- Význam
- Závěrečné hlášení po incidentu
- Lhůta
- Do 30 dnů
- Obsah
- Příčina, dopady, přijatá opatření
- Stupeň
- Třetí a poslední stupeň
- Aktualizace
- červen 2026
- Redakce
- Compliance Compass
Co je závěrečná zpráva?
Ohlašovací povinnost podle NIS2 má tři stupně. Závěrečná zpráva je jejím třetím a posledním stupněm. Podrobně ji popisuje hesloOhlašovací povinnost. Zatímco hlášení a oznámení dodají pod velkým časovým tlakem první obraz situace, závěrečná zpráva po zpracování incidentu shrnuje, co se skutečně stalo, jaké vznikly dopady a jakými opatřeními se reagovalo. Je tak závaznou závěrečnou dokumentací vůči příslušnému orgánu.
Co do ní patří
- Podrobný popis incidentu a jeho příčiny (root cause)
- Povaha a rozsah dopadů – například zasažené služby, objem dat a počet uživatelů
- Přijatá a plánovaná protiopatření včetně opatření k budoucí prevenci
- Je-li to relevantní: přeshraniční dopady na jiné členské státy
Zařazení v řetězci hlášení
Navazuje na hlášení incidentu (do 24 hodin) a na oznámení incidentu (do 72 hodin); podává se do 30 dnů od oznámení incidentu přes portál NÚKIB. Trvá-li významný incident i po uplynutí této lhůty, podává se nejprve průběžná zpráva o stavu řešení; závěrečná zpráva následuje, jakmile je incident zcela vyřešen.
V praxi
Po ransomwarovém útoku potřeboval provozovatel nemocnice tři týdny na forenzní analýzu a obnovu. V závěrečné zprávě uvádí, že prvotní průnik proběhl přes nezáplatovanou zranitelnost VPN, že pohotovostní péče byla 14 hodin omezena a že nově zavede vícefaktorové ověřování i zpřísněné řízení záplat. Nesplní tím jen lhůtu, ale dodá úřadu využitelné poznatky i pro další poskytovatele.
Víc než splněná povinnost
Dobrá závěrečná zpráva má cenu i uvnitř organizace: zaznamenané poznatky se promítnou do zlepšení oblastí, jimiž jsou Opatření a Reakce na incidenty – a posílí doložitelnost vůči dohledu i vedení, zvláště s ohledem na možné pokuty až do výše 250 000 000 Kč nebo 2 % ročního obratu v režimu vyšších povinností.
Další zdroj: Směrnice (EU) 2022/2555, závěrečná zpráva podle čl. 23 odst. 4
Časté dotazy
Co je závěrečná zpráva?
Závěrečná zpráva je třetím a posledním stupněm ohlašovací povinnosti u významných incidentů. Po ukončeném zpracování incidentu dokumentuje jeho příčinu (root cause), povahu a rozsah dopadů i přijatá a plánovaná protiopatření. Je tak závaznou závěrečnou dokumentací vůči příslušnému orgánu, jímž je v Česku NÚKIB, a přináší mu využitelné poznatky, z nichž mohou těžit i další poskytovatelé regulované služby.
Jaká lhůta pro závěrečnou zprávu platí?
Závěrečná zpráva se podává nejpozději do 30 dnů od oznámení incidentu, a to přes portál NÚKIB. Tvoří poslední stupeň řetězce, který začíná hlášením do 24 hodin, pokračuje oznámením do 72 hodin a končí právě závěrečnou zprávou. V Česku tyto lhůty stanoví zákon č. 264/2025 Sb., o kybernetické bezpečnosti, účinný od 1. listopadu 2025.
Co platí, když incident trvá déle než 30 dnů?
Trvá-li významný incident i po uplynutí 30 dnů od oznámení, podává se místo závěrečné zprávy nejprve zpráva průběžná o aktuálním stavu řešení. Vlastní závěrečná zpráva následuje teprve tehdy, až je incident zcela a s konečnou platností vyřešen. Příslušný orgán tak zůstává po celou dobu řešení informován o postupu, aniž by pevná lhůta vynutila předčasné uzavření.