Vyhláška o plánu odolnosti, posouzení rizik, opatřeních k zajištění odolnosti subjektů kritické infrastruktury a o hlášení incidentu

§ 1

účinné od 1. 8. 2026Předmět úpravy

účinné od 1. 8. 2026Tato vyhláška upravuje

1. účinné od 1. 8. 2026a) náležitosti a způsob zpracování plánu odolnosti a posouzení rizik subjektu kritické infrastruktury,
2. účinné od 1. 8. 2026b) obsah technických, bezpečnostních a organizačních opatření k zajištění odolnosti subjektu kritické infrastruktury (dále jen „opatření k zajištění odolnosti“) a
3. účinné od 1. 8. 2026c) parametry incidentu, podrobnosti rozsahu hlášených informací a způsob předávání informací o incidentu.

§ 2

účinné od 1. 8. 2026Vymezení pojmů

účinné od 1. 8. 2026Pro účely této vyhlášky se rozumí

1. účinné od 1. 8. 2026a) technickými opatřeními soubor technických, technologických, stavebních, informačních nebo provozních prostředků, systémů a řešení, včetně jejich architektury a konfigurace, které subjekt kritické infrastruktury zavádí při zajišťování jeho odolnosti a při řešení incidentů zejména za účelem prevence, predikce, detekce a reakce na incidenty a za účelem jejich zvládnutí nebo omezení jejich dopadů,
2. účinné od 1. 8. 2026b) organizačními opatřeními soubor pravidel, procesů, postupů, odpovědností a způsobů řízení, včetně plánovacích, koordinačních, kontrolních a rozhodovacích mechanismů, které upravují činnost subjektu kritické infrastruktury při zajišťování jeho odolnosti a při řešení incidentů zejména za účelem prevence, predikce, detekce a reakce na incidenty a za účelem jejich zvládnutí nebo omezení jejich dopadů,
3. účinné od 1. 8. 2026c) bezpečnostními opatřeními opatření personálního, režimového, kontrolního nebo ochranného charakteru, která jsou zaměřena na ochranu osob, majetku, informací, procesů nebo činností subjektu kritické infrastruktury před úmyslným protiprávním jednáním, při zajišťování jeho odolnosti a při řešení incidentů zejména za účelem prevence, predikce, detekce a reakce na incidenty a za účelem jejich zvládnutí nebo omezení jejich dopadů, pokud nejde o technická nebo organizační opatření,
4. účinné od 1. 8. 2026d) fyzickou bezpečností soubor opatření fyzické ochrany zaměřený zejména na ochranu majetku, osob a kritické infrastruktury před neoprávněným přístupem, poškozením, odcizením, neoprávněným zásahem nebo zničením,
5. účinné od 1. 8. 2026e) objektem budova nebo areál budov, stavba, technologické zařízení, komunikace, infrastruktura, pozemek nebo vnitřní prostor v budově,
6. účinné od 1. 8. 2026f) bezpečnostním perimetrem souvisle vymezená oblast v okolí kritické infrastruktury stanovující chráněnou zónu, která obepíná objekt, ve kterém se nachází kritická infrastruktura, a jeho bezprostředně přiléhající pozemky a prostor nad tímto objektem, v rozsahu nezbytném k zajištění jeho ochrany, a
7. účinné od 1. 8. 2026g) nežádoucí událostí událost, která může narušit poskytování základní služby nebo jinou činnost subjektu kritické infrastruktury související s poskytováním základní služby a po jejímž vyhodnocení může být klasifikována jako incident.

§ 3

účinné od 1. 8. 2026Posouzení rizik

účinné od 1. 8. 2026(1) Subjekt kritické infrastruktury zpracuje posouzení rizik subjektu kritické infrastruktury v rámci dokumentace posouzení rizik. Zpracování dokumentace posouzení rizik v souladu s ČSN ISO 31000 se považuje za zpracování v souladu s požadavky této vyhlášky.

