§ 24 zákon o kybernetické bezpečnosti – Vztah poskytovatele regulované služby a jeho dodavatelů
Zákon o kybernetické bezpečnosti · 264/2025 Sb. · IT právo a ochrana dat
Stručně: Paragraf 24 zákona č. 264/2025 Sb. umožňuje Úřadu pro kybernetickou bezpečnost (Úřad) na žádost poskytovatele regulované služby nařídit dodavateli (nebo jiné osobě) předání informací a dat souvisejících s provozem aktiv, pokud hrozí závažný kybernetický incident, který by mohl ohrozit bezpečnost státu, veřejný pořádek, život, zdraví, majetek nebo životní prostředí. (§ 24 zákona č. 264/2025 Sb., zákon o kybernetické bezpečnosti, stav k 7. 10. 2026)
Klíčová fakta
- Předmět úpravy: Vztah poskytovatele regulované služby a jeho dodavatelů
- Týká se: dodavatel
- Znění: aktuální úplné znění podle Sbírky zákonů (e-Sbírka), stav databáze k
- Zdroj: e-Sbírka, 264/2025 Sb.
(1) Úřad může v případě hrozícího nebo probíhajícího kybernetického bezpečnostního incidentu, který by mohl mít závažný vliv na poskytování regulované služby s dopadem na zachování bezpečnosti České republiky, vnitřního pořádku, života a zdraví, majetkových hodnot nebo životního prostředí, na podnět poskytovatele regulované služby v režimu vyšších povinností, který marně vyzval svého dodavatele k předání informací a dat, uložit tomuto dodavateli povinnost předat poskytovateli regulované služby informace a data související s provozem aktiv sloužících k poskytování regulované služby. Pokud tento dodavatel informacemi nebo daty souvisejícími s provozem aktiv sloužících k poskytování regulované služby nedisponuje nebo vzhledem ke skutkovým okolnostem není účelné jejich opatření a vydání po něm požadovat, může Úřad povinnost podle věty první uložit každému, kdo požadovanými informacemi a daty disponuje. Úřad může v rozhodnutí podle vět první a druhé určit formát, rozsah, způsob a lhůtu předání těchto informací a dat a stanovit povinnost po jejich předání tyto informace a data a všechny jejich kopie bezpečně zlikvidovat.
(2) Podnět podle odstavce 1 musí obsahovat odůvodnění požadavku s ohledem na hrozící nebo probíhající kybernetický bezpečnostní incident, podrobný popis předchozího jednání mezi dodavatelem a poskytovatelem regulované služby a možné následky, pokud nedojde k předání požadovaných informací a dat.
(3) Rozhodnutí podle odstavce 1 může být prvním úkonem v řízení. Rozklad proti rozhodnutí podle věty první nemá odkladný účinek.
(4) Dodavatel nebo ten, kdo požadovanými informacemi a daty disponuje, má nárok na úhradu účelně vynaložených nákladů spojených s předáním informací a dat ze strany poskytovatele regulované služby. Jednání o úhradě účelně vynaložených nákladů spojených s předáním informací a dat nesmí být překážkou řádného splnění povinnosti předat informace a data.
(5) Pro účely exekuce rozhodnutí podle odstavce 1 se informace a data považují za movitou věc.
Srozumitelný výklad
Co to znamená v praxi
- Zajištění informací při krizi: Úřad může zasáhnout a zajistit, aby poskytovatel regulované služby získal klíčové informace od svých dodavatelů (nebo jiných držitelů dat), pokud je to nezbytné pro řešení závažného kybernetického incidentu.
- Rychlá reakce: Rozhodnutí Úřadu o předání informací může být vydáno jako první úkon v řízení a nemá odkladný účinek v případě rozkladu, což umožňuje rychlou reakci na incident.
- Úhrada nákladů: Dodavatelé nebo jiné osoby, které jsou povinny předat informace, mají nárok na úhradu účelně vynaložených nákladů od poskytovatele regulované služby, přičemž jednání o úhradě nesmí bránit předání dat.
- Vynutitelnost: Pro účely exekuce se informace a data považují za movitou věc, což usnadňuje vynucení rozhodnutí Úřadu.
Na co si dát pozor
- Podnět od poskytovatele: Úřad jedná pouze na podnět poskytovatele regulované služby, který musí marně vyzvat svého dodavatele k předání informací a dat.
- Závažnost incidentu: Podnět musí být odůvodněn hrozícím nebo probíhajícím kybernetickým bezpečnostním incidentem s potenciálně závažným dopadem.
- Likvidace dat: Úřad může v rozhodnutí stanovit povinnost bezpečně zlikvidovat předané informace a data a všechny jejich kopie po jejich předání.
Generováno z textu ustanovení, orientační – nenahrazuje radu advokáta.
Související
§ 2 Účinnost (Vyhláška o Programu statistických zjišťo)§ 3 Účinnost (Vyhláška o Programu statistických zjišťo)§ 2 Účinnost (Vyhláška o Programu statistických zjišťo)§ 2 Účinnost (Vyhláška o Programu statistických zjišťo)§ 2 Účinnost (Vyhláška o Programu statistických zjišťo)