Stručně: Paragraf 15 zákona č. 264/2025 Sb. stanovuje povinnost poskytovatelům regulovaných služeb hlásit kybernetické bezpečnostní incidenty, které splňují určité podmínky, a to buď Úřadu, nebo Národnímu CERT, v závislosti na režimu povinností.
§ 15 Hlášení kybernetických bezpečnostních incidentů
(1) Poskytovatel regulované služby v režimu vyšších povinností je povinen hlásit Úřadu postupem podle § 16 kybernetické bezpečnostní incidenty, které se projevily ve stanoveném rozsahu, mají původ v kybernetickém prostoru a nelze u nich ve lhůtě podle § 16 odst. 1 vyloučit úmyslné zavinění.
(2) Poskytovatel regulované služby v režimu nižších povinností je povinen hlásit národnímu týmu koordinace a zvládání kybernetických bezpečnostních incidentů, událostí a hrozeb (dále jen „Národní CERT“) postupem podle § 16 kybernetické bezpečnostní incidenty, které se projevily ve stanoveném rozsahu, mají původ v kybernetickém prostoru, mají významný dopad na poskytování regulované služby a nelze u nich ve lhůtě podle § 16 odst. 1 vyloučit úmyslné zavinění.
(3) Významný dopad na poskytování regulované služby má kybernetický bezpečnostní incident, který poskytovateli regulované služby způsobil nebo může způsobit závažné provozní narušení služeb nebo finanční ztráty nebo způsobil nebo může způsobit jiným osobám značnou újmu. Způsob vyhodnocení významnosti dopadu kybernetického bezpečnostního incidentu na poskytování regulované služby poskytovatelem regulované služby v režimu nižších povinností stanoví Úřad vyhláškou.
(4) Poskytovatel regulované služby začne plnit povinnost hlásit kybernetické bezpečnostní incidenty podle odstavců 1 a 2 pro každou regulovanou službu nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby.
(5) Úřad dále přijímá dobrovolná hlášení kybernetických bezpečnostních incidentů, kybernetických bezpečnostních událostí nebo hrozeb. Úřadu mohou být hlášeny také zranitelnosti.
Paragraf 15 zákona č. 264/2025 Sb. stanovuje povinnost poskytovatelům regulovaných služeb hlásit kybernetické bezpečnostní incidenty, které splňují určité podmínky, a to buď Úřadu, nebo Národnímu CERT, v závislosti na režimu povinností.
Co to znamená v praxi
Poskytovatelé regulovaných služeb v režimu vyšších povinností musí hlásit incidenty Úřadu, pokud se projevily ve stanoveném rozsahu, mají původ v kybernetickém prostoru a nelze vyloučit úmyslné zavinění.
Poskytovatelé regulovaných služeb v režimu nižších povinností hlásí incidenty Národnímu CERT, pokud splňují stejné podmínky jako výše a navíc mají významný dopad na poskytování regulované služby.
Významný dopad incidentu se posuzuje podle toho, zda způsobil nebo může způsobit závažné provozní narušení, finanční ztráty nebo značnou újmu jiným osobám.
Povinnost hlásit incidenty začíná pro každou regulovanou službu nejpozději do jednoho roku od doručení rozhodnutí o její registraci.
Na co si dát pozor
Rozlišuje se mezi hlášením Úřadu a Národnímu CERT podle režimu povinností poskytovatele.
Pro poskytovatele v režimu nižších povinností je klíčové posoudit "významný dopad" incidentu, jehož způsob vyhodnocení stanoví Úřad vyhláškou.
Vedle povinných hlášení Úřad přijímá i dobrovolná hlášení incidentů, událostí, hrozeb a zranitelností.
Provozuje Eucalypt 4 s.r.o., IČO 22103741, Jičínská 226/17, Praha 3 (kontakt). Zdroj dat: e-Sbírka / justice.cz (oficiální). Výklady generovány AI z textu zákona, orientační — nenahrazují radu advokáta.