účinné od 1. 8. 2026(2) Dokumentace posouzení rizik obsahuje

1. účinné od 1. 8. 2026a) základní informace v rozsahu
   1. účinné od 1. 8. 20261. identifikace rizika,
   2. účinné od 1. 8. 20262. analýzy rizika,
   3. účinné od 1. 8. 20263. hodnocení rizika a
   4. účinné od 1. 8. 20264. popisu postupu při ošetření rizika,

1. účinné od 1. 8. 2026b) popis techniky posuzování rizik a její aplikace a
2. účinné od 1. 8. 2026c) posouzení rizik zohledňující skutečnosti podle písmene a) a podle odstavce 1.

účinné od 1. 8. 2026(3) Subjekt kritické infrastruktury použije techniku posuzování rizik podle přílohy B ČSN EN IEC 31010 nebo jinou techniku umožňující dosažení srovnatelné míry systematičnosti a průkaznosti výsledků jako užití techniky podle této normy.

účinné od 1. 8. 2026(4) Při identifikaci rizik vychází subjekt kritické infrastruktury z posouzení rizik České republiky v návaznosti na nepřijatelná rizika v jednotlivých odvětvích a pododvětvích a z hrozeb specifických pro jím poskytovanou základní službu.

účinné od 1. 8. 2026(5) Analýza rizik obsahuje rozbor povahy rizika a jeho vlastností. V rámci analýzy rizik se posuzuje

1. účinné od 1. 8. 2026a) povaha a typ nejistoty související s rizikem,
2. účinné od 1. 8. 2026b) zdroj možného rizika,
3. účinné od 1. 8. 2026c) předpokládaný následek související s rizikem,
4. účinné od 1. 8. 2026d) pravděpodobnost výskytu rizika v souvislosti s incidentem a
5. účinné od 1. 8. 2026e) postupy a opatření pro zvládání rizik.

účinné od 1. 8. 2026(6) Při analýze rizik stanoví subjekt kritické infrastruktury

1. účinné od 1. 8. 2026a) pravděpodobnost vzniku hrozby podle tabulky č. 1 v příloze č. 1 k této vyhlášce a
2. účinné od 1. 8. 2026b) dopady hrozby na jím poskytovanou základní službu podle tabulky č. 2 v příloze č. 1 k této vyhlášce.

účinné od 1. 8. 2026(7) Součinem hodnot pravděpodobnosti a dopadu hrozby podle odstavce 6 subjekt kritické infrastruktury vypočítá úroveň rizika.

účinné od 1. 8. 2026(8) Hodnocení rizik obsahuje porovnání výsledků analýzy rizik s předem stanovenými kritérii přijatelnosti rizik. V rámci hodnocení rizik subjekt kritické infrastruktury s ohledem na vypočítaná rizika stanoví jejich úroveň podle tabulky č. 3 v příloze č. 1 k této vyhlášce. Na základě stanovení úrovně rizik a s ohledem na zavedená opatření stanoví subjekt kritické infrastruktury přijatelná, podmínečně přijatelná a nepřijatelná rizika.

účinné od 1. 8. 2026(9) V rámci popisu postupu při ošetření rizika subjekt kritické infrastruktury popíše postup výběru a realizace opatření k řízení nepřijatelného rizika a podmínečně přijatelného rizika.

účinné od 1. 8. 2026(10) Subjekt kritické infrastruktury při zpracování posouzení rizik subjektu kritické infrastruktury vyhodnotí veškerá rizika související s činností člověka, přírodními vlivy, technickými selháními a haváriemi, která by mohla vést k incidentu. Dále vyhodnotí rizika týkající se jeho závislosti na jiných poskytovaných základních službách, hrozby přeshraniční povahy, mimořádné události v oblasti veřejného zdraví, hybridních nebo jiných podobných hrozeb, ozbrojeného konvenčního konfliktu a teroristických útoků.

účinné od 1. 8. 2026(11) Při analýze a hodnocení rizik lze využít jiného postupu než podle přílohy č. 1 k této vyhlášce, pokud se tímto postupem dosáhne alespoň srovnatelného výsledku, kterého by bylo dosaženo postupem podle přílohy č. 1 k této vyhlášce.

