup výpočtu dán tzv. Doporučením Komise ze dne 6. května 2003 o definici mikropodniků, malých a středních podniků. K tomuto právnímu aktu byl již v minulosti vydán podpůrný materiál na úrovni EU.5 Mezi nejčastější opomenutí při výpočtu velikosti podniku patři nezapočítání velikosti mateřských a sesterských společností do velikosti podniku.
Pokud organizace naplní kritéria stanovená vyhláškou, má povinnost provést do 60 dní od naplnění kritérií ohlášení podle § 6 ZKB na tzv. Portálu NÚKIB.6 Spolu s ohlášením regulované služby je možné rovnou splnit povinnost nahlásit údaje podle § 11 ZKB. Správné ohlášení regulované služby je především povinností dané organizace – služba je zaregistrována podle obsahu ohlášení a další přezkum obsahu ohlášení podle zákona neprobíhá. Doručením rozhodnutí NÚKIB se organizace stává tzv. poskytovatelem regulované služby a v souladu s režimem povinností plynoucích z § 8 odst. 1 zákona má tyto zákonem uložené povinnosti plnit.
Nesplnění ohlašovací povinnosti je přestupek, který je důvodem pro zahájení řízení o uložení pokuty. NÚKIB systematicky kontroluje ohlášené subjekty a vytipovává ty, které se neohlásily správně (tedy subjekty, jež se ohlásit neměly), kterým byl na základě nesprávně zadaných údajů určen nesprávný režim povinností nebo které se neohlásily vůbec.
Z dosavadních zkušeností vyplývá, že některé subjekty především omylem podhodnotí svou velikost, protože opomenou přičíst své partnerské či propojené podniky. NÚKIB se rovněž setkal s případy, kdy se subjekt z opatrnosti raději ohlásí jako poskytovatel regulované služby, než aby riskoval nesplnění ohlašovací povinnosti a následně registrace služeb rušil.
Stanovení rozsahu řízení kybernetické bezpečnosti
Pokud organizace spadá pod zákon, nemusí se vztáhnout na všechny její činnosti – cílem zákona je chránit jen to, co se týká zajišťování vyhláškou stanovené regulované služby. K tomu slouží § 12 ZKB a tzv. stanovení rozsahu řízení kybernetické bezpečnosti.
Správné stanovení rozsahu je základem řízení kybernetické bezpečnosti poskytovatelem regulované služby a souvisí se správným určením aktiv7. V rámci organizace mohou být aktiva, která jsou mimo rozsah řízení kybernetické bezpečnosti podle zákona – obecným doporučením však je mít jednotný přístup k řízení kybernetické bezpečnosti, a tedy stanovit rozsah podle § 12 ZKB na všechna aktiva v organizaci. Stanovení rozsahu je nutnou prerekvizitou pro funkční řízení kybernetické bezpečnosti. Na splnění této základní povinnosti navazují další povinnosti (zavádění bezpečnostních opatření, hlášení kybernetických bezpečnostních incidentů apod.). Stanovený rozsah je defacto „vymezením hřiště“, na kterém poskytovatel řídí svoji kybernetickou bezpečnost. Pro podrobnější informace odkazujeme k podpůrnému materiálu na Portálu NÚKIB8.
Rozsah řízení kybernetické bezpečnosti musí zahrnovat všechna aktiva související s poskytováním regulované služby. Stanovení rozsahu řízení kybernetické bezpečnosti probíhá ve třech krocích:
- určení všech primárních aktiv v organizaci – v takovém detailu, aby bylo možné kvalifikovaně rozhodnout, zda aktivum souvisí s regulovanou službou či nikoli,
- posouzení primárních aktiv – rozhodnutí, zda primární aktivum souvisí s poskytováním regulované služby,
- určení podpůrných aktiv – součástí je evidence vazeb podpůrných aktiv na primární aktiva související s poskytováním regulované služby.
