Zákon o kybernetické bezpečnosti

§ 3

účinné od 1. 11. 2025Regulovaná služba

účinné od 1. 11. 2025Regulovanou službou je služba, o které tak rozhodl Úřad podle § 6 odst. 2.

§ 4

účinné od 1. 11. 2025(1) Podmínky pro registraci regulované služby jsou splněny v případě, že

1. účinné od 1. 11. 2025a) jde o službu, která je významná pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice, v některém z těchto odvětví:
   1. účinné od 1. 11. 20251. veřejná správa,
   2. účinné od 1. 11. 20252. energetika,
   3. účinné od 1. 11. 20253. výrobní průmysl,
   4. účinné od 1. 11. 20254. potravinářský průmysl,
   5. účinné od 1. 11. 20255. chemický průmysl,
   6. účinné od 1. 11. 20256. vodní hospodářství,
   7. účinné od 1. 11. 20257. odpadové hospodářství,
   8. účinné od 1. 11. 20258. doprava,
   9. účinné od 1. 11. 20259. digitální infrastruktura a služby,
   10. účinné od 1. 11. 202510. finanční trh,
   11. účinné od 1. 11. 202511. zdravotnictví,
   12. účinné od 1. 11. 202512. věda, výzkum a vzdělávání,
   13. účinné od 1. 11. 202513. poštovní a kurýrní služby,
   14. účinné od 1. 11. 202514. obranný průmysl,
   15. účinné od 1. 11. 202515. vesmírný průmysl a

1. účinné od 1. 11. 2025b) poskytovatel služby je středním nebo velkým podnikem ve smyslu doporučení Komise 2003/361/ES ze dne 6. května 2003 o definici mikropodniků a malých a středních podniků (dále jen „doporučení Komise 2003/361/ES“)⁶), nebo je významný pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice.

účinné od 1. 11. 2025(2) Seznam služeb podle odstavce 1 písm. a) a vymezení podmínek významnosti poskytovatele podle odstavce 1 písm. b) stanoví Úřad vyhláškou.

§ 5

účinné od 1. 11. 2025Podmínky pro registraci regulované služby jsou dále splněny v případě, že

1. účinné od 1. 11. 2025a) jde o službu podle § 4 odst. 1 písm. a) a
   1. účinné od 1. 11. 20251. její poskytovatel je jediným poskytovatelem této služby v České republice a tato služba je zásadní pro zabezpečení kritických společenských nebo ekonomických činností nebo pro bezpečnost v České republice,
   2. účinné od 1. 11. 20252. narušení této služby by mohlo mít významný dopad na bezpečnost České republiky, vnitřní pořádek nebo život a zdraví,
   3. účinné od 1. 11. 20253. narušení této služby by mohlo vyvolat významná systémová rizika, zejména v odvětvích, kde by takové narušení mohlo mít přeshraniční dopad, nebo
   4. účinné od 1. 11. 20254. její poskytovatel je kvůli svému specifickému významu na regionální nebo celostátní úrovni zásadní pro konkrétní odvětví, ve kterém působí, nebo typ služby, kterou poskytuje anebo pro jiná vzájemně propojená odvětví v České republice,

1. účinné od 1. 11. 2025b) jde o službu, jejíž narušení může způsobit závažný zásah do života více než 125 000 osob, a to prostřednictvím ohrožení bezpečnosti České republiky, vnitřního pořádku, života a zdraví, majetkové hodnoty nebo životního prostředí,
2. účinné od 1. 11. 2025c) jde o službu, jejíž narušení může způsobit závažný zásah do schopnosti poskytovat jinou regulovanou službu poskytovatele v režimu vyšších povinností, nebo
3. účinné od 1. 11. 2025d) jde o službu, jejíž poskytovatel je subjektem kritické infrastruktury podle právního předpisu upravujícího krizové řízení a kritickou infrastrukturu; v takovém případě je regulovanou službou služba odpovídající prvku kritické infrastruktury určenému u tohoto subjektu.

§ 6

účinné od 1. 11. 2025Ohlášení a registrace regulované služby

účinné od 1. 11. 2025(1) Poskytovatel služby splňující podmínky pro registraci regulované služby podle § 4 odst. 1 je pro účely vydání rozhodnutí o registraci regulované služby povinen ohlásit tuto službu Úřadu nejpozději do 60 dnů ode dne, kdy ke splnění podmínek došlo. Formát a způsob ohlášení podle tohoto odstavce stanoví Úřad vyhláškou.