§ 4

účinné od 1. 8. 2026(1) Úvodní strana plánu odolnosti obsahuje

1. účinné od 1. 8. 2026a) nadpis „Plán odolnosti“,
2. účinné od 1. 8. 2026b) název subjektu kritické infrastruktury,
3. účinné od 1. 8. 2026c) datum zpracování plánu odolnosti,
4. účinné od 1. 8. 2026d) jméno a podpis zpracovatele,
5. účinné od 1. 8. 2026e) datum schválení a
6. účinné od 1. 8. 2026f) jméno a podpis schvalovatele.

účinné od 1. 8. 2026(2) Plán odolnosti musí být zpracován v elektronické a listinné podobě v českém jazyce.

účinné od 1. 8. 2026(3) Plán odolnosti se ukládá takovým způsobem, aby byl dostupný zaměstnancům v rozsahu odpovídajícím jejich pracovnímu zařazení a povinnostem k zabezpečení základní služby.

§ 5

účinné od 1. 8. 2026(1) Plán odolnosti se skládá z informační, operativní a pomocné části.

účinné od 1. 8. 2026(2) Informační část obsahuje

1. účinné od 1. 8. 2026a) základní informace o subjektu kritické infrastruktury a popis případné vazby na další subjekty kritické infrastruktury v rámci koncernu,
2. účinné od 1. 8. 2026b) popis poskytovaných základních služeb a informaci, zda je pro danou základní službu subjekt kritické infrastruktury subjektem evropské kritické infrastruktury,
3. účinné od 1. 8. 2026c) popis postupu, který byl využit pro identifikaci kritické infrastruktury,
4. účinné od 1. 8. 2026d) přehled kritické infrastruktury subjektu kritické infrastruktury,
5. účinné od 1. 8. 2026e) popis postupu pro určení vazeb mezi funkčními celky kritické infrastruktury subjektu kritické infrastruktury, při které subjekt kritické infrastruktury posoudí existenci přímého nebo nepřímého vlivu vazby, možnost nahrazení vazby a časovou charakteristiku vazby,
6. účinné od 1. 8. 2026f) přehled vazeb mezi funkčními celky kritické infrastruktury subjektu kritické infrastruktury,
7. účinné od 1. 8. 2026g) seznam kritických pracovníků,
8. účinné od 1. 8. 2026h) popis zdrojů nezbytných k zajištění poskytování základní služby a informací o způsobu zabezpečení nezbytných věcných prostředků a
9. účinné od 1. 8. 2026i) přehled kritických dodavatelů.

účinné od 1. 8. 2026(3) Operativní část obsahuje

1. účinné od 1. 8. 2026a) přehled nepřijatelných rizik a podmínečně přijatelných rizik,
2. účinné od 1. 8. 2026b) přehled závislosti jednotlivých odvětví, pododvětví a základních služeb na základní službě poskytované subjektem kritické infrastruktury,
3. účinné od 1. 8. 2026c) přehled opatření k zajištění odolnosti v souladu s částí třetí v rozsahu
   1. účinné od 1. 8. 20261. popisu cíle a přínosu opatření,
   2. účinné od 1. 8. 20262. předpokládaných lidských, finančních a technických zdrojů pro zavedení opatření,
   3. účinné od 1. 8. 20263. termínu a způsobu zavedení opatření a
   4. účinné od 1. 8. 20264. popisu vazeb mezi riziky a opatřeními a

1. účinné od 1. 8. 2026d) plán komunikace a přehled spojení se subjekty podílejícími se na zajišťování základní služby a na řešení incidentů.

účinné od 1. 8. 2026(4) Pomocná část obsahuje

1. účinné od 1. 8. 2026a) zásady manipulace s plánem odolnosti,
2. účinné od 1. 8. 2026b) přehled právních předpisů a technických norem využitých při přijímání opatření k zajištění odolnosti subjektu kritické infrastruktury,
3. účinné od 1. 8. 2026c) odkaz na dokumentaci posouzení rizik,
4. účinné od 1. 8. 2026d) přehled geografických podkladů a
5. účinné od 1. 8. 2026e) seznam dokumentů souvisejících s přijímáním opatření k zajištění odolnosti subjektu kritické infrastruktury.

