Zákon o kybernetické bezpečnosti

§ 1

účinné od 1. 11. 2025Předmět úpravy

účinné od 1. 11. 2025(1) Tento zákon upravuje práva a povinnosti osob, organizačních složek státu a dalších orgánů veřejné moci v oblasti zajišťování kybernetické bezpečnosti a působnost a pravomoci Národního úřadu pro kybernetickou a informační bezpečnost (dále jen „Úřad“) a dalších orgánů veřejné moci.

účinné od 1. 11. 2025(2) Tento zákon se vztahuje na osoby, které jsou usazeny na území České republiky. Tento zákon se dále vztahuje na osoby, které na území České republiky zajišťují sítě nebo poskytují služby elektronických komunikací podle jiného právního předpisu¹), bez ohledu na místo jejich usazení.

účinné od 1. 11. 2025(3) Tento zákon zapracovává příslušný předpis Evropské unie²) a zároveň navazuje na přímo použitelné předpisy Evropské unie³).

účinné od 1. 11. 2025(4) Tento zákon se nevztahuje na informační nebo komunikační systémy, které nakládají s utajovanými informacemi.

§ 2

účinné od 1. 11. 2025Vymezení pojmů

účinné od 1. 11. 2025(1) Pro účely tohoto zákona se rozumí

1. účinné od 1. 11. 2025a) daty záznamy jednání, skutečností nebo informací a soubory takových jednání, skutečností nebo informací, včetně provozních údajů⁴) a metadat⁵), zejména v podobě textu, čísel, grafů, obrazů, zvuku a videa,
2. účinné od 1. 11. 2025b) informací zpracovaná, interpretovaná nebo uspořádaná data, která mají význam a kontext,
3. účinné od 1. 11. 2025c) aktivem fyzický nebo digitální prostředek, osoba nebo činnost související se zpracováváním informací a dat v elektronické podobě,
4. účinné od 1. 11. 2025d) primárním aktivem aktivum v podobě zpracovávané informace nebo poskytované služby,
5. účinné od 1. 11. 2025e) podpůrným aktivem aktivum zajišťující fungování primárních aktiv, zejména zaměstnanec, dodavatel, technické aktivum, budova a jiný ohraničený prostor, ve kterém se nachází aktivum regulované služby, a
6. účinné od 1. 11. 2025f) technickým aktivem technický nebo programový prostředek anebo vybavení.

účinné od 1. 11. 2025(2) Pro účely tohoto zákona se dále rozumí

1. účinné od 1. 11. 2025a) kybernetickým prostorem soubor sítí elektronických komunikací a dalších technologií, ve kterém dochází ke zpracování informací a dat v elektronické podobě,
2. účinné od 1. 11. 2025b) bezpečností informací zajištění důvěrnosti, integrity a dostupnosti informací a dat,
3. účinné od 1. 11. 2025c) hrozbou jakákoliv potenciální okolnost, událost nebo jednání, které mohou být příčinou kybernetické bezpečnostní události nebo kybernetického bezpečnostního incidentu, a která mohou poškodit, narušit nebo jinak nepříznivě ovlivnit aktiva, jejich uživatele nebo další osoby,
4. účinné od 1. 11. 2025d) významnou hrozbou hrozba, u níž lze na základě jejích technických charakteristik předpokládat, že má potenciál závažně ovlivnit aktiva poskytovatele regulované služby nebo uživatele regulované služby natolik, že způsobí značnou újmu,
5. účinné od 1. 11. 2025e) kybernetickou bezpečnostní událostí událost, která může vyústit v kybernetický bezpečnostní incident,
6. účinné od 1. 11. 2025f) kybernetickým bezpečnostním incidentem narušení bezpečnosti informací v kybernetickém prostoru,
7. účinné od 1. 11. 2025g) zvládáním kybernetického bezpečnostního incidentu úkony vedoucí k prevenci, detekci, analýze, omezení dopadů incidentu, reakci na incident a následné obnově, a
8. účinné od 1. 11. 2025h) zranitelností slabé místo aktiva nebo bezpečnostního opatření, které může být zneužito hrozbou.

účinné od 1. 11. 2025(3) Pro účely tohoto zákona se dále rozumí

1. účinné od 1. 11. 2025a) systémem překladu doménových jmen hierarchický distribuovaný systém překladu doménových jmen, který umožňuje identifikaci internetových služeb a zdrojů, a současně umožňuje, aby zařízení koncových uživatelů využívala služby směrování a připojení k internetu za účelem přístupu k těmto službám a zdrojům,
2. účinné od 1. 11. 2025b) správou a provozem registru domény nejvyšší úrovně činnost spočívající ve správě konkrétní delegované domény nejvyšší úrovně, včetně registrace doménových jmen v rámci domény nejvyšší úrovně a technického provozu jmenných serverů, vedení databází zajišťujících správu a provoz domény nejvyšší úrovně a distribuci zónových souborů domény nejvyšší úrovně mezi jmennými servery, s výjimkou situací, kdy registr domény nejvyšší úrovně používá doménová jména nejvyšší úrovně pouze pro svou vlastní potřebu,
3. účinné od 1. 11. 2025c) službou cloud computingu služba informační společnosti podle právního předpisu upravujícího služby informační společnosti, která umožňuje samoobslužnou správu a široký vzdálený přístup k rozšiřitelnému a pružnému seskupení sdílitelných výpočetních zdrojů, včetně těch, které jsou rozmístěny na více místech,
4. účinné od 1. 11. 2025d) službou datového centra služba, která zahrnuje prostory, včetně všech zařízení a infrastruktur pro distribuci energie a řízení prostředí, určené k centralizovanému umístění, propojení a provozu informačních technologií a síťových zařízení poskytujících služby zpracování dat,
5. účinné od 1. 11. 2025e) sítí pro doručování obsahu síť geograficky distribuovaných serverů sloužící k zajištění vysoké dostupnosti, přístupnosti nebo rychlého poskytování digitálního obsahu a služeb uživatelům internetu,
6. účinné od 1. 11. 2025f) platformou sociálních sítí platforma, která koncovým uživatelům umožňuje vzájemné propojení, sdílení, objevování a komunikaci napříč různými zařízeními, zejména prostřednictvím chatů, příspěvků, videí a doporučení,
7. účinné od 1. 11. 2025g) řízenou službou služba související s instalací, správou, provozem nebo údržbou technických aktiv, a to prostřednictvím asistence nebo aktivní správy, které jsou prováděny v prostorách zákazníků nebo na dálku,
8. účinné od 1. 11. 2025h) řízenou bezpečnostní službou řízená služba, která spočívá v činnostech souvisejících s řízením kybernetických bezpečnostních rizik nebo poskytováním asistence pro tyto činnosti, a
9. účinné od 1. 11. 2025i) osobou poskytující služby registrace doménových jmen registrátor nebo osoba poskytující obdobné služby jménem registrátora.