Do doby, než je rozsah řízení kybernetické bezpečnosti stanoven, platí výchozí rozsah tvořený všemi primárními i podpůrnými aktivy poskytovatele regulované služby. Vymezený rozsah řízení kybernetické bezpečnosti se považuje za stanovený v okamžiku, kdy je jeho určení prokazatelně zdokumentováno.
Nově nabytá nebo změněná aktiva jsou automaticky v rozsahu řízení kybernetické bezpečnosti do doby jejich posouzení. Poskytovatel regulované služby pravidelně přezkoumává a aktualizuje stanovený rozsah.
Bezpečnostní opatření
Zavádění a provádění přiměřených preventivních bezpečnostních opatření je stěžejní povinností v zákoně. Konkrétní bezpečnostní opatření se odvíjejí od režimu vyšších9 či nižších10 povinností a zavádějí se v rámci stanoveného rozsahu. Jejich cílem je zajistit řádné poskytování regulované služby a ochranu aktiv. Musí být implementována systematicky a podle principu kontinuálního zlepšování, tedy průběžně vyhodnocována a upravována podle aktuálních hrozeb.
Na počátku zavádění bezpečnostních opatření je potřeba, aby organizace získala přehled o tom, co se chystá chránit. Zmapování výchozího stavu je jednou z největších výzev při zavádění bezpečnostních opatření. Typickým nástrojem v tomto kroku je tzv. GAP analýza.
Bezpečnostní opatření poskytovatele v režimu vyšších povinností
Bezpečnostní opatření v režimu vyšších povinností vycházejí z mezinárodně uznávaných standardů11 a jsou komplexním souborem opatření, která poskytovateli regulované služby umožní přizpůsobit si svou kybernetickou bezpečnost skutečně na míru. V režimu vyšších povinností jsou vymezena v § 14 odst. 1 ZKB, přičemž tomuto ustanovení odpovídá v detailu obsah vyhlášky č. 409/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností. Vhodným zdrojem detailních informací o obsahu vyhlášky je její důvodová zpráva12.
Organizační bezpečnostní opatření jsou založena zejména na jasném stanovení odpovědností a na prioritizaci. Cílem je, aby organizace zhodnotila, jak regulovanou službu poskytuje a co potřebuje pro její přiměřenou ochranu. K tomu je potřeba především správná identifikace aktiv a řízení rizik. Na základě tzv. prohlášení o aplikovatelnosti a plánu zvládání rizik, což jsou stěžejní procesy požadované vyhláškou, pak poskytovatel zavádí přiměřená bezpečnostní opatření ke snížení identifikovaných rizik. K tomu má poskytovatel regulované služby na výběr ze široké palety vyhláškou uvedených okruhů bezpečnostních opatření, které bude typicky zavádět všechny, nicméně v rámci těchto okruhů si bude konkrétní opatření přizpůsobovat potřebám své organizace. Jedná se o bezpečnostní opatření od stanovení bezpečnostních rolí, bezpečnostních politik, řízení dodavatelů a lidských zdrojů přes procesy ke zvládání kybernetických bezpečnostních událostí a incidentů, řízení kontinuity činností, řízení přístupů až po fyzickou a aplikační bezpečnost nebo zavádění kryptografických algoritmů.
Bezpečnostní opatření poskytovatele v režimu nižších povinností
Bezpečnostní opatření pro nižší režim jsou zjednodušeným seznamem základních opatření, bez nichž by v dnešní době neměla fungovat již žádná organizace – jedná se o minimální požadavky a základ kybernetické bezpečnosti v jakékoli organizaci. V režimu nižších povinností jsou vymezena v § 14 odst. 2 ZKB, přičemž tomuto ustanovení odpovídá v detailu obsah vyhlášky č. 410/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu nižších povinností. Vhodným zdrojem detailních informací o obsahu vyhlášky je její důvodová zpráva.13
V první fázi poskytovatel zavádí tzv. základní bezpečnostní opatření, která představují povinné východisko pro další opatření stanovená vyhláškou. Povinná opatření uvedená v § 3–6 a § 10 vyhlášky BO v nižším režimu mají převážně organizační a administrativní charakter a spočívají v nastavení procesů. Tato základní opatření zahrnují zejména požadavky na vrcholné vedení a bezpečnost lidských zdrojů, nastavení řízení kontinuity činností a postupy pro řešení kybernetických bezpečnostních incidentů. Klíčovým dokumentem je tzv. přehled bezpečnostních opatření, který slouží jako souhrnný dokument o stavu jednotlivých opatření podle vyhlášky, tedy o tom, která opatření byla zavedena a která nikoli, případně obsahuje plán jejich zavedení.
