zákon o kritické infrastruktuře

§ 1

účinné od 19. 8. 2025Předmět úpravy

účinné od 19. 8. 2025(1) Tento zákon zapracovává příslušné předpisy Evropské unie¹) a stanoví

1. účinné od 19. 8. 2025a) působnost státních orgánů v oblasti zvyšování odolnosti subjektů kritické infrastruktury,
2. účinné od 19. 8. 2025b) práva a povinnosti právnických a fyzických osob k zajištění poskytování základních služeb,
3. účinné od 19. 8. 2025c) opatření ke zvyšování a zajišťování odolnosti subjektů kritické infrastruktury.

účinné od 19. 8. 2025(2) Zvyšování odolnosti subjektů kritické infrastruktury je součástí krizového řízení podle krizového zákona.

§ 2

účinné od 19. 8. 2025Vymezení pojmů

účinné od 19. 8. 2025(1) Pro účely tohoto zákona se rozumí

1. účinné od 19. 8. 2025a) základní službou služba, která je nezbytná pro zachování základních funkcí státu, hospodářských činností, bezpečnosti, veřejného zdraví nebo životního prostředí, poskytovaná v odvětvích nebo pododvětvích podle přílohy tohoto zákona,
2. účinné od 19. 8. 2025b) poskytovatelem základní služby každý, kdo poskytuje alespoň 1 základní službu na území České republiky a splňuje kritérium významnosti,
3. účinné od 19. 8. 2025c) kritickou infrastrukturou aktivum, zařízení, vybavení, síť nebo systém anebo jejich část, které jsou nezbytné pro poskytování základní služby,
4. účinné od 19. 8. 2025d) subjektem kritické infrastruktury poskytovatel základní služby, jehož kritická infrastruktura se nachází na území České republiky a je zařazen na seznam subjektů kritické infrastruktury,
5. účinné od 19. 8. 2025e) subjektem evropské kritické infrastruktury subjekt kritické infrastruktury, který poskytuje stejnou nebo podobnou základní službu nejméně v 6 členských státech Evropské unie a byl vyrozuměn o tom, že byl označen Evropskou komisí za kritický subjekt zvláštního evropského významu,
6. účinné od 19. 8. 2025f) incidentem událost, která může významně narušit nebo která narušuje poskytování základní služby,
7. účinné od 19. 8. 2025g) rizikem možnost narušení poskytování základní služby v důsledku incidentu, vyjádřená jako kombinace rozsahu takového narušení a pravděpodobnosti vzniku incidentu,
8. účinné od 19. 8. 2025h) posouzením rizik subjektu kritické infrastruktury celkový postup určení povahy a rozsahu rizika identifikací a analýzou možných relevantních hrozeb, zranitelných míst a nebezpečí, které by mohly vést k incidentu, a hodnocením možného narušení poskytování základní služby způsobené tímto incidentem,
9. účinné od 19. 8. 2025i) odolností subjektu kritické infrastruktury schopnost subjektu kritické infrastruktury předcházet incidentům, chránit se před těmito incidenty, reagovat na ně, odolávat jim, zmírňovat jejich následky a přijímat opatření k jejich předcházení,
10. účinné od 19. 8. 2025j) pracovníkem fyzická osoba, která je v pracovněprávním vztahu, služebním poměru nebo jiném obdobném vztahu se subjektem kritické infrastruktury nebo s jeho kritickým dodavatelem,
11. účinné od 19. 8. 2025k) kritickým pracovníkem pracovník, který je nezbytný pro zajištění poskytování základní služby,
12. účinné od 19. 8. 2025l) kritickým dodavatelem osoba, která jako dodavatel vstoupila do právního vztahu se subjektem kritické infrastruktury a na základě toho poskytuje zboží nebo služby, které jsou nezbytné pro zajištění poskytování základní služby.

účinné od 19. 8. 2025(2) Pro účely tohoto zákona se členským státem Evropské unie rozumí také smluvní stát Dohody o Evropském hospodářském prostoru.

§ 3

účinné od 19. 8. 2025(1) Strategie pro posílení odolnosti subjektů kritické infrastruktury (dále jen „strategie“) stanoví strategické cíle a opatření s cílem posilovat a zajišťovat odolnost subjektů kritické infrastruktury, a to v rozsahu odvětví a pododvětví podle přílohy tohoto zákona.