účinné od 1. 11. 2025(2) Úřad rozhodne o registraci regulované služby v případě, že jsou splněny podmínky pro registraci regulované služby podle § 4 odst. 1 nebo § 5.

účinné od 1. 11. 2025(3) Řízení o registraci regulované služby splňující podmínky pro registraci podle § 5 lze zahájit pouze z moci úřední.

účinné od 1. 11. 2025(4) Rozhodnutí o registraci regulované služby podle odstavce 2 může být prvním úkonem Úřadu v řízení. Rozklad podaný proti rozhodnutí o registraci regulované služby nemá odkladný účinek.

§ 7

účinné od 1. 11. 2025Zvláštní ustanovení o určování velikosti podniku

účinné od 1. 11. 2025Odchylně od pravidel doporučení Komise 2003/361/ES pro účely tohoto zákona platí, že

1. účinné od 1. 11. 2025a) čl. 3 odst. 4 doporučení Komise 2003/361/ES se neuplatní,
2. účinné od 1. 11. 2025b) za podnik se nepovažují organizační složky státu⁷), územní samosprávné celky a Česká národní banka,
3. účinné od 1. 11. 2025c) za partnerský nebo propojený podnik se nepovažují osoby, jejichž technická aktiva jsou zcela oddělena od technických aktiv, která používá posuzovaná osoba při poskytování regulované služby, a
4. účinné od 1. 11. 2025d) pro určování velikosti poskytovatele regulované služby v odvětví věda, výzkum a vzdělávání, který není podnikem, se pravidla pro určování velikosti podniku podle doporučení Komise 2003/361/ES, včetně speciálních pravidel upravených tímto zákonem, použijí obdobně.

§ 8

účinné od 1. 11. 2025(1) V režimu vyšších povinností je poskytovatel regulované služby, který z důvodu své velikosti, počtu uživatelů, geografického rozšíření služby, dopadu na fungování odvětví nebo jiného poskytovatele regulované služby nebo rizikovosti provozu, je značně ekonomicky, společensky nebo bezpečnostně významný pro Českou republiku. V režimu nižších povinností je poskytovatel regulované služby, který není v režimu vyšších povinností podle věty první.

účinné od 1. 11. 2025(2) Rozdělení poskytovatelů podle poskytovaných regulovaných služeb do režimů uvedených v odstavci 1 stanoví Úřad vyhláškou.

účinné od 1. 11. 2025(3) Je-li regulovaná služba registrována rozhodnutím Úřadu na základě splnění podmínek pro registraci podle § 5, je její poskytovatel v režimu vyšších povinností.

§ 9

účinné od 1. 11. 2025(1) Poskytovatel regulované služby je povinen hlásit Úřadu změny regulované služby, které mohou vést ke změně režimu jejího poskytovatele, nejpozději do 60 dnů ode dne, kdy ke změně regulované služby došlo.

účinné od 1. 11. 2025(2) Při změně režimu poskytovatele regulované služby z režimu nižších povinností na režim vyšších povinností plynou nové lhůty pro zahájení plnění povinností podle § 11 odst. 1, § 13 odst. 4 a § 15 odst. 4.

§ 10

účinné od 1. 11. 2025Zrušení registrace regulované služby

účinné od 1. 11. 2025(1) Pokud služba již nesplňuje podmínky pro registraci regulované služby podle § 4 odst. 1 nebo § 5, Úřad rozhodne o zrušení registrace regulované služby.

účinné od 1. 11. 2025(2) Řízení o zrušení registrace regulované služby se zahajuje na žádost jejího poskytovatele. Řízení lze zahájit i z moci úřední. Rozhodnutí o zrušení registrace regulované služby může být prvním úkonem v řízení. Podání rozkladu proti rozhodnutí o zrušení registrace regulované služby, kterým Úřad žádosti v plném rozsahu vyhověl, není přípustné.

účinné od 1. 11. 2025(3) Písemné rozhodnutí o zrušení registrace regulované služby se nevyhotovuje v případě, kdy Úřad žádosti v plném rozsahu vyhověl nebo kdy v řízení zahájeném z moci úřední rozhodl o zrušení registrace regulované služby. V takovém případě rozhodnutí nabývá právní moci záznamem do spisu. O zrušení registrace regulované služby Úřad účastníka řízení písemně vyrozumí.