Bezpečnostní opatření převážně technické povahy, konkrétně opatření uvedená v § 7–9 a § 11–13 vyhlášky BO v nižším režimu, se zavádějí postupně, přiměřeně a zpravidla není vhodné je implementovat okamžitě a v maximálním rozsahu. Jedná se např. o řízení přístupů a identit, fyzickou bezpečnost, skenování zranitelností nebo segmentaci sítě.
Specifická bezpečnostní opatření se zavádějí u tzv. digitálních regulovaných služeb, kde je detail stanoven v § 18 ZKB.
Hlášení kybernetických bezpečnostních incidentů
Poskytovatelé regulované služby mají povinnost hlásit kybernetické bezpečnostní incidenty, tedy narušení bezpečnosti informací z pohledu jejich dostupnosti, důvěrnosti a integrity. Nehlásí se tedy kybernetické bezpečnostní události, tj. možnost, že k narušení bezpečnosti teprve dojde. Povinnost hlášení kybernetických bezpečnostních incidentů se podle § 15 ZKB obecně vztahuje pouze na ty incidenty, které se projevily ve stanoveném rozsahu, mají původ v kybernetickém prostoru a nelze u nich do 24 hodin vyloučit úmyslné zavinění. Mezi kybernetické bezpečnostní incidenty proto nepatří servisní zásahy, které dle plánu způsobí nedostupnost informace, plánované odstávky elektrické energie nebo incidenty způsobené vlastní provozní činností.
Cílem této povinnosti není získání indicií pro vykonání kontroly u zasaženého subjektu či udělení sankce. Získané informace jsou zaevidovány, analyzovány, poskytovateli regulované služby je nabídnuta podpora při zvládání incidentu a případně jsou z analytické činnosti vyvozeny další kroky vedoucí např. k preventivním opatřením.
Poskytovatel regulované služby v režimu vyšších povinností je povinen hlásit všechny incidenty, které splňují výše vymezené podmínky (tj. stanovený rozsah, dotčení kybernetického prostoru a úmyslné zavinění). Určení incidentu s významným dopadem není podmínkou vzniku ohlašovací povinnosti. Tito poskytovatelé jsou klíčoví pro zajištění bezpečnosti a fungování státu, a proto i incidenty, které se na první pohled jeví jako méně závažné, mohou vyústit v incident s významným dopadem. Znalost všech incidentů u poskytovatelů ve vyšším režimu umožňuje NÚKIB získat širší přehled a zasadit jednotlivé incidenty do kontextu ochrany kybernetického prostoru České republiky. Významnost dopadu incidentu stanovuje NÚKIB na základě obsahu hlášení a dalších relevantních informací. O svém závěru informuje poskytovatele v takové lhůtě, aby tento mohl dodržet zákonné lhůty pro navazující oznámení.
Poskytovatel regulované služby v režimu nižších povinností je povinen hlásit všechny incidenty splňující výše vymezené podmínky, avšak pouze v případě, že se jedná o incident s významným dopadem. Významnost dopadu v tomto případě určuje sám poskytovatel14. Specifická hlášení kybernetických bezpečnostních incidentů se provádějí u tzv. digitálních regulovaných služeb, kde je detail stanoven v § 18 ZKB.