§ 6

účinné od 1. 8. 2026Řízení rizik

účinné od 1. 8. 2026(1) Subjekt kritické infrastruktury za účelem realizace ošetření rizik na základě výsledků provedeného hodnocení rizik zavádí systém řízení rizik a provádí opatření pro zvládání nepřijatelných rizik a podmínečně přijatelných rizik, a to při zohlednění postupů a zásad daných ČSN ISO 31000 nebo jiných postupů, které povedou k dosažení účelu odpovídajícího postupům a zásadám podle této normy.

účinné od 1. 8. 2026(2) Subjekt kritické infrastruktury může v rámci řízení rizik na základě výsledků posouzení rizik subjektu kritické infrastruktury s ohledem na odolnost vůči identifikovaným rizikům stanovit rozsah jednotlivých opatření k zajištění odolnosti, popřípadě za jakých podmínek je možno vyloučit jejich přijetí.

§ 7

účinné od 1. 8. 2026Zajištění kontinuity činností

účinné od 1. 8. 2026(1) Subjekt kritické infrastruktury při přijímání opatření k zajišťování kontinuity činností vychází z postupů a zásad stanovených v ČSN EN ISO 22301.

účinné od 1. 8. 2026(2) Subjekt kritické infrastruktury pro zajištění kontinuity činností v rámci opatření zajišťujícího jeho odolnost vypracuje metodiku, která obsahuje postup pro provedení analýzy dopadů, a zpracuje plán zajištění kontinuity činností, v rámci kterého

1. účinné od 1. 8. 2026a) provádí analýzu dopadů, která obsahuje vyhodnocení možných dopadů na poskytování základní služby,
2. účinné od 1. 8. 2026b) zohlední výsledky posouzení rizik subjektu kritické infrastruktury,
3. účinné od 1. 8. 2026c) stanoví na základě výstupů analýzy dopadů cíle zajištění kontinuity činností formou určení
   1. účinné od 1. 8. 20261. minimální úrovně požadavků, která je nezbytná pro poskytování základní služby, a
   2. účinné od 1. 8. 20262. doby, během které je možné po incidentu obnovit minimální úroveň poskytované základní služby,

1. účinné od 1. 8. 2026d) stanoví postup pro naplnění cílů podle písmene c).

účinné od 1. 8. 2026(3) Subjekt kritické infrastruktury plán zajištění kontinuity činností minimálně jednou za 4 roky testuje a v návaznosti na zjištěné poznatky aktualizuje. Testování plánu zajištění kontinuity činností probíhá zejména formou penetračních nebo zátěžových testů.

§ 8

účinné od 1. 8. 2026Příprava a odezva na incidenty

účinné od 1. 8. 2026(1) Subjekt kritické infrastruktury v rámci opatření k přípravě a odezvě na incidenty

1. účinné od 1. 8. 2026a) zpracuje vnitřní nastavení procesů a pravidel, v rámci kterého stanoví
   1. účinné od 1. 8. 20261. nástroje a prostředky pro identifikaci, zaznamenání a vyhodnocení incidentu,
   2. účinné od 1. 8. 20262. postup pro identifikaci, zaznamenání a vyhodnocení incidentu,
   3. účinné od 1. 8. 20263. způsob komunikace při koordinaci řešení incidentu a jeho zvládání, včetně k tomu určených prostředků, a
   4. účinné od 1. 8. 20264. odpovědnost pracovníků za identifikaci, zaznamenání a vyhodnocení incidentu a za koordinaci řešení incidentu a jeho zvládání,

1. účinné od 1. 8. 2026b) určí nástroje a postupy pro sběr, získání a uchování informací potřebných pro zpracování hlášení o incidentu a
2. účinné od 1. 8. 2026c) zpracuje postup pro opatření k zajištění odolnosti pro koordinaci řešení incidentu a jeho zvládání.

