Kritéria pro zařazení poskytovatele regulované služby do příslušného režimu

Zařazení mezi regulované služby závisí na povaze a významu poskytované služby pro fungování určitého sektoru nebo veřejného zájmu, nikoli na velikosti či organizačním postavení poskytovatele. Rozhodující je charakter služby, ne kdo ji provozuje. Nemusí jít jen o hlavní předmět podnikání – rozhodující může být i to, jaké služby reálně subjekt poskytuje třeba i jako součást provozu.

Regulovaná služba je taková činnost, jejíž fungování je pro stát nebo veřejnost zásadní. Výpadek nebo narušení takové služby by mohlo mít významné dopady na bezpečnost a fungování státu, zdraví obyvatel, ekonomiku nebo životní prostředí. Regulace má zajistit, že poskytovatelé těchto služeb nastaví a budou nadále udržovat odpovídající úroveň kybernetické bezpečnosti a že jsou součástí systému koordinovaného řešení kybernetických incidentů.

Zařazení mezi regulované služby závisí na povaze a významu poskytované služby pro fungování určitého sektoru nebo veřejného zájmu, nikoli na velikosti či organizačním postavení poskytovatele. Rozhodující je charakter služby, ne kdo ji provozuje. Nemusí jít jen o hlavní předmět podnikání – rozhodující může být i to, jaké služby reálně subjekt poskytuje třeba i jako součást provozu.

Seznam regulovaných služeb

Seznam regulovaných služeb stanoví NÚKIB ve vyhlášce o regulovaných službách, která upravuje kritéria pro určení regulovaných služeb. Odvětví, do kterých mohou regulované služby spadat, jsou přesně vymezená v § 4 odst. 1 zákona 264/2025 Sb.. Regulovaná odvětví jsou definována směrnicí NIS2 a platí jednotně v celé Evropské unii. Zahrnují např. energetiku, dopravu, zdravotnictví, digitální infrastrukturu, veřejnou správu a další.

Vyhláška zde má klíčovou roli – v rámci seznamu odvětví specifikuje konkrétní služby, které podléhají regulaci. Určuje, za jakých podmínek se poskytovatel dané služby stává regulovaným, přičemž zohledňuje i velikost a významnost poskytovatele služby. Podle těchto kritérií je následně určeno, jaký režim povinností (nižší nebo vyšší) se na poskytovatele vztahuje, tedy jaké má povinnosti a jak přísná pravidla musí dodržovat.

V některých případech může NÚKIB poskytovatele služby sám zařadit mezi regulované i bez jeho návrhu, například pokud je jediným poskytovatelem dané služby v ČR nebo pokud spravuje prvek kritické infrastruktury (§ 5). Poskytovatel služby je pak automaticky zařazen do režimu vyšších povinností (§ 8 odst. 3).

Povinnost registrace

Pokud splňujete podmínky pro registraci regulované služby (ve vyšším nebo nižším režimu povinností), máte povinnost službu do 60 dnů ohlásit NÚKIB. Úřad následně rozhodne o registrací služby. Každou následnou podstatnou změnu, která by mohla ovlivnit váš status nebo režim, je taktéž nutné oznámit do 60 dnů. V některých případech může NÚKIB poskytovatele zařadit mezi regulované i bez jeho návrhu, například pokud je jediným poskytovatelem dané služby v ČR nebo pokud spravuje prvek kritické infrastruktury. Neohlášení služby, respektive neplnění povinností poskytovatele regulované služby může vést k vysokým pokutám až v řádech miliónů korun.

Jak poznat, kam patřím

Seznam služeb a podmínky významnosti jsou taxativně vyjmenovány ve výše zmíněné vyhlášce 408/2005 Sb., kde je možné si příslušné informace vyhledat.