Poskytovatelé regulovaných služeb v obou režimech hlásí kybernetické bezpečnostní incidenty bez zbytečného odkladu, nejpozději do 24 hodin od detekce incidentu. Následně poskytovatel předkládá oznámení (nejpozději do 72 hodin) a závěrečnou zprávu (nejpozději do 30 dnů od předložení oznámení), trvá-li však incident po uplynutí této doby, předkládá poskytovatel zprávu o aktuálním stavu zvládání incidentu a poté závěrečnou zprávu (nejpozději do 30 dnů od vyřešení incidentu). Bez ohledu na režim povinností u poskytovatele regulované služby se incidenty hlásí přes Portál NÚKIB15.
Provádění protiopatření
Protiopatření představují preventivní úkony Úřadu, které jsou nezbytné k ochraně aktiv před hrozbami, před zneužitím zranitelností v oblasti kybernetické bezpečnosti nebo před kybernetickým bezpečnostním incidentem, případně k řešení již nastalého kybernetického bezpečnostního incidentu. Podle ZKB je každý povinen poskytnout NÚKIB součinnost při opatřování podkladů pro vydání některého z protiopatření. Podrobnější informace jsou dostupné na Portálu NÚKIB16.
Rozlišují se tři druhy protiopatření: výstraha, varování a reaktivní protiopatření.
Prostřednictvím výstrahy NÚKIB informuje veřejnost o porušování ZKB nebo o probíhajícím kybernetickém bezpečnostním incidentu v případech, kdy je to nezbytné z důvodu ochrany bezpečnosti České republiky, vnitřního pořádku, života a zdraví osob nebo majetkových hodnot.
Varováním NÚKIB veřejně deklaruje existenci hrozby nebo zranitelnosti v oblasti kybernetické bezpečnosti, která je společná širšímu okruhu osob, a poskytne k ní bližší informace. Poskytovatel regulované služby v režimu vyšších povinností je povinen varování, resp. identifikovanou hrozbu nebo zranitelnost zohlednit v procesu řízení rizik, přičemž toto zohlednění musí být řádně zdokumentováno. Poskytovatel regulované služby v režimu nižších povinností může varování zohlednit dobrovolně při zavádění a provádění bezpečnostních opatření; povinné je pro něj pouze zohlednění varování ve smluvních vztazích se svými dodavateli. Bez ohledu na režim povinností může poskytovatel varování zohlednit také při zadávání veřejných zakázek, neboť dodržení omezení vyplývajících z varování při tvorbě zadávacích podmínek není považováno za vytváření bezdůvodných překážek hospodářské soutěže17.
Reaktivní protiopatření vydává Úřad s cílem okamžité reakce na kybernetický bezpečnostní incident, který hrozí, už probíhá nebo již proběhl. Prostřednictvím reaktivního protiopatření NÚKIB ukládá adresátovi konkrétní technická nebo organizační opatření, která je povinen zavést a provést. O jejich provedení je subjekt povinen informovat NÚKIB ve stanovené lhůtě, pokud není v konkrétním protiopatření uvedeno jinak.
Informační povinnost
Další povinnost subjektu poskytujícího regulovanou službu je uvedena v § 19 ZKB. Poskytovatel regulované služby je povinen informovat uživatele jím poskytované regulované služby o kybernetickém incidentu s významným dopadem a o krocích, které mohou být učiněny proti významné kybernetické hrozbě. Shledá-li to poskytovatel regulované služby jako vhodné, informuje uživatele své služby i o samotné významné hrozbě. Informace musejí být poskytovány zdarma, transparentně, srozumitelně a musejí být snadno dostupné. Podrobnější informace jsou dostupné v podpůrném materiálu na Portál NÚKIB18.
Závěr
Nový zákon o kybernetické bezpečnosti je dalším posunem v odpovědnosti organizací za ochranu jejich aktiv i za stabilitu služeb, které občanům poskytují. Nejde pouze o splnění formálních povinností, ale o systematické řízení rizik a průběžné zlepšování bezpečnostních opatření tak, aby organizace měla větší šanci uspět v současném světě. Stěžejní je aktivní zapojení vedení organizace, realistické vyhodnocení dopadů a dlouhodobá snaha budovat skutečnou kybernetickou odolnost, nikoli jen administrativní soulad s právními předpisy.
