Zákon o kybernetické bezpečnosti

§ 60

účinné od 1. 11. 2025Přestupky dalších osob v oblasti kybernetické bezpečnosti

účinné od 1. 11. 2025(1) Přestupku se dopustí ten, kdo

1. účinné od 1. 11. 2025a) nesplní povinnost ohlásit službu Úřadu podle § 6 odst. 1,
2. účinné od 1. 11. 2025b) neposkytne informace nebo součinnost při zvládání incidentu podle § 17 odst. 3,
3. účinné od 1. 11. 2025c) neposkytne nezbytnou součinnost při zajišťování podkladů pro vydání protiopatření podle § 20 odst. 2,
4. účinné od 1. 11. 2025d) nesplní povinnost uloženou rozhodnutím podle § 24 odst. 1,
5. účinné od 1. 11. 2025e) neposkytne nezbytnou součinnost na základě žádosti Úřadu podle § 28 odst. 4,
6. účinné od 1. 11. 2025f) v souvislosti se stavem kybernetického nebezpečí nesplní povinnost provést opatření k řešení značného ohrožení nebo narušení bezpečnosti informací v kybernetickém prostoru uloženou rozhodnutím nebo opatřením obecné povahy podle § 39,
7. účinné od 1. 11. 2025g) nesplní povinnost uloženou nápravným opatřením podle § 56 odst. 1,
8. účinné od 1. 11. 2025h) v rozporu s rozhodnutím o zákazu výkonu funkce podle § 58 tuto funkci dále vykonává, nebo
9. účinné od 1. 11. 2025i) neposkytne informace nebo jinou součinnost nezbytnou k posouzení splnění podmínek podle § 64 odst. 2.

účinné od 1. 11. 2025(2) Fyzická osoba se dopustí přestupku tím, že poruší povinnost mlčenlivosti podle § 46 odst. 4.

účinné od 1. 11. 2025(3) Osoba poskytující služby registrace doménových jmen se dopustí přestupku tím, že

1. účinné od 1. 11. 2025a) neohlásí Úřadu údaje podle § 34 odst. 1 nebo jejich změnu podle § 34 odst. 2,
2. účinné od 1. 11. 2025b) neshromažďuje nebo neuchovává přesné a úplné údaje o registraci doménových jmen ve vyhrazené databázi podle § 35 odst. 1 v souladu s požadavky stanovenými v § 35 odst. 2,
3. účinné od 1. 11. 2025c) nezavede nebo nezveřejní zásady a postupy zajišťující přesnost a úplnost informací vedených v databázi, včetně postupů ověřování podle § 35 odst. 3,
4. účinné od 1. 11. 2025d) nezveřejní bez zbytečného odkladu po registraci doménového jména údaje o registraci, které nejsou osobními údaji držitele doménového jména, podle § 35 odst. 5, nebo
5. účinné od 1. 11. 2025e) neposkytne přístup ke konkrétním údajům o registraci doménového jména podle § 35 odst. 6.

účinné od 1. 11. 2025(4) Osoba spravující a provozující registr domény nejvyšší úrovně se dopustí přestupku tím, že

1. účinné od 1. 11. 2025a) neshromažďuje nebo neuchovává přesné a úplné údaje o registraci doménových jmen ve vyhrazené databázi podle § 35 odst. 1 v souladu s požadavky stanovenými v § 35 odst. 2,
2. účinné od 1. 11. 2025b) nezavede nebo nezveřejní zásady a postupy zajišťující přesnost a úplnost informací vedených v databázi, včetně postupů ověřování podle § 35 odst. 3,
3. účinné od 1. 11. 2025c) nezveřejní bez zbytečného odkladu po registraci doménového jména údaje o registraci, které nejsou osobními údaji držitele doménového jména, podle § 35 odst. 5, nebo
4. účinné od 1. 11. 2025d) neposkytne přístup ke konkrétním údajům o registraci doménového jména podle § 35 odst. 6.

účinné od 1. 11. 2025(5) Žadatel o registraci členství v komunitě se dopustí přestupku tím, že v žádosti o registraci podle § 48 odst. 4 uvede nepravdivé nebo zkreslené údaje nebo zamlčí údaje, které mohou být podstatné pro posouzení jeho základní a zvláštní způsobilosti Úřadem.

účinné od 1. 11. 2025(6) Člen komunity se dopustí přestupku tím, že v době trvání členství v komunitě podle § 48 odst. 4 neuvede změnu údajů potřebných pro posouzení jeho základní a zvláštní způsobilosti Úřadem nebo neuvede další skutečnosti rozhodné pro posouzení jeho základní a zvláštní způsobilosti.

účinné od 1. 11. 2025(7) Za přestupek lze uložit pokutu do

1. účinné od 1. 11. 2025a) 250 000 000 Kč nebo až do výše 2 % čistého celosvětového ročního obratu dosaženého podnikem podle čl. 101 a 102 Smlouvy o fungování Evropské unie, jehož je obviněný součástí, za bezprostředně předcházející účetní období, podle toho, která z daných částek je vyšší, jde-li o přestupek podle odstavce 1 písm. a) nebo d),
2. účinné od 1. 11. 2025b) 100 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. f),
3. účinné od 1. 11. 2025c) 50 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. b), c), e), g) nebo i), odstavce 3 nebo odstavce 4,
4. účinné od 1. 11. 2025d) 20 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. h),
5. účinné od 1. 11. 2025e) 2 000 000 Kč, jde-li o přestupek podle odstavce 5 nebo 6, nebo
6. účinné od 1. 11. 2025f) 50 000 Kč, jde-li o přestupek podle odstavce 2.

§ 61

účinné od 1. 11. 2025Přestupky v oblasti certifikací kybernetické bezpečnosti

účinné od 1. 11. 2025(1) Právnická nebo podnikající fyzická osoba se dopustí přestupku tím, že

1. účinné od 1. 11. 2025a) zneužije známku nebo označení evropského systému certifikace kybernetické bezpečnosti, evropský certifikát kybernetické bezpečnosti, EU prohlášení o shodě anebo jiný dokument podle aktu o kybernetické bezpečnosti,
2. účinné od 1. 11. 2025b) padělá nebo pozmění evropský certifikát kybernetické bezpečnosti, EU prohlášení o shodě anebo jiný dokument podle aktu o kybernetické bezpečnosti,
3. účinné od 1. 11. 2025c) provede činnost posouzení shody podle aktu o kybernetické bezpečnosti na úroveň záruky „vysoká“, přestože k tomu není oprávněna podle čl. 56 odst. 6 aktu o kybernetické bezpečnosti,
4. účinné od 1. 11. 2025d) vydá jako subjekt posuzování shody autorizovaný podle čl. 60 odst. 3 aktu o kybernetické bezpečnosti evropský certifikát kybernetické bezpečnosti k produktu, procesu nebo službě, který nesplňuje kritéria obsažená v přímo použitelném předpisu Evropské unie přijatém na základě aktu o kybernetické bezpečnosti,
5. účinné od 1. 11. 2025e) provede bez autorizace činnost posouzení shody vyhrazenou přímo použitelným předpisem Evropské unie přijatém na základě aktu o kybernetické bezpečnosti autorizovanému subjektu posuzování shody,
6. účinné od 1. 11. 2025f) vystupuje jako akreditovaný subjekt posuzování shody bez akreditace podle čl. 60 odst. 1 aktu o kybernetické bezpečnosti nebo mimo rozsah této akreditace, nebo
7. účinné od 1. 11. 2025g) nesplní jako subjekt posuzování shody Úřadem uloženou povinnost pozastavit platnost jím vydaného certifikátu nebo osvědčení podle § 57 odst. 1.

účinné od 1. 11. 2025(2) Držitel evropského certifikátu kybernetické bezpečnosti se dopustí přestupku tím, že neinformuje příslušné subjekty posuzování shody o veškerých později zjištěných zranitelnostech nebo nesrovnalostech.

účinné od 1. 11. 2025(3) Výrobce nebo poskytovatel produktů, služeb nebo procesů vydávající EU prohlášení o shodě se dopustí přestupku tím, že

1. účinné od 1. 11. 2025a) vydá EU prohlášení o shodě, ač pro jeho vydání nejsou splněny podmínky stanovené aktem o kybernetické bezpečnosti,
2. účinné od 1. 11. 2025b) neuchovává dokumenty nebo informace podle čl. 53 odst. 3 aktu o kybernetické bezpečnosti,
3. účinné od 1. 11. 2025c) nepředloží vyhotovení EU prohlášení o shodě Úřadu nebo agentuře ENISA podle čl. 53 odst. 3 aktu o kybernetické bezpečnosti, nebo
4. účinné od 1. 11. 2025d) neposkytne informace o kybernetické bezpečnosti v rozsahu a způsobem uvedeným v čl. 55 aktu o kybernetické bezpečnosti.

účinné od 1. 11. 2025(4) Za přestupek lze uložit pokutu do

1. účinné od 1. 11. 2025a) 50 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. a) až e),
2. účinné od 1. 11. 2025b) 20 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. f) nebo g) nebo odstavce 3 písm. a), nebo
3. účinné od 1. 11. 2025c) 2 000 000 Kč, jde-li o přestupek podle odstavce 2 nebo odstavce 3 písm. b) až d).

§ 62

účinné od 1. 11. 2025Společná ustanovení k přestupkům

účinné od 1. 11. 2025(1) Přestupky podle tohoto zákona projednává Úřad.

účinné od 1. 11. 2025(2) Na postup Úřadu podle tohoto zákona se § 68 písm. b), § 70 a 71, § 80 odst. 3, § 88 odst. 2, § 89, § 95 odst. 3 a § 96 odst. 1 písm. b) zákona o odpovědnosti za přestupky a řízení o nich²⁶) nepoužijí.

§ 63

účinné od 1. 11. 2025Zvláštní ustanovení o zajištění průběhu řízení a výkonu rozhodnutí

účinné od 1. 11. 2025(1) Úřad může podle § 62 správního řádu uložit pořádkovou pokutu až do výše 100 000 Kč. Pořádkovou pokutu lze uložit i opakovaně. Celková výše opakovaně ukládaných pokut nesmí přesáhnout 10 000 000 Kč nebo 1 % z čistého obratu dosaženého právnickou nebo podnikající fyzickou osobou za poslední ukončené účetní období podle toho, která z daných částek je vyšší.

účinné od 1. 11. 2025(2) Úřad může za účelem vymáhání splnění povinnosti uložené rozhodnutím Úřadu ukládat donucovací pokuty až do výše 10 000 000 Kč nebo 1 % z čistého obratu dosaženého právnickou nebo podnikající fyzickou osobou za poslední ukončené účetní období podle toho, která z daných částek je vyšší.

účinné od 1. 11. 2025(3) Za přestupek, kterého se poskytovatel regulované služby dopustí tím, že jako kontrolovaná osoba nesplní některou z povinností podle § 10 odst. 2 zákona o kontrole, lze uložit pokutu do výše 10 000 000 Kč.