účinné od 19. 8. 2025(2) Strategie obsahuje

1. účinné od 19. 8. 2025a) strategické cíle a priority za účelem posílení celkové odolnosti subjektů kritické infrastruktury se zohledněním přeshraniční a meziodvětvové závislosti,
2. účinné od 19. 8. 2025b) rámec pro naplnění strategických cílů a priorit, včetně popisu působnosti a odpovědnosti věcně příslušných orgánů státní správy a subjektů kritické infrastruktury,
3. účinné od 19. 8. 2025c) popis opatření nezbytných k posílení odolnosti subjektů kritické infrastruktury, včetně popisu výsledků posouzení rizik České republiky podle krizového zákona (dále jen „posouzení rizik České republiky“),
4. účinné od 19. 8. 2025d) popis procesu zařazení poskytovatelů základní služby na seznam subjektů kritické infrastruktury,
5. účinné od 19. 8. 2025e) způsob podpory subjektů kritické infrastruktury ze strany příslušných orgánů státní správy, včetně opatření na posílení spolupráce mezi orgány státní správy a subjekty kritické infrastruktury,
6. účinné od 19. 8. 2025f) přehled rozhodovacích orgánů v systému zajišťování a posilování odolnosti subjektů kritické infrastruktury,
7. účinné od 19. 8. 2025g) způsob zajištění koordinace příslušných orgánů státní správy podle tohoto zákona s příslušnými orgány státní správy podle zákona o kybernetické bezpečnosti pro účely sdílení informací o rizicích, hrozbách a incidentech a výkonu kontroly,
8. účinné od 19. 8. 2025h) popis stávajících nástrojů využitelných subjekty kritické infrastruktury pro zavádění opatření k zajištění své odolnosti.

účinné od 19. 8. 2025(3) Strategii schvaluje vláda.

§ 4

účinné od 19. 8. 2025Věcná působnost ministerstev, jiných ústředních správních úřadů a České národní banky v jednotlivých odvětvích nebo pododvětvích, ve kterých jsou poskytovány základní služby, k plnění úkolů podle tohoto zákona je stanovena v příloze tohoto zákona.

§ 5

účinné od 19. 8. 2025Ministerstva a jiné ústřední správní úřady

účinné od 19. 8. 2025Ministerstva a jiné ústřední správní úřady za účelem zvyšování odolnosti subjektů kritické infrastruktury

1. účinné od 19. 8. 2025a) poskytují Ministerstvu vnitra součinnost při
   1. účinné od 19. 8. 20251. zpracování strategie,
   2. účinné od 19. 8. 20252. zpracování souhrnné zprávy o incidentech,
   3. účinné od 19. 8. 20253. cvičení k ověření odolnosti subjektů kritické infrastruktury a
   4. účinné od 19. 8. 20254. mezinárodní výměně informací,

1. účinné od 19. 8. 2025b) vyžadují od poskytovatele základní služby informace nezbytné k podání podnětu k rozhodnutí o jeho zařazení na seznam subjektů kritické infrastruktury,
2. účinné od 19. 8. 2025c) podávají podnět Ministerstvu vnitra k rozhodnutí o zařazení poskytovatele základní služby na seznam subjektů kritické infrastruktury,
3. účinné od 19. 8. 2025d) poskytují Ministerstvu vnitra informace týkající se plnění opatření k zajišťování odolnosti subjektů kritické infrastruktury,
4. účinné od 19. 8. 2025e) poskytují subjektu kritické infrastruktury v nezbytném rozsahu informace o možném ohrožení poskytování základní služby,
5. účinné od 19. 8. 2025f) posuzují požadavek uplatněný subjektem kritické infastruktury podle § 14 odst. 3; za účelem jeho vyřízení podle jiného právního předpisu²) spolupracují s příslušnými orgány,
6. účinné od 19. 8. 2025g) provádějí cvičení k ověření odolnosti subjektů kritické infrastruktury; za tímto účelem zpracovávají plán cvičení,
7. účinné od 19. 8. 2025h) provádějí kontrolu subjektu kritické infrastruktury a ukládají nápravná opatření podle § 23,
8. účinné od 19. 8. 2025i) poskytují Ministerstvu vnitra stanovisko k provedení poradní mise Evropskou komisí,
9. účinné od 19. 8. 2025j) poskytují Evropské komisi součinnost při provádění poradní mise,
10. účinné od 19. 8. 2025k) vyhodnocují potřebu zabezpečení nezbytných věcných prostředků prostřednictvím systému hospodářských opatření pro krizové stavy k zajištění poskytování základní služby v odvětví nebo pododvětví; k tomu využívají informace poskytnuté subjektem kritické infastruktury podle § 14 odst. 1 písm. q).