Tato e-mailová adresa je chráněna před spamboty. Pro její zobrazení musíte mít povolen Javascript.
Tato e-mailová adresa je chráněna před spamboty. Pro její zobrazení musíte mít povolen Javascript.
Poznámky pod čarou:
- Zákon č. 181/2014 Sb., o kybernetické bezpečnosti
- Směrnice Evropského parlamentu a Rady (EU) 2016/1148 ze dne 6. července 2016 o opatřeních k zajištění vysoké společné úrovně bezpečnosti sítía informačních systémů v Unii
- Směrnice Evropského parlamentu a Rady (EU) 2022/2555 ze dne 14. prosince 2022 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii
- Důvodová zpráva k vyhlášce č. 408/2025 Sb., o regulovaných službách. Dostupné z: https://portal.nukib.gov.cz/storage/uploads/2025/12/03/duvodova-zprava-vyhlaska-regulovane-sluzby_uid_69303a3285993.pdf
- Uživatelská příručka k definici malých a středních podniků. Dostupné z: https://op.europa.eu/cs/publication-detail/-/publication/756d9260-ee54-11ea-991b-01aa75ed71a1
- Ohlášení regulované služby. Dostupné z: https://portal.nukib.gov.cz/chci-vyridit/ohlaseni-regulovane-sluzby
- Aktivem je fyzický nebo digitální prostředek, osoba nebo činnost související se zpracováváním informací a dat v elektronické podobě (§ 2 odst. 1 písm. c) ZKB)
- Stanovení rozsahu řízení kybernetické bezpečnosti. Dostupné z: https://portal.nukib.gov.cz/informacni-servis/podpurne-materialy/68fb40e31b34fafdf7068472
- Vyhláška č. 409/2025 Sb. o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností
- Vyhláška č. 410/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu nižších povinností
- Zejm. ISO/IEC 27001:2022 a The NIST Cybersecurity Framework (CSF) 2.0
- Důvodová zpráva k vyhlášce č. 409/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností. Dostupné z: https://portal.nukib.gov.cz/storage/uploads/2025/12/03/duvodova-zprava-vyhlaska-vyssi-rezim_uid_69303a3e441fc.pdf
- Důvodová zpráva k vyhlášce č. 410/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu nižších povinností. Dostupné z: https://portal.nukib.gov.cz/storage/uploads/2025/12/03/duvodova-zprava-vyhlaska-nizsi-rezim_uid_693039f42250d.pdf
- Pravidla pro určení významnosti dopadu incidentu jsou stanovena v § 14 vyhlášky č. 410/2025 Sb. Toto určení se odvíjí od stanovení únosné míry újmy způsobené incidentem a vymezení oblastí dopadu.
