Česko dokončilo znění nového zákona o kritické infrastruktuře, který výrazně rozšiřuje okruh firem, jež stát považuje za klíčové pro chod společnosti. Tento zákon nabývá účinnosti 1.8.2026 a nově se týká například dopravních podniků, železniční dopravy, nemocnic, potravinářů nebo finančního sektoru. Dotčené firmy čeká jednorázová investice v řádu milionů korun a následně minimálně statisíce korun ročně na údržbu a provoz. Celkově tak podniky proinvestují miliardy korun. Podle poradenské skupiny Moore Czech Republic se zvýšené náklady mohou promítnout do koncových cen pro spotřebitele. Každý subjekt navíc bude muset projít cvičením podle scénáře, který zadá ministerstvo vnitra a jehož průběh budou jeho úředníci osobně sledovat.
Nově bude v kritické infrastruktuře MHD či velcí zemědělci
Nová legislativa je transpozicí evropské směrnice. Některé dotčené organizace se o chystaných povinnostech dozvěděly již dříve v průběhu legislativního procesu, teprve nyní však vláda schválila finální znění zákona. Oproti dnešnímu stavu se okruh chráněných subjektů výrazně rozšiřuje. Nově přibydou oblasti jako potravinářství a dodávky potravin, zdravotnictví, doprava včetně městské hromadné a železniční dopravy, komunikační systémy i finanční trh.
„Mezi dotčené tak mohou patřit i subjekty, u nichž by to široká veřejnost na první pohled nečekala. Například zemědělci s velkochovem nad 45 tisíc kusů prasat či větší výrobci mléka,“ vysvětluje Radek Dvořáček, senior manager Moore Technology CZ.
Nejde jen o kyberbezpečnost
Kybernetická bezpečnost je jen jednou částí požadavků. Zákon míří i na fyzickou bezpečnost, jako jsou kamerové systémy a zabezpečení objektů. Dále se to týká vnitropodnikových procesů včetně personálního zajištění nepřetržitého provozu.
„Firmy musí zavést krizové řízení, jmenovat krizového manažera, průběžně vyhodnocovat rizika a mít připravené postupy reakce na incidenty i plány kontinuity služby pro případ blackoutu nebo jiné krize. Opatření přitom nejsou plošná ani univerzální. Liší se podle sektoru i podnik od podniku, podle toho, jak má daná firma zavedené procesy i jak má rozmístěné své provozy,“ popisuje Radek Dvořáček.
Milionové investice a jen osm měsíců na přípravu
Splnění nových povinností nebude levné. U většího subjektu, jako je dopravní podnik, se za zavedení opatření očekávají investice v řádu vyšších jednotek milionů korun. A následně minimálně statisíce korun ročně na provoz a údržbu. Protože do nových povinností bude muset investovat stovky firem, jde v součtu o řádově miliardy korun, které poputují do zabezpečení.
„Vzhledem k objemu investic se část nákladů může promítnout do koncových cen pro spotřebitele, ať už jde o jízdné, potraviny nebo další služby,“ upřesňuje Radek Dvořáček.
Některé z největších dotčených organizací přitom už s předstihem obdržely od ministerstva vnitra oznámení o svém zařazení. „Ostatní mají povinnost se samoidentifikovat. Ignorování této povinnosti se přitom dle legislativy považuje za přestupek, za který hrozí pokuta až 25 000 000 Kč,“ upozorňuje Radek Dvořáček.
Cvičení pod dohledem úředníků ministerstva vnitra
Jedním ze způsobů ověření připravenosti je například vykonání cvičení dle krizového scénáře, jehož zadání určí ministerstvo. Nestačí mít krizové postupy jen na papíře. Organizace je budou muset názorně předvést za provozu, a to za účasti úředníků ministerstva, kteří se na průběh přijdou podívat. Cvičení proběhne maximálně jednou za rok a firma na ně dostane upozornění tři měsíce dopředu.
„Daný subjekt bude muset vykonat cvičení, které mu definuje ministerstvo. Pošlou mu scénář ve smyslu, že se přijdou podívat, jak to zvládne. Firmy tedy nebudou muset mít postupy jen na papíře, ale budou je muset jasně demonstrovat v provozu,“ uzavírá Radek Dvořáček, senior manager Moore Technology CZ.
Čeština 
English (UK)