§ 6

účinné od 19. 8. 2025Ministerstvo vnitra

účinné od 19. 8. 2025(1) Ministerstvo vnitra v oblasti zvyšování odolnosti subjektů kritické infrastruktury

1. účinné od 19. 8. 2025a) koordinuje výkon státní správy,
2. účinné od 19. 8. 2025b) zpracovává strategii, aktualizuje ji nejméně jednou za 4 roky a předkládá ji vládě ke schválení,
3. účinné od 19. 8. 2025c) rozhoduje o zařazení poskytovatele základní služby na seznam subjektů kritické infrastruktury a o jeho vyřazení z tohoto seznamu; tento seznam aktualizuje nejméně jednou za 4 roky,
4. účinné od 19. 8. 2025d) na základě požadavku Evropské komise vyrozumí subjekt kritické infrastruktury o tom, že byl Evropskou komisí označen za kritický subjekt zvláštního evropského významu,
5. účinné od 19. 8. 2025e) zřizuje a provozuje portál kritické infrastruktury,
6. účinné od 19. 8. 2025f) poskytuje subjektu kritické infrastruktury části posouzení rizik České republiky pro účely zpracování posouzení rizik subjektu kritické infrastruktury,
7. účinné od 19. 8. 2025g) koordinuje cvičení k ověření odolnosti subjektů kritické infrastruktury v působnosti více ministerstev nebo jiných ústředních správních úřadů; za tímto účelem zpracovává plán cvičení,
8. účinné od 19. 8. 2025h) plní funkci jednotného kontaktního místa České republiky,
9. účinné od 19. 8. 2025i) zabezpečuje mezinárodní výměnu informací,
10. účinné od 19. 8. 2025j) předkládá Evropské komisi
    1. účinné od 19. 8. 20251. bez zbytečného odkladu po poslední významné aktualizaci nebo nejpozději každé 4 roky informace o seznamu základních služeb, včetně jejich kritérií, a počtu subjektů kritické infrastruktury podle odvětví, pododvětví a každé základní služby,
    2. účinné od 19. 8. 20252. každé 2 roky souhrnnou zprávu o incidentech,
    3. účinné od 19. 8. 20253. strategii, informace o druzích zjištěných rizik a výsledcích posouzení rizik České republiky do 3 měsíců ode dne jejich schválení nebo poslední významné aktualizace,
    4. účinné od 19. 8. 20254. informace o subjektu kritické infrastruktury, který poskytuje stejnou nebo podobnou základní službu nejméně v 6 členských státech Evropské unie za účelem jeho označení za kritický subjekt zvláštního evropského významu,
    5. účinné od 19. 8. 20255. v případě subjektu evropské kritické infrastruktury na základě její žádosti části posouzení rizik subjektu kritické infrastruktury, seznam opatření přijatých podle § 15, kontrolní zjištění podle § 22 a uložená nápravná opatření podle § 23 za účelem provedení poradní mise,
    6. účinné od 19. 8. 20256. návrh kandidátů na členy poradní mise,

1. účinné od 19. 8. 2025k) navrhuje Evropské komisi provedení poradní mise u subjektu evropské kritické infrastruktury,
2. účinné od 19. 8. 2025l) schvaluje žádost Evropské komise o provedení poradní mise u subjektu evropské kritické infrastruktury,
3. účinné od 19. 8. 2025m) vydává varování a rozhoduje o stanovení podmínek nebo uložení zákazu využití plnění dodavatele subjektu kritické infrastruktury,
4. účinné od 19. 8. 2025n) poskytuje na vyžádání
   1. účinné od 19. 8. 20251. hasičskému záchrannému sboru kraje za účelem zpracování krizového plánu kraje v nezbytném rozsahu informace o kritické infrastruktuře nacházející se na území kraje,
   2. účinné od 19. 8. 20252. Českému úřadu zeměměřickému a katastrálnímu za účelem vedení neveřejné části digitální technické mapy identifikační údaje o subjektu kritické infrastruktury a o jeho kritické infrastruktuře,

1. účinné od 19. 8. 2025o) spolupracuje s příslušnými orgány členských států Evropské unie.

účinné od 19. 8. 2025(2) Působnost Ministerstva vnitra podle odstavce 1 plní generální ředitelství Hasičského záchranného sboru České republiky, s výjimkou působnosti podle odstavce 1 písm. m).

účinné od 19. 8. 2025(3) Působnost Ministerstva vnitra předkládat Evropské komisi informace podle odstavce 1 písm. j) se nevztahuje na odvětví bezpečnost.

