Kritická infrastruktura 2026: koho se týká registrace a proč nové zákony počítají s kamerami a kontrolou vstupu

Za poslední rok dostalo české firemní prostředí dvě velké bezpečnostní novinky. Zákon č. 266/2025 Sb. o odolnosti subjektů kritické infrastruktury a zákon č. 264/2025 Sb. o kybernetické bezpečnosti. Oba vycházejí z evropských směrnic (CER a NIS2), oba zavádějí povinnou registraci a oba, což se často přehlíží, požadují vedle papírování i konkrétní opatření ve fyzickém světě. Kamerové systémy, kontrola vstupu, detekce vniknutí. V tomhle článku shrnu, koho se nové povinnosti týkají, jaké lhůty právě běží a proč se bez pořádného fyzického zabezpečení objektu nedají splnit.

Jedno upozornění hned na začátek: nejsem právník a tenhle text není právní rozbor. Jsem technik, který zabezpečení instaluje, a dívám se na zákony očima praxe. Pokud si nejste jistí, zda pod regulaci spadáte, ověřte si to u svého právníka nebo přímo u gestora vašeho odvětví.

Dva nové zákony, které se snadno pletou

Nejdřív rychlé rozdělení, protože se to v diskusích běžně míchá dohromady:

• Zákon č. 266/2025 Sb. o odolnosti subjektů kritické infrastruktury je účinný od 19. srpna 2025. Provádí evropskou směrnici CER a řeší celkovou odolnost: fyzickou ochranu objektů, spolehlivost personálu, dodavatele, plány pro krizové situace. Hlavním úřadem je Ministerstvo vnitra.
• Zákon č. 264/2025 Sb. o kybernetické bezpečnosti je účinný od 1. listopadu 2025. Provádí směrnici NIS2 a dohlíží na něj NÚKIB. Primárně jde o kyberbezpečnost, ale mezi povinnými technickými opatřeními je výslovně uvedena i fyzická bezpečnost, tedy ochrana prostor, kde běží vaše systémy.

Zjednodušeně: první zákon chrání službu jako celek včetně budov a lidí, druhý chrání data a systémy. Velká část organizací spadne pod oba najednou a povinnosti se doplňují.

Koho se to týká

Zákon o kritické infrastruktuře míří na takzvané poskytovatele základních služeb. Jde o odvětví, bez kterých se stát neobejde: energetika, doprava, vodárenství, zdravotnictví, digitální infrastruktura, bankovnictví a další. Konkrétní hranice, od kdy je firma dost významná, stanovuje prováděcí nařízení vlády s kritérii významnosti. Netýká se to tedy každé malé firmy v oboru, ale těch, jejichž výpadek by měl vážné dopady.

Nový zákon o kybernetické bezpečnosti má záběr mnohem širší. Podle odhadů Hospodářské komory dopadá na více než 6 000 organizací v Česku, od výrobních podniků přes nemocnice a vodárny až po větší obce. Funguje na principu samoidentifikace: každá organizace si sama musí ověřit, zda naplňuje kritéria, a pokud ano, registrovat se přes portál NÚKIB do 60 dnů.

A ještě jedna skupina, na kterou se zapomíná: kritičtí dodavatelé. Subjekt kritické infrastruktury musí své klíčové dodavatele označit, nahlásit a smluvně je zavázat k bezpečnostním opatřením. Takže i když sami na žádném seznamu nejste, může se stát, že požadavky na zabezpečení k vám dorazí od vašeho odběratele. Vídám to už teď: firmy chtějí po dodavatelích doložit, jak mají zabezpečené provozy a sklady.

Lhůty, které právě běží

U kritické infrastruktury je harmonogram daný přechodnými ustanoveními zákona a sdělením Ministerstva vnitra:

• Do 1. března 2026 museli poskytovatelé základních služeb, kteří je poskytovali už k 30. listopadu 2025, poprvé předat vybrané informace podle § 9 zákona. Předávají se gestorovi odvětví (příslušnému ministerstvu, ústřednímu úřadu nebo ČNB) a současně Ministerstvu vnitra.
• Do 17. července 2026 Ministerstvo vnitra poprvé rozhodlo o zařazení na neveřejný seznam subjektů kritické infrastruktury. Tahle lhůta uplynula před pár dny. Pokud jste tedy informace předávali, rozhodnutí o zařazení je čerstvá realita.
• Po zařazení na seznam běží další lhůty: do 9 měsíců zpracovat posouzení rizik (hrozby, zranitelnosti, dopady na službu) a do 10 měsíců zavést plán odolnosti s technickými, organizačními a personálními opatřeními. Plán se aktualizuje minimálně jednou za 4 roky.
• K tomu přibývá povinnost jmenovat manažera kritické infrastruktury, prověřovat spolehlivost vybraných pracovníků a hlásit incidenty přes Portál kritické infrastruktury.

U zákona o kybernetické bezpečnosti platí: registrace do 60 dnů od chvíle, kdy naplníte kritéria regulované služby, a následně zavedení bezpečnostních opatření podle toho, zda spadáte do vyššího nebo nižšího režimu povinností.