- Hlášení incidentů v sekci „Chci vyřídit“, která je dostupná zde: https://portal.nukib.gov.cz/chci-vyridit
- Protiopatření. Dostupné z: https://portal.nukib.gov.cz/informacni-servis/podpurne-materialy/6908c07331d9efad6108cf6a
- Bližší informace o souladu se zákonem o zadávání veřejných zakázek ve vztahu ke konkrétnímu varování jsou dostupné v metodikách, které jsou spolu s varováním zveřejňovány, viz např. Metodický materiál k varování ze dne 3. září 2025. Dostupné z: https://nukib.gov.cz/download/uredni_deska/ 2025-09-03_metodicky-material-k-varovani-ze-dne-3-9-2025_v1.0.pdf
- Informační povinnost podle § 19 zákona o kybernetické bezpečnosti. Dostupné z: https://portal.nukib.gov.cz/informacni-servis/podpurne-materialy/ 68f1ebc8ddc783592a0334ed
Použité zdroje:
[ 1 ] Zákon č. 264/2025 Sb., o kybernetické bezpečnosti
[ 2 ] Zákon č. 181/2014 Sb., o kybernetické bezpečnosti
[ 3 ] Vyhláška č. 409/2025 Sb. o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností
[ 4 ] Vyhláška č. 410/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu nižších povinností
[ 5 ] Směrnice Evropského parlamentu a Rady (EU) 2016/1148 ze dne 6. července 2016 o opatřeních k zajištění vysoké společné úrovně bezpečnosti sítí a informačních systémů v Unii
[ 6 ] Směrnice Evropského parlamentu a Rady (EU) 2022/2555 ze dne 14. prosince 2022 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii
[ 7 ] Důvodová zpráva k vyhlášce č. 408/2025 Sb., o regulovaných službách. Portál NÚKIB [online]. Brno: Národní úřad pro kybernetickou a informační bezpečnost, 2026 [cit. 13.2.2026]. Dostupné z: https://portal.nukib.gov.cz/storage/uploads/2025/12/03/duvodova-zprava-vyhlaska-regulovane-sluzby_uid_69303a3285993.pdf
[ 8 ] Uživatelská příručka k definici malých a středních podniků. Úřad pro publikace Evropské unie [online] 2026 [cit. 13.2.2026]. Dostupné z: https://op.europa.eu/cs/publication-detail/-/publication/756d9260-ee54-11ea-991b-01aa75ed71a1
[ 9 ] Ohlášení regulované služby. Portál NÚKIB [online]. Brno: Národní úřad pro kybernetickou a informační bezpečnost, 2026 [cit. 13.2.2026]. Dostupné z: https://portal.nukib.gov.cz/chci-vyridit/ohlaseni-regulovane-sluzby
[ 10 ] Stanovení rozsahu řízení kybernetické bezpečnosti. Portál NÚKIB [online]. Brno: Národní úřad pro kybernetickou a informační bezpečnost, 2026 [cit. 13.2.2026]. Dostupné z: https://portal.nukib.gov.cz/informacni-servis/podpurne-materialy/68fb40e31b34fafdf7068472
[ 11 ] Důvodová zpráva k vyhlášce č. 409/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností. Portál NÚKIB [online]. Brno: Národní úřad pro kybernetickou a informační bezpečnost, 2026 [cit. 13.2.2026]. Dostupné z: https://portal.nukib.gov.cz/storage/uploads/2025/12/03/duvodova-zprava-vyhlaska-vyssi-rezim_uid_69303a3e441fc.pdf
[ 12 ] Důvodová zpráva k vyhlášce č. 410/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu nižších povinností. Portál NÚKIB [online]. Brno: Národní úřad pro kybernetickou a informační bezpečnost, 2026 [cit. 13.2.2026]. Dostupné z: https://portal.nukib.gov.cz/storage/uploads/2025/12/03/duvodova-zprava-vyhlaska-nizsi-rezim_uid_693039f42250d.pdf
[ 13 ] Protiopatření. Portál NÚKIB [online]. Brno: Národní úřad pro kybernetickou a informační bezpečnost, 2026 [cit. 13.2.2026]. Dostupné z: https://portal.nukib.gov.cz/informacni-servis/podpurne-materialy/6908c07331d9efad6108cf6a
[ 14 ] Metodický materiál k varování ze dne 3. září 2025. Portál NÚKIB [online]. Brno: Národní úřad pro kybernetickou a informační bezpečnost, 2026 [cit. 13.2.2026]. Dostupné z: https://nukib.gov.cz/download/uredni_deska/2025-09-03_metodicky-material-k-varovani-ze-dne-3-9-2025_v1.0.pdf
[ 15 ] Informační povinnost podle § 19 zákona o kybernetické bezpečnosti. Portál NÚKIB [online]. Brno: Národní úřad pro kybernetickou a informační bezpečnost, 2026 [cit. 13.2.2026]. Dostupné z: https://portal.nukib.gov.cz/informacni-servis/podpurne-materialy/68f1ebc8ddc783592a0334ed
