Zákon o kybernetické bezpečnosti

§ 55

účinné od 1. 11. 2025Kontrola vykonávaná Úřadem

účinné od 1. 11. 2025Úřad vykonává kontrolu v oblasti kybernetické bezpečnosti. Při výkonu kontroly Úřad zjišťuje, jak jsou plněny povinnosti stanovené tímto zákonem nebo na jeho základě a přímo použitelnými předpisy Evropské unie v oblasti kybernetické bezpečnosti.

§ 56

účinné od 1. 11. 2025Nápravná opatření

účinné od 1. 11. 2025(1) Zjistí-li Úřad, že poskytovatel regulované služby nebo jiná osoba neplní povinnosti stanovené tímto zákonem nebo na základě tohoto zákona, může jim uložit, aby zjištěné nedostatky ve stanovené lhůtě odstranili, popřípadě určit jakým způsobem. Úřad může v rozhodnutí uložit povinnost oznámit Úřadu provedení nápravného opatření a jeho výsledek ve stanovené lhůtě.

účinné od 1. 11. 2025(2) Rozhodnutí podle odstavce 1 může být prvním úkonem v řízení a rozklad podaný proti němu nemá odkladný účinek.

§ 57

účinné od 1. 11. 2025Pozastavení platnosti certifikace

účinné od 1. 11. 2025(1) Úřad může v případě nesplnění povinnosti odstranit zjištěné nedostatky uložené rozhodnutím Úřadu podle § 56 odst. 1 poskytovateli regulované služby v režimu vyšších povinností, který je držitelem evropského certifikátu kybernetické bezpečnosti podle aktu o kybernetické bezpečnosti nebo jiného certifikátu nebo osvědčení souvisejícího se zajištěním kybernetické bezpečnosti regulované služby, pozastavit tomuto poskytovateli regulované služby platnost evropského certifikátu kybernetické bezpečnosti vydaného Úřadem nebo uložit subjektu posuzování shody povinnost pozastavit platnost jím vydaného certifikátu nebo osvědčení, a to až do doby odstranění zjištěných nedostatků, nejméně na 6 měsíců.

účinné od 1. 11. 2025(2) Rozhodnutí Úřadu podle odstavce 1 může být prvním úkonem v řízení a rozklad podaný proti němu nemá odkladný účinek.

účinné od 1. 11. 2025(3) Informaci o pozastavení platnosti certifikátu nebo osvědčení Úřad zveřejní na svých internetových stránkách.

účinné od 1. 11. 2025(4) Úřad vydá osvědčení o splnění povinnosti odstranit zjištěné nedostatky, které je podkladem pro obnovení platnosti certifikátu nebo osvědčení, zjistí-li, že nedostatky byly odstraněny, nejdříve však po uplynutí doby podle odstavce 1.

§ 58

účinné od 1. 11. 2025Dočasný zákaz výkonu funkce člena statutárního orgánu

účinné od 1. 11. 2025(1) Úřad může členovi statutárního orgánu, který v přímé souvislosti s plněním rozhodnutí Úřadu podle § 56 odst. 1, kterým byla poskytovateli regulované služby v režimu vyšších povinností uložena povinnost odstranit zjištěné nedostatky, opakovaně nebo závažně porušil své povinnosti při výkonu funkce, v důsledku čehož bylo zmařeno řádné splnění rozhodnutí Úřadu, zakázat až do doby odstranění zjištěných nedostatků, nejméně po dobu 6 měsíců, výkon této funkce.

účinné od 1. 11. 2025(2) Rozhodnutí podle odstavce 1 lze vydat pouze vůči osobě vykonávající funkci člena statutárního orgánu u poskytovatele regulované služby v režimu vyšších povinností, a to jen ve vztahu k funkci, která není veřejnou funkcí vymezenou funkčním nebo časovým obdobím a obsazovanou na základě přímé nebo nepřímé volby anebo jmenováním podle jiného právního předpisu.

účinné od 1. 11. 2025(3) Úřad vydá rozhodnutí o zrušení zákazu výkonu funkce, zjistí-li, že nedostatky byly odstraněny, nejdříve však po uplynutí doby podle odstavce 1.

účinné od 1. 11. 2025(4) Pravomocné rozhodnutí o zákazu výkonu funkce nebo o jeho zrušení zašle Úřad bez zbytečného odkladu soudu, který podle jiného právního předpisu vede obchodní rejstřík; informaci o těchto rozhodnutích Úřad dále zveřejní na svých internetových stránkách. Při zápisu informace o zákazu výkonu funkce do obchodního rejstříku se postupuje obdobně jako při zápisu údaje o tom, že členovi statutárního orgánu byl pozastaven výkon funkce podle právního předpisu upravujícího obchodní společnosti a družstva.

