Ohlašovací povinnost jednoduše vysvětleno

Co je ohlašovací povinnost?

Zákonná Ohlašovací povinnost ukládá poskytovatelům regulovaných služeb hlásit významné incidenty příslušnému orgánu. Cílem je, aby orgány mohly reagovat včas, aby byly varovány zasažené třetí osoby a aby se podobným útokům předešlo v celém hospodářství. Podle NIS2, kterou v Česku provádí zákon o kybernetické bezpečnosti účinný od 1. listopadu 2025, je hlášení záměrně stupňovité : úřad tak velmi rychle získá první přehled o situaci, který se v dalším průběhu zpřesňuje, místo aby až po týdnech obdržel jedinou úplnou zprávu.

Tři stupně hlášení podrobně

• Hlášení (do 24 hodin): první stručná informace, že došlo k významnému incidentu – včetně údaje, zda je podezření na protiprávní nebo přeshraniční pozadí.
• Oznámení (do 72 hodin): první průkazné posouzení závažnosti, dopadů a – je-li známa – příčiny, spolu s již přijatými okamžitými opatřeními.
• Závěrečná zpráva (do 30 dnů): úplný popis příčiny, dopadů a trvalých protiopatření.

Ohlašovací kaskáda ve zkratce

Hodiny běží od okamžiku zjištění. Každý stupeň navazuje na předchozí – následující tabulka ukazuje, co a do kdy musí dorazit úřadu NÚKIB :

Kontrolní seznam: podléhá můj incident hlášení?

Několik zaškrtnutí? Pak běží lhůta 24 hodin. V pochybnostech je lepší hlášení podat.

• ☐ Jde o významné narušení dostupnosti, integrity nebo důvěrnosti?
• ☐ Došlo k výpadku provozu, finanční škodě nebo většímu úniku dat, nebo je lze očekávat?
• ☐ Mohly by být poškozeny jiné fyzické nebo právnické osoby?
• ☐ Je vlastní organizace poskytovatelem regulované služby podle NIS2 , ať už v režimu vyšších, nebo nižších povinností?
• ☐ Je přístup k portálu NÚKIB i odpovědná osoba dostupná – také o víkendu?

Kdy je incident významný?

Hlášení podléhají výhradně významné incidenty – například ty s delšími výpadky, velkým únikem dat, citelnými finančními škodami nebo mnoha zasaženými uživateli. Drobnější poruchy ohlašovací povinnost nespouštějí, měly by se však interně zdokumentovat, aby bylo v případě pochybností zřejmé, proč hlášení podáno nebylo.

Kdo je adresátem hlášení?

V Česku jdou hlášení přes Portál NÚKIB úřadu NÚKIB jakožto příslušnému orgánu. Přístup se zřizuje přímo na portálu. Protože ohlášení regulované služby je třeba podat do 60 dnů ode dne, kdy jsou splněny zákonné podmínky, měly by být účet i přístupová oprávnění hotové dříve, než nastane první incident.

Co máte konkrétně udělat?

• Zřiďte si předem přístup přes Portál NÚKIB – ne až v okamžiku incidentu.
• Určete osoby odpovědné za hlášení i jejich jasné zástupce, dostupné nepřetržitě.
• Mějte po ruce textové šablony pro hlášení do 24 hodin, oznámení do 72 hodin a závěrečnou zprávu do 30 dnů.
• Při podezření ihned založte časovou osu: kdo si čeho a kdy všiml?
• Propojte hlášení s tím, co popisuje Váš plán reakce na incidenty, aby obrana a hlášení běžely souběžně.

Incident v pátek večer

Pátek, 22:14. Dodavatel energie zjistí, že ransomware zašifroval software dispečinku. Zatímco jeden tým ještě téže noci izoluje kompromitované systémy, druhý souběžně formuluje hlášení a odešle je před uplynutím 24 hodin přes portál NÚKIB; v pondělí následuje včas oznámení do 72 hodin s prvním posouzením škod a do 30 dnů dorazí závěrečná zpráva s úplným rozborem příčin a s trvalými opatřeními na zpevnění systémů. Rozhodující nebylo štěstí. Role, přístupy i šablony byly připraveny dříve, než útok začal.

Co hrozí při porušení?

Kdo poruší ohlašovací povinnosti, riskuje citelné pokuty: v režimu vyšších povinností až do výše 250 000 000 Kč nebo 2 % celosvětového ročního obratu, v režimu nižších povinností až do výše 175 000 000 Kč nebo 1,4 %, vždy podle toho, co je vyšší. K tomu přistupuje – prostřednictvím povinností v oblasti Řízení a odpovědnost– osobní odpovědnost vedoucích orgánů. Připravený plán reakce na incidenty pomáhá lhůty bezpečně dodržet.

Další zdroj: Směrnice NIS2 (EU) 2022/2555, ohlašovací povinnosti podle čl. 23