§ 31 zákon o kybernetické bezpečnosti – Povinnosti spojené s prověřováním bezpečnosti dodavatelského řetězce
Zákon o kybernetické bezpečnosti · 264/2025 Sb. · IT právo a ochrana dat
Stručně: Paragraf 31 zákona č. 264/2025 Sb. stanovuje poskytovatelům strategicky významných služeb povinnost zjišťovat, evidovat a hlásit Úřadu informace o dodavatelích bezpečnostně významných dodávek, a to s přiměřeným úsilím. Poskytovatel strategicky významné služby musí aktivně shromažďovat údaje o firmách, které mu dodávají klíčové produkty nebo služby z hlediska bezpečnosti. (§ 31 zákona č. 264/2025 Sb., zákon o kybernetické bezpečnosti, stav k 7. 10. 2026)
Klíčová fakta
- Předmět úpravy: Povinnosti spojené s prověřováním bezpečnosti dodavatelského řetězce
- Týká se: dodavatel
- Lhůta nebo doba (odst. 1): „hlásit Úřadu informace podle písmene a) a jejich změny do 10 dnů ode dne jejich zjištění.“
- Lhůta nebo doba (odst. 2): „…významné služby plní povinnost hlásit informace podle odstavce 1 nejpozději do 1 roku ode dne, kdy se z regulované služby stala strategicky významná služba.“
- Odkazuje na: § 27
- Znění: aktuální úplné znění podle Sbírky zákonů (e-Sbírka), stav databáze k
- Zdroj: e-Sbírka, 264/2025 Sb.
(1) Poskytovatel strategicky významné služby je povinen
a) s vynaložením přiměřeného úsilí zjišťovat informace o dodavatelích bezpečnostně významných dodávek,
b) evidovat informace podle písmene a) alespoň v rozsahu identifikace všech bezpečnostně významných dodávek a dodavatelů bezpečnostně významných dodávek, kteří je poskytují, a
c) hlásit Úřadu informace podle písmene a) a jejich změny do 10 dnů ode dne jejich zjištění.
(2) Poskytovatel strategicky významné služby plní povinnost hlásit informace podle odstavce 1 nejpozději do 1 roku ode dne, kdy se z regulované služby stala strategicky významná služba.
(3) Informace ohlášené Úřadu podle odstavce 1 písm. c) a odstavce 2 a informace zjištěné postupem podle § 27 a 28 jsou součástí evidence dodavatelů bezpečnostně významných dodávek.
Srozumitelný výklad
Co to znamená v praxi
- Poskytovatel strategicky významné služby musí aktivně shromažďovat údaje o firmách, které mu dodávají klíčové produkty nebo služby z hlediska bezpečnosti.
- Tyto shromážděné informace je nutné vést v evidenci, která musí obsahovat alespoň identifikaci všech bezpečnostně významných dodávek a jejich dodavatelů.
- Zjištěné informace a jejich případné změny je poskytovatel povinen nahlásit Úřadu do 10 dnů od jejich zjištění.
- Pokud se z regulované služby stane strategicky významná služba, má poskytovatel na splnění povinnosti hlásit informace Úřadu lhůtu jednoho roku.
Na co si dát pozor
- Povinnost zjišťovat informace je omezena na "přiměřené úsilí", což naznačuje, že se neočekává neomezené pátrání, ale realistický přístup k získávání dat.
- Hlášení Úřadu musí být provedeno včas, tedy do 10 dnů od zjištění informací nebo jejich změny.
- Všechny ohlášené a zjištěné informace se stávají součástí evidence dodavatelů bezpečnostně významných dodávek, což může mít další důsledky pro poskytovatele.
Generováno z textu ustanovení, orientační – nenahrazuje radu advokáta.