účinné od 1. 11. 2025(5) Je-li členem statutárního orgánu právnická osoba, použije se toto ustanovení i na fyzickou osobu, která tuto právnickou osobu při výkonu funkce zastupuje.

účinné od 1. 11. 2025(6) Rozhodnutí podle odstavců 1 a 3 může být prvním úkonem v řízení a rozklad podaný proti němu nemá odkladný účinek.

§ 59

účinné od 1. 11. 2025Přestupky poskytovatele regulované služby

účinné od 1. 11. 2025(1) Poskytovatel regulované služby v režimu vyšších povinností se dopustí přestupku tím, že

1. účinné od 1. 11. 2025a) neohlásí změnu regulované služby podle § 9 odst. 1,
2. účinné od 1. 11. 2025b) neohlásí kontaktní nebo doplňující údaje nebo jejich změnu podle § 11,
3. účinné od 1. 11. 2025c) neurčí za účelem vymezení stanoveného rozsahu všechna primární aktiva podle § 12 odst. 2 písm. a) nebo podpůrná aktiva podle § 12 odst. 2 písm. c), nebo jejich určení pravidelně nepřezkoumá nebo neaktualizuje podle § 12 odst. 5,
4. účinné od 1. 11. 2025d) neposoudí za účelem vymezení stanoveného rozsahu, zda primární aktiva určená podle § 12 odst. 2 písm. a) souvisí s poskytováním regulované služby nebo toto posouzení pravidelně nepřezkoumá nebo neaktualizuje podle § 12 odst. 5,
5. účinné od 1. 11. 2025e) neeviduje aktiva podle § 12 odst. 3,
6. účinné od 1. 11. 2025f) nezavede nebo neprovede bezpečnostní opatření podle § 13 odst. 2 nebo § 18 odst. 1,
7. účinné od 1. 11. 2025g) nevybírá svého dodavatele v souladu s požadavky vyplývajícími z bezpečnostního opatření nebo nezahrnuje požadavky vyplývající z bezpečnostního opatření do smlouvy s dodavatelem v rozporu s § 13 odst. 5,
8. účinné od 1. 11. 2025h) nepředloží prvotní hlášení o incidentu podle § 16 odst. 1 nebo nedoplní některý z údajů o incidentu podle § 16 odst. 3 nebo nenahlásí kybernetický bezpečnostní incident podle § 18 odst. 2,
9. účinné od 1. 11. 2025i) neposkytne informace nebo součinnost při zvládání incidentu podle § 17 odst. 3,
10. účinné od 1. 11. 2025j) nesplní povinnost nebo zákaz informovat uživatele regulované služby o kybernetickém bezpečnostním incidentu s významným dopadem stanovené rozhodnutím podle § 19 odst. 1,
11. účinné od 1. 11. 2025k) neinformuje uživatele regulované služby o významné hrozbě nebo krocích, které může uživatel služby učinit v reakci na ni podle § 19 odst. 2,
12. účinné od 1. 11. 2025l) nesplní povinnost uloženou rozhodnutím o výstraze podle § 21 odst. 1,
13. účinné od 1. 11. 2025m) nesplní reaktivní protiopatření uložené podle § 23 odst. 1 nebo § 23 odst. 4,
14. účinné od 1. 11. 2025n) neoznámí provedení reaktivního protiopatření nebo jeho výsledek podle § 23 odst. 6, nebo
15. účinné od 1. 11. 2025o) nesplní povinnost uloženou nápravným opatřením podle § 56 odst. 1.

účinné od 1. 11. 2025(2) Poskytovatel regulované služby v režimu nižších povinností se dopustí přestupku tím, že

1. účinné od 1. 11. 2025a) neohlásí změnu regulované služby podle § 9 odst. 1,
2. účinné od 1. 11. 2025b) neohlásí kontaktní nebo doplňující údaje nebo jejich změnu podle § 11,
3. účinné od 1. 11. 2025c) neurčí za účelem vymezení stanoveného rozsahu všechna primární aktiva podle § 12 odst. 2 písm. a) nebo podpůrná aktiva podle § 12 odst. 2 písm. c), nebo jejich určení pravidelně nepřezkoumá nebo neaktualizuje podle § 12 odst. 5,
4. účinné od 1. 11. 2025d) neposoudí za účelem vymezení stanoveného rozsahu, zda primární aktiva určená podle § 12 odst. 2 písm. a) souvisí s poskytováním regulované služby, nebo toto posouzení pravidelně nepřezkoumá nebo neaktualizuje podle § 12 odst. 5,
5. účinné od 1. 11. 2025e) neeviduje aktiva podle § 12 odst. 3,
6. účinné od 1. 11. 2025f) nezavede nebo neprovede bezpečnostní opatření podle § 13 odst. 2 nebo § 18 odst. 1,
7. účinné od 1. 11. 2025g) nevybírá svého dodavatele v souladu s požadavky vyplývajícími z bezpečnostního opatření nebo nezahrnuje požadavky vyplývající z bezpečnostního opatření do smlouvy s dodavatelem v rozporu s § 13 odst. 5,
8. účinné od 1. 11. 2025h) nepředloží prvotní hlášení o incidentu podle § 16 odst. 1 nebo nedoplní některý z údajů o incidentu podle § 16 odst. 3 nebo nenahlásí kybernetický bezpečnostní incident podle § 18 odst. 2,
9. účinné od 1. 11. 2025i) neposkytne informace nebo součinnost při zvládání incidentu podle § 17 odst. 3,
10. účinné od 1. 11. 2025j) nesplní povinnost nebo zákaz informovat uživatele regulované služby o kybernetickém bezpečnostním incidentu s významným dopadem stanovené rozhodnutím podle § 19 odst. 1,
11. účinné od 1. 11. 2025k) neinformuje uživatele regulované služby o významné hrozbě nebo krocích, které může uživatel služby učinit v reakci na ni podle § 19 odst. 2,
12. účinné od 1. 11. 2025l) nesplní povinnost uloženou rozhodnutím o výstraze podle § 21 odst. 1,
13. účinné od 1. 11. 2025m) nesplní reaktivní protiopatření uložené podle § 23 odst. 1 nebo § 23 odst. 4,
14. účinné od 1. 11. 2025n) neoznámí provedení reaktivního protiopatření nebo jeho výsledek podle § 23 odst. 6, nebo
15. účinné od 1. 11. 2025o) nesplní povinnost uloženou nápravným opatřením podle § 56 odst. 1.

účinné od 1. 11. 2025(3) Poskytovatel regulované služby se dále jako poskytovatel strategicky významné služby dopustí přestupku tím, že

1. účinné od 1. 11. 2025a) neohlásí změnu regulované služby podle § 26 odst. 1,
2. účinné od 1. 11. 2025b) poruší podmínku nebo zákaz uložené Úřadem v opatření obecné povahy podle § 29,
3. účinné od 1. 11. 2025c) nezjišťuje informace o dodavateli bezpečnostně významné dodávky podle § 31 odst. 1 písm. a),
4. účinné od 1. 11. 2025d) neeviduje informace o dodavateli bezpečnostně významné dodávky podle § 31 odst. 1 písm. b),
5. účinné od 1. 11. 2025e) neohlásí Úřadu informace o dodavateli bezpečnostně významné dodávky nebo jejich změnu podle § 31 odst. 1 písm. c),
6. účinné od 1. 11. 2025f) nezajistí dostupnost strategicky významné služby z území České republiky ve stanoveném čase nebo kvalitě podle § 33 odst. 1,
7. účinné od 1. 11. 2025g) neprověří zajištění poskytování strategicky významné služby podle § 33 odst. 2 nebo o něm nevede záznam, nebo
8. účinné od 1. 11. 2025h) nestanoví čas a kvalitu dostupnosti strategicky významné služby z území České republiky nebo o tom nevede záznam podle § 33 odst. 6.

účinné od 1. 11. 2025(4) Za přestupek lze uložit pokutu do

1. účinné od 1. 11. 2025a) 250 000 000 Kč nebo až do výše 2 % čistého celosvětového ročního obratu dosaženého podnikem podle čl. 101 a 102 Smlouvy o fungování Evropské unie, jehož je obviněný součástí, za bezprostředně předcházející účetní období, podle toho, která z daných částek je vyšší, jde-li o přestupek podle odstavce 1 písm. a), c) až m) a o), nebo odstavce 3 písm. a), b), f) nebo g),
2. účinné od 1. 11. 2025b) 175 000 000 Kč nebo až do výše 1,4 % čistého celosvětového ročního obratu dosaženého podnikem podle čl. 101 a 102 Smlouvy o fungování Evropské unie, jehož je obviněný součástí, za bezprostředně předcházející účetní období, podle toho, která z daných částek je vyšší, jde-li o přestupek podle odstavce 2 písm. a), c) až m) nebo o),
3. účinné od 1. 11. 2025c) 100 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. b) nebo odstavce 3 písm. c), d) nebo h),
4. účinné od 1. 11. 2025d) 50 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. n), odstavce 2 písm. b), nebo odstavce 3 písm. e), nebo
5. účinné od 1. 11. 2025e) 35 000 000 Kč, jde-li o přestupek podle odstavce 2 písm. n).