účinné od 1. 8. 2026(2) Subjekt kritické infrastruktury v rámci opatření k odezvě na incidenty dále

1. účinné od 1. 8. 2026a) prošetří příčiny incidentu,
2. účinné od 1. 8. 2026b) vede záznamy o incidentech a o jejich zvládání a
3. účinné od 1. 8. 2026c) vyhodnotí účinnost řešení incidentu a stanoví, popřípadě aktualizuje stávající nutná opatření k zajištění odolnosti pro zamezení opakování incidentu.

účinné od 1. 8. 2026(3) Záznam o incidentu a o jeho zvládání obsahuje

1. účinné od 1. 8. 2026a) datum a čas vzniku incidentu, jsou-li tyto údaje známy,
2. účinné od 1. 8. 2026b) datum a čas identifikace incidentu,
3. účinné od 1. 8. 2026c) dobu trvání incidentu,
4. účinné od 1. 8. 2026d) povahu incidentu,
5. účinné od 1. 8. 2026e) příčinu incidentu, je-li známa,
6. účinné od 1. 8. 2026f) důsledky incidentu,
7. účinné od 1. 8. 2026g) informaci o případném přeshraničním dopadu incidentu,
8. účinné od 1. 8. 2026h) odhadovaný počet uživatelů, kteří byli incidentem ovlivněni, a jejich podíl v rámci dané základní služby,
9. účinné od 1. 8. 2026i) dobu, po kterou bylo narušeno poskytování základní služby,
10. účinné od 1. 8. 2026j) způsob, jakým byl incident zvládnut,
11. účinné od 1. 8. 2026k) návrh pro snížení rizika opakovaného vzniku incidentu a
12. účinné od 1. 8. 2026l) výčet ostatních základních služeb, jejichž poskytování bylo vlivem incidentu narušeno.

§ 9

účinné od 1. 8. 2026Fyzická bezpečnost

účinné od 1. 8. 2026(1) Subjekt kritické infrastruktury v rámci opatření souvisejícího s fyzickou bezpečností předchází narušení kritické infrastruktury, neoprávněným zásahům do ní a narušení poskytování základní služby. Za tímto účelem, je-li to technicky možné nebo účelné,

1. účinné od 1. 8. 2026a) stanoví bezpečnostní perimetr,
2. účinné od 1. 8. 2026b) může s ohledem na umístění kritické infrastruktury rozdělit bezpečnostní perimetr do jednotlivých zón s odlišnou úrovní fyzické ochrany,
3. účinné od 1. 8. 2026c) stanoví u každé zóny podle písmene b) s ohledem na její úroveň fyzické ochrany opatření a
4. účinné od 1. 8. 2026d) stanoví systém fyzické ochrany
   1. účinné od 1. 8. 20261. k zamezení neoprávněnému vstupu,
   2. účinné od 1. 8. 20262. k zamezení poškození, odcizení nebo zneužití kritické infrastruktury, neoprávněného zásahu do kritické infrastruktury a narušení poskytování základní služby,
   3. účinné od 1. 8. 20263. k ochraně budov a jiných určených prostor a
   4. účinné od 1. 8. 20264. k evidenci vstupů a přístupů do bezpečnostního perimetru.

účinné od 1. 8. 2026(2) Subjekt kritické infrastruktury v souladu s výsledky posouzení rizik subjektu kritické infrastruktury vyhodnotí potřebu zavedení opatření.

účinné od 1. 8. 2026(3) Mezi prostředky technických opatření patří, je-li to technicky možné nebo účelné, zejména

1. účinné od 1. 8. 2026a) mechanické zábranné prostředky,
2. účinné od 1. 8. 2026b) poplachový zabezpečovací a tísňový systém,
3. účinné od 1. 8. 2026c) dohledové videosystémy,
4. účinné od 1. 8. 2026d) systémy kontroly a evidence vstupu,
5. účinné od 1. 8. 2026e) systémy přivolání pomoci,
6. účinné od 1. 8. 2026f) poplachové přenosové systémy a zařízení,
7. účinné od 1. 8. 2026g) kombinované a integrované systémy,
8. účinné od 1. 8. 2026h) přístroje pro použití ve dveřních vstupních audiosystémech a videosystémech,
9. účinné od 1. 8. 2026i) dohledová a poplachová přijímací centra,
10. účinné od 1. 8. 2026j) nouzové zvukové systémy a hlasová výstražná zařízení,
11. účinné od 1. 8. 2026k) bezpečnostní bezpilotní systémy k monitoringu chráněných prostor, detekční systémy ke zjištění přítomností cizích bezpilotních systémů, nebo
12. účinné od 1. 8. 2026l) detekční technologie ke zjištění přítomnosti cizích osob nebo zařízení.

účinné od 1. 8. 2026(4) U souboru obdobných objektů může subjekt kritické infrastruktury stanovit opatření typově podle kategorií objektů a rizikové úrovně, pokud je zajištěna přiměřenost a prokazatelnost opatření podle odstavce 1.

§ 10

účinné od 1. 8. 2026Řízení bezpečnosti pracovníků

účinné od 1. 8. 2026(1) Subjekt kritické infrastruktury v rámci opatření k zajištění své odolnosti ve vztahu k pracovníkům

1. účinné od 1. 8. 2026a) identifikuje a určuje své kritické pracovníky,
2. účinné od 1. 8. 2026b) zpracovává opatření pro snížení rizik spojených s kritickými pracovníky na základě výsledků posouzení rizik subjektu kritické infrastruktury a
3. účinné od 1. 8. 2026c) informuje v nezbytně nutném rozsahu kritického pracovníka o přijatých opatřeních podle písmene b).

účinné od 1. 8. 2026(2) Subjekt kritické infrastruktury v rámci opatření podle odstavce 1

1. účinné od 1. 8. 2026a) vytvoří postup pro identifikaci a určování kritických pracovníků v rozsahu stanovení
   1. účinné od 1. 8. 20261. pozic, popřípadě kategorií pracovníků s ohledem na vykonávané funkce nezbytné pro poskytování základní služby,
   2. účinné od 1. 8. 20262. přístupových práv k informacím citlivé povahy, ke kritické infrastruktuře, popřípadě do jednotlivých zón oblasti vymezené bezpečnostním perimetrem, a
   3. účinné od 1. 8. 20263. požadavku na odbornou přípravu a kvalifikaci,

1. účinné od 1. 8. 2026b) vytvoří postup pro ověřování spolehlivosti pracovníků stanovením
   1. účinné od 1. 8. 20261. pozic, popřípadě kategorií pracovníků, u kterých je ověřována spolehlivost,
   2. účinné od 1. 8. 20262. způsobu a četnosti kontroly dokumentů k prokázání totožnosti a bezúhonnosti a
   3. účinné od 1. 8. 20263. osoby provádějící kontrolu podle bodu 2,

1. účinné od 1. 8. 2026c) stanoví činnosti manažera kritické infrastruktury v rámci subjektu kritické infrastruktury a
2. účinné od 1. 8. 2026d) zpracuje plán rozvoje bezpečnostního povědomí, který obsahuje
   1. účinné od 1. 8. 20261. způsob poučení jím určeného vrcholného vedení o jeho povinnostech v systému řízení rizik a řízení kontinuity činností a
   2. účinné od 1. 8. 20262. způsob poučení pracovníků a kritických pracovníků o jejich povinnostech a školení pracovníků v oblasti ochrany kritické infrastruktury subjektu kritické infrastruktury.

účinné od 1. 8. 2026(3) Subjekt kritické infrastruktury dále v rámci opatření souvisejících s řízením bezpečnosti pracovníků

1. účinné od 1. 8. 2026a) určí osoby odpovědné za realizaci jednotlivých činností, které jsou v plánu rozvoje bezpečnostního povědomí uvedeny, a
2. účinné od 1. 8. 2026b) zpracuje plán kontrolní činnosti pro dodržování stanovených opatření k zajištění odolnosti ze strany pracovníků a kritických pracovníků.

účinné od 1. 8. 2026(4) Subjekt kritické infrastruktury vede o poučení a školení podle odstavce 2 písm. d) přehledy obsahující datum, předmět poučení a školení a seznam osob, které poučení a školení absolvovaly.

§ 11

účinné od 1. 8. 2026Řízení bezpečnosti dodavatelského řetězce

účinné od 1. 8. 2026(1) Subjekt kritické infrastruktury v rámci opatření k zajištění své odolnosti ve vztahu k dodavateli

1. účinné od 1. 8. 2026a) zpracovává opatření pro snížení rizik spojených s kritickými dodavateli nebo dodavatelskými řetězci na základě výsledků posouzení rizik subjektu kritické infrastruktury,
2. účinné od 1. 8. 2026b) informuje v nezbytně nutném rozsahu dodavatele nebo kritického dodavatele o přijatých opatřeních souvisejících s dodavatelem, dodavatelským řetězcem nebo kritickým dodavatelem a
3. účinné od 1. 8. 2026c) eviduje své kritické dodavatele.

účinné od 1. 8. 2026(2) Informace o přijatých opatřeních souvisejících s kritickým dodavatelem obsahuje údaj o

1. účinné od 1. 8. 2026a) zařazení subjektu na seznam subjektů kritické infrastruktury,
2. účinné od 1. 8. 2026b) poskytované základní službě,
3. účinné od 1. 8. 2026c) důvodech označení dodavatele za kritického dodavatele a
4. účinné od 1. 8. 2026d) způsobu zajištění mlčenlivosti kritického dodavatele o informacích uvedených v písmenech a) až c).

§ 12

účinné od 1. 8. 2026Parametry incidentu

účinné od 1. 8. 2026(1) Subjekt kritické infrastruktury za účelem identifikace incidentu vyhodnotí rizika pro jeho základní službu v rámci posouzení rizik a identifikuje dopady nepřijatelných rizik. Na základě vyhodnocení rizik předběžně stanoví podle § 13 a příloh č. 2 a 3 k této vyhlášce možný rozsah dopadů významného narušení poskytování základní služby.

účinné od 1. 8. 2026(2) V případě vzniku nežádoucí události subjekt kritické infrastruktury posoudí za účelem identifikace incidentu parametry této události v rámci jejích dopadů podle přílohy č. 3 k této vyhlášce. Při posouzení nežádoucí události vychází z možného rozsahu dopadů podle odstavce 1.

účinné od 1. 8. 2026(3) Při stanovení rozsahu dopadů nežádoucí události subjekt kritické infrastruktury dále zohlední

1. účinné od 1. 8. 2026a) počet zasažených osob,
2. účinné od 1. 8. 2026b) velikost zasaženého území,
3. účinné od 1. 8. 2026c) délku trvání,
4. účinné od 1. 8. 2026d) ekonomické dopady,
5. účinné od 1. 8. 2026e) dopady na životní prostředí,
6. účinné od 1. 8. 2026f) závislost jiných základních služeb a
7. účinné od 1. 8. 2026g) dopad na poskytování základní služby v jiném členském státě Evropské unie.

účinné od 1. 8. 2026(4) Subjekt kritické infrastruktury může použít při výpočtu úrovně významnosti dopadů nežádoucí události postup odlišný od postupu podle odstavců 1 až 3, pokud se jedná o postup funkčně rovnocenný.

§ 13

účinné od 1. 8. 2026Výpočet úrovně významnosti dopadů nežádoucí události

účinné od 1. 8. 2026(1) Subjekt kritické infrastruktury vypočítá úroveň významnosti dopadů nežádoucí události podle bodových hodnot podle přílohy č. 3 k této vyhlášce stanovených parametrů nežádoucí události v rámci jednotlivých kritérií A až G uvedených v příloze č. 2 k této vyhlášce.

účinné od 1. 8. 2026(2) Subjekt kritické infrastruktury stanoví procentuální odhad úrovně významnosti dopadů nežádoucí události podle funkce

účinné od 1. 8. 2026kde UVD je úroveň významnosti dopadů [%]; K_i je bodová hodnota i-tého kritéria podle přílohy č. 3 k této vyhlášce; n je počet kritérií; V_i je hodnota váhy i-tého kritéria podle přílohy č. 3 k této vyhlášce; K_{i max} je maximální hodnota i-tého kritéria podle přílohy č. 3 k této vyhlášce.

účinné od 1. 8. 2026(3) V případě naplnění prahové hodnoty 35 % úrovně významnosti dopadů nežádoucí události je nežádoucí událost považována za incident a parametry takové nežádoucí události za parametry incidentu.

§ 14

účinné od 1. 8. 2026Hlášení incidentu

účinné od 1. 8. 2026(1) Způsobem předávání informací o incidentu je jejich předání prostřednictvím formuláře pro hlášení incidentu.

účinné od 1. 8. 2026(2) Formulář pro hlášení incidentu nebo pro předání informací subjektem kritické infrastruktury obsahuje

1. účinné od 1. 8. 2026a) nadpis
   1. účinné od 1. 8. 20261. „Hlášení incidentu“,
   2. účinné od 1. 8. 20262. „Prvotní hlášení incidentu“,
   3. účinné od 1. 8. 20263. „Zpráva o pokroku“, nebo
   4. účinné od 1. 8. 20264. „Závěrečná zpráva“,

1. účinné od 1. 8. 2026b) jméno kontaktní osoby a kontaktní údaje a
2. účinné od 1. 8. 2026c) identifikační údaje subjektu kritické infrastruktury a informace o poskytované základní službě, která byla zasažena incidentem.

účinné od 1. 8. 2026(3) Hlášení incidentu obsahuje

1. účinné od 1. 8. 2026a) informace o incidentu v rozsahu
   1. účinné od 1. 8. 20261. popisu,
   2. účinné od 1. 8. 20262. data a času zjištění,
   3. účinné od 1. 8. 20263. místa vzniku,
   4. účinné od 1. 8. 20264. příčiny vzniku,
   5. účinné od 1. 8. 20265. shrnutí řešení incidentu, včetně jeho časové posloupnosti, a
   6. účinné od 1. 8. 20266. popisu účinnosti souvisejících přijatých opatření,

1. účinné od 1. 8. 2026b) informace vymezující dopad incidentu, v rozsahu
   1. účinné od 1. 8. 20261. počtu uživatelů, kteří byli nebo jsou incidentem ovlivněni, a jejich podíl v rámci dané základní služby,
   2. účinné od 1. 8. 20262. doby trvání narušení poskytování základní služby a doby působení incidentu, vyjádřené počtem minut, hodin, dnů, týdnů nebo měsíců,
   3. účinné od 1. 8. 20263. slovního popisu rozlohy území zasaženého narušením poskytování základní služby,
   4. účinné od 1. 8. 20264. dopadu incidentu na poskytování základní služby v jiném členském státě Evropské unie nebo do takového státu a
   5. účinné od 1. 8. 20265. dopadu na jiného poskytovatele základní služby, pokud je takovýto dopad znám.

účinné od 1. 8. 2026(4) Prvotní hlášení incidentu obsahuje informace podle odstavce 3 v rozsahu jejich dostupnosti.

účinné od 1. 8. 2026(5) Zpráva o pokroku obsahuje

1. účinné od 1. 8. 2026a) dostupné informace o nových skutečnostech týkajících se incidentu v rozsahu informací podle odstavce 3, které nebyly dostupné v rámci prvotního hlášení,
2. účinné od 1. 8. 2026b) předpokládaný čas nutný pro vyřešení incidentu a pro obnovu poskytování základní služby,
3. účinné od 1. 8. 2026c) vysvětlení, z jakého důvodu incident stále trvá, a
4. účinné od 1. 8. 2026d) ​popis konkrétních činností, které byly učiněny pro řešení incidentu.

účinné od 1. 8. 2026(6) Závěrečná zpráva obsahuje informace podle odstavce 3, které nebyly dostupné v rámci prvotního hlášení incidentu nebo zprávy o pokroku.

§ 15