Proč z toho vychází kamery, kontrola vstupu a detekce

Ani jeden z těch zákonů nenapíše doslova "kupte si kamery". Předepisují výsledek: prokazatelnou odolnost a zabezpečení. Jenže když si projdete, co má plán odolnosti a bezpečnostní opatření obsahovat, u fyzické části se bez konkrétní techniky neobejdete:

• Kamerový systém se záznamem. Posouzení rizik po vás chce vědět, co se u vás děje a co se stalo. Při hlášení incidentu je záznam z kamer často jediný důkaz, kdy a kudy se někdo do objektu dostal. Bez záznamu incident ani pořádně nepopíšete, natož abyste doložili, jak jste na něj reagovali.
• Kontrola vstupu (EKV). Zákon vyžaduje prověřování osob s přístupem ke kritickým prvkům. To dává smysl jen tehdy, když vstupy skutečně řídíte: čipy nebo karty místo univerzálního klíče, evidence kdo, kam a kdy vstoupil, okamžité odebrání přístupu, když člověk odejde nebo prověrkou neprojde.
• Detekce vniknutí (PZTS, dříve EZS). Opatření k zajištění odolnosti znamená mimo jiné schopnost na narušení vůbec přijít, ideálně v reálném čase, s napojením na pult centralizované ochrany nebo aspoň na odpovědné osoby.
• Požární signalizace (EPS). Odolnost služby neohrožuje jen zloděj. Požár technologické místnosti vyřadí službu spolehlivěji než hacker, a proto patří detekce požáru do stejného balíku opatření.
• Perimetr a mechanika. Oplocení, osvětlení, bezpečnostní dveře a zámky u technologií. Zní to obyčejně, ale v posouzení rizik je to první vrstva, na kterou se hodnotitel ptá.

U zákona o kybernetické bezpečnosti je to podobné. Fyzická bezpečnost je jedním z povinných technických opatření vedle segmentace sítě, vícefaktorového ověření nebo logování. Serverovna, rozvaděče, záznamové zařízení kamer, to všechno jsou aktiva, ke kterým máte řídit a evidovat fyzický přístup.

Nezapomeňte na GDPR

Kamerový systém ve firmě má i druhou stranu: zpracováváte osobní údaje. To znamená rozmyslet umístění kamer (ne do šaten a odpočinkových zón), nastavit rozumnou dobu uchování záznamu, označit prostor informačními cedulemi a vést dokumentaci zpracování. Není to nic dramatického, ale musí to být od začátku součást návrhu systému, ne dodatečná záplata. I s tímhle při návrhu instalace počítám.

Co hrozí, když se to neřeší

U zákona o kybernetické bezpečnosti jsou sankce vyčíslené jasně: za závažná porušení až 250 milionů korun nebo 2 procenta celosvětového obratu ve vyšším režimu, v nižším režimu až 175 milionů nebo 1,4 procenta obratu. U kritické infrastruktury přibývá vedle pokut ještě jedno riziko, o kterém se mluví méně: rozhodnutí o zařazení na seznam je správní proces a stát si plnění povinností bude kontrolovat. A úplně prakticky, pojišťovny a odběratelé se na doložitelné zabezpečení ptají čím dál častěji i bez zákona.

Co doporučuji udělat teď

1. Ověřte si, kam patříte. Jestli jste poskytovatel základní služby, subjekt na novém seznamu, regulovaná organizace podle NIS2, nebo "jen" dodavatel někoho z nich. Od toho se odvíjí všechno ostatní.
2. Udělejte si inventuru fyzického zabezpečení. Kde jsou kritické technologie, kdo k nim má reálně přístup, co hlídá kamera, co detekuje alarm a kam se hlásí poplach. U většiny firem tahle inventura odhalí univerzální klíče, mrtvé úhly kamer a serverovnu, kterou hlídá jen cedulka na dveřích.
3. Slaďte techniku s dokumentací. Posouzení rizik a plán odolnosti nemají být slohové cvičení. Nejlíp se píšou tehdy, když popisují skutečně nainstalovaná opatření, u kterých doložíte revize a funkční zkoušky.
4. Nečekejte na kontrolu. Lhůty na posouzení rizik (9 měsíců) a plán odolnosti (10 měsíců) od zařazení na seznam vypadají dlouze, ale projekt, instalace a zkušební provoz zabezpečení u větších objektů zaberou měsíce.

Časté otázky ke kritické infrastruktuře a zabezpečení

Kdo se musí registrovat podle zákona o kritické infrastruktuře?

Poskytovatelé základních služeb v odvětvích jako energetika, doprava, vodárenství, zdravotnictví, digitální infrastruktura nebo bankovnictví, pokud splní kritéria významnosti z prováděcího nařízení vlády. Informace se předávají gestorovi odvětví a Ministerstvu vnitra, které rozhoduje o zařazení na neveřejný seznam subjektů kritické infrastruktury.

Musí mít subjekt kritické infrastruktury kamerový systém?

Zákon č. 266/2025 Sb. konkrétní techniku nepředepisuje, vyžaduje ale posouzení rizik a plán odolnosti s technickými opatřeními. V praxi se fyzická ochrana objektu bez kamerového systému se záznamem, kontroly vstupu a detekce vniknutí prokázat nedá, záznam z kamer je navíc klíčový při povinném hlášení incidentů.

Jaké lhůty běží po zařazení na seznam kritické infrastruktury?

Do 9 měsíců od zařazení musí subjekt zpracovat posouzení rizik a do 10 měsíců zavést plán odolnosti. K tomu patří jmenování manažera kritické infrastruktury, prověřování vybraných pracovníků a hlášení incidentů přes Portál kritické infrastruktury.

Týká se něco z toho i menších firem?

Ano, dvěma cestami. Nový zákon o kybernetické bezpečnosti dopadá na více než 6 000 organizací včetně středních firem. A subjekty kritické infrastruktury musí smluvně zavazovat své kritické dodavatele, takže požadavky na doložitelné zabezpečení provozu dorazí i k firmám, které na žádném seznamu nejsou.