§ 7

účinné od 19. 8. 2025Národní úřad pro kybernetickou a informační bezpečnost

účinné od 19. 8. 2025Národní úřad pro kybernetickou a informační bezpečnost bez zbytečného odkladu poskytuje Ministerstvu vnitra informace o kybernetickém bezpečnostním incidentu s významným dopadem na kybernetický prostor státu, které obdrží na základě hlášení podle zákona o kybernetické bezpečnosti a ke kterému došlo u subjektu kritické infrastruktury v odvětví digitální infrastruktura.

§ 8

účinné od 19. 8. 2025Česká národní banka

účinné od 19. 8. 2025(1) Česká národní banka vytváří podmínky pro zvyšování odolnosti subjektů kritické infrastruktury v odvětvích bankovnictví a infrastruktura finančních trhů a za tímto účelem bez zbytečného odkladu poskytuje Ministerstvu vnitra informace o incidentech, které obdrží na základě přímo použitelného předpisu Evropské unie³) od subjektu kritické infrastruktury v odvětví bankovnictví nebo infrastruktura finančních trhů.

účinné od 19. 8. 2025(2) Pro Českou národní banku se § 5 písm. a) body 1 a 2 a § 5 písm. b), c) a f) použijí obdobně.

§ 9

účinné od 19. 8. 2025Povinnosti poskytovatele základní služby

účinné od 19. 8. 2025(1) Poskytovatel základní služby je povinen ministerstvu, jinému ústřednímu správnímu úřadu nebo České národní bance a Ministerstvu vnitra za účelem rozhodnutí o jeho zařazení na seznam subjektů kritické infrastruktury poskytnout informace o

1. účinné od 19. 8. 2025a) poskytované základní službě a naplnění alespoň 1 kritéria významnosti,
2. účinné od 19. 8. 2025b) jeho kritické infrastruktuře na území České republiky nebo jiného členského státu Evropské unie a
3. účinné od 19. 8. 2025c) základní službě poskytované na území jiného členského státu Evropské unie.

účinné od 19. 8. 2025(2) Informace podle odstavce 1 poskytovatel základní služby poskytne prostřednictvím portálu kritické infrastruktury nejpozději do

1. účinné od 19. 8. 2025a) 3 měsíců ode dne zahájení poskytování základní služby,
2. účinné od 19. 8. 2025b) 1 měsíce ode dne, kdy k tomu byl ministerstvem, jiným ústředním správním úřadem, Českou národní bankou nebo Ministerstvem vnitra vyzván.

§ 10

účinné od 19. 8. 2025Základní služba a kritérium významnosti

účinné od 19. 8. 2025(1) Kritérium významnosti v souladu s posouzením rizik České republiky určuje význam narušení poskytování základní služby na základě

1. účinné od 19. 8. 2025a) počtu uživatelů, kteří jsou závislí na základní službě poskytované poskytovatelem základní služby,
2. účinné od 19. 8. 2025b) rozsahu, v němž poskytování základní služby v jiném odvětví nebo pododvětví závisí na základní službě,
3. účinné od 19. 8. 2025c) možného dopadu incidentů, pokud jde o jejich intenzitu a délku trvání, na hospodářské a společenské činnosti, životní prostředí, bezpečnost nebo na veřejné zdraví,
4. účinné od 19. 8. 2025d) tržního podílu poskytovatele základní služby na trhu se základní službou nebo službami v České republice,
5. účinné od 19. 8. 2025e) území, které by mohlo být incidentem ovlivněno, včetně případných přeshraničních dopadů, s přihlédnutím ke zranitelnosti spojené se stupněm odloučení určitých typů území, nebo
6. účinné od 19. 8. 2025f) důležitosti poskytovatele základní služby, pokud jde o udržování dostatečné úrovně základní služby, s přihlédnutím k dostupnosti alternativních způsobů poskytování této základní služby.

účinné od 19. 8. 2025(2) Základní služby v jednotlivých odvětvích nebo pododvětvích a kritéria významnosti podle odstavce 1 pro jednotlivé základní služby stanoví prováděcí právní předpis.

§ 11

účinné od 19. 8. 2025Zařazení na seznam subjektů kritické infrastruktury

účinné od 19. 8. 2025(1) Ministerstvo, jiný ústřední správní úřad nebo Česká národní banka bez zbytečného odkladu posoudí informace o poskytovateli základní služby podle § 9 odst. 1 a podá Ministerstvu vnitra podnět k rozhodnutí o zařazení tohoto poskytovatele základní služby na seznam subjektů kritické infrastruktury.

účinné od 19. 8. 2025(2) Ministerstvo vnitra na základě podnětu podle odstavce 1 bez zbytečného odkladu rozhodne o zařazení poskytovatele základní služby na seznam subjektů kritické infrastruktury.

