- Význam
- Druhý stupeň ohlašování
- Lhůta
- Do 72 hodin
- Obsah
- První posouzení závažnosti a dopadů
- Stupeň
- Prostřední ze tří
- Aktualizace
- červen 2026
- Redakce
- Compliance Compass
Co je oznámení incidentu?
Řetězec ohlašování má tři stupně. Oznámení incidentu navazuje na hlášení a je druhým stupněm ohlašovací povinnosti. Do 72 hodin poskytuje úřadu první podložený odhad závažnosti, dopadů i možných příčin. Zatímco hlášení jen signalizuje, že se stalo něco významného, oznámení incidentu poprvé odpovídá na otázku, co přesně se stalo a jak závažné to je.
Co obsahuje
- První posouzení incidentu (závažnost, dosah, dopady na služby a uživatele)
- Pokud jsou známy: příčina a povaha útoku i zasažené systémy
- Již přijatá okamžitá opatření k zastavení šíření
- Údaje o možných přeshraničních dopadech
Součást řetězce hlášení
Jde o prostřední ze tří stupňů, které popisuje heslo Ohlašovací povinnost: hlášení (do 24 hodin) → oznámení (do 72 hodin) → Závěrečná zpráva (do 30 dnů). Celý řetězec spouští pouze významný incident; v Česku se podání vyřizuje přes portál NÚKIB.
V praxi
Poskytovatel platebních služeb odeslal v pondělí hlášení k útoku DDoS. Do čtvrtka, tedy ve lhůtě 72 hodin, tým doplní oznámení: útok vyřadil platební API zhruba na šest hodin, dotkl se odhadem několika tisíc transakcí, původ je připisován botnetu a jako okamžité opatření byla aktivována scrubbingová služba. Tyto údaje umožní úřadu varovat další účastníky trhu.
Proč lhůta 72 hodin
Dává úřadu podložené informace, aby mohl sám reagovat a případně varovat další poskytovatele. Bez připravených postupů se lhůta drží těžko – pomáhá plán reakce na incidenty s jasnými rolemi a šablonami, který zabrání pochybením a s nimi i pokutám až do výše 250 000 000 Kč nebo 2 % ročního obratu v režimu vyšších povinností.
Další zdroj: Směrnice (EU) 2022/2555, oznámení incidentu podle čl. 23 odst. 4
Časté dotazy
Co je oznámení incidentu?
Oznámení incidentu je druhým ze tří stupňů ohlašování a navazuje na hlášení. Do 72 hodin od zjištění významného incidentu poskytuje příslušnému orgánu první podložené posouzení závažnosti, dopadů a – pokud je známa – příčiny incidentu. V Česku se podává přes portál NÚKIB. Povinnosti stanoví zákon č. 264/2025 Sb., o kybernetické bezpečnosti, účinný od 1. listopadu 2025.
Jaká lhůta pro oznámení incidentu platí?
Oznámení incidentu se podává do 72 hodin od zjištění významného incidentu přes portál NÚKIB. To je 48 hodin po uplynutí lhůty 24 hodin pro hlášení. Třetí stupeň, závěrečná zpráva, následuje nejpozději do 30 dnů. Zmeškané podání může v režimu vyšších povinností vést k pokutě až do výše 250 000 000 Kč nebo 2 % celosvětového ročního obratu.
Co musí oznámení incidentu obsahovat?
Oznámení incidentu obsahuje první posouzení závažnosti a dopadů na služby a uživatele, pokud jsou známy, i příčinu a povahu útoku a dále již přijatá okamžitá opatření k zastavení šíření. Patří sem i údaje o možných přeshraničních dopadech. Je tak výrazně podrobnější než předchozí hlášení, které do 24 hodin pouze signalizuje podezření.