účinné od 19. 8. 2025(3) Rozhodnutí o zařazení na seznam subjektů kritické infrastruktury může být prvním úkonem v řízení. Rozklad podaný proti rozhodnutí o zařazení na seznam subjektů kritické infrastruktury nemá odkladný účinek.

účinné od 19. 8. 2025(4) Seznam subjektů kritické infrastruktury je neveřejný a obsahuje tyto údaje:

1. účinné od 19. 8. 2025a) identifikační údaje subjektu kritické infrastruktury,
2. účinné od 19. 8. 2025b) informace o základní službě, kterou subjekt kritické infrastruktury poskytuje,
3. účinné od 19. 8. 2025c) odvětví a pododvětví, ve kterém subjekt kritické infrastruktury poskytuje základní službu, a
4. účinné od 19. 8. 2025d) členské státy Evropské unie, ve kterých subjekt kritické infrastruktury poskytuje základní službu.

účinné od 19. 8. 2025(5) Ministerstvo vnitra informuje Národní úřad pro kybernetickou a informační bezpečnost a ministerstvo, jiný ústřední správní úřad nebo Českou národní banku o zařazení subjektu na seznam subjektů kritické infrastruktury do 1 měsíce ode dne doručení rozhodnutí o zařazení na seznam subjektů kritické infrastruktury subjektu kritické infrastruktury.

účinné od 19. 8. 2025(6) Subjekt kritické infrastruktury je povinen plnit povinnosti stanovené tímto zákonem ode dne doručení rozhodnutí o zařazení na seznam subjektů kritické infrastruktury, není-li stanoveno dále jinak, až do dne doručení rozhodnutí o jeho vyřazení ze seznamu subjektů kritické infrastruktury podle § 13.

§ 12

účinné od 19. 8. 2025(1) Pokud subjekt kritické infrastruktury začne poskytovat základní službu v jiném rozsahu, začne poskytovat novou základní službu nebo ukončí poskytování základní služby, informuje o této skutečnosti ministerstvo, jiný ústřední správní úřad nebo Českou národní banku v rozsahu podle § 9 odst. 1 do 1 měsíce ode dne, kdy nastala tato skutečnost.

účinné od 19. 8. 2025(2) Pokud subjekt kritické infrastruktury poskytuje novou základní službu, nebo došlo ke změně rozsahu u již poskytované základní služby, Ministerstvo vnitra na základě informace od ministerstva, jiného ústředního správního úřadu nebo České národní banky doplní do seznamu subjektů kritické infrastruktury informace o nově poskytované základní službě nebo o změně rozsahu již poskytované základní služby. O této skutečnosti následně Ministerstvo vnitra do 1 měsíce ode dne doplnění nových poskytnutých informací vyrozumí subjekt kritické infrastruktury, Národní úřad pro kybernetickou a informační bezpečnost a ministerstvo, jiný ústřední správní úřad nebo Českou národní banku.

účinné od 19. 8. 2025(3) Subjekt kritické infrastruktury je povinen plnit povinnosti stanovené tímto zákonem k nově zapsané základní službě ode dne doručení vyrozumění podle odstavce 2, není-li stanoveno dále jinak.

§ 13

účinné od 19. 8. 2025(1) V případě, že subjekt kritické infrastruktury nadále neposkytuje některou ze základních služeb zapsaných na seznamu subjektů kritické infrastruktury, Ministerstvo vnitra tuto základní službu vymaže ze seznamu subjektů kritické infrastruktury a o této skutečnosti bez zbytečného odkladu vyrozumí subjekt kritické infrastruktury, Národní úřad pro kybernetickou a informační bezpečnost a ministerstvo, jiný ústřední správní úřad nebo Českou národní banku.

účinné od 19. 8. 2025(2) V případě, že subjekt kritické infrastruktury nadále neposkytuje žádnou základní službu, Ministerstvo vnitra rozhodne o jeho vyřazení ze seznamu subjektů kritické infrastruktury.

účinné od 19. 8. 2025(3) Rozhodnutí o vyřazení ze seznamu subjektů kritické infrastruktury může být prvním úkonem v řízení. Rozklad podaný proti rozhodnutí o vyřazení ze seznamu subjektů kritické infrastruktury nemá odkladný účinek.

účinné od 19. 8. 2025(4) Ministerstvo vnitra informuje Národní úřad pro kybernetickou a informační bezpečnost a ministerstvo, jiný ústřední správní úřad nebo Českou národní banku o vyřazení subjektu kritické infrastruktury ze seznamu subjektů kritické infrastruktury bez zbytečného odkladu ode dne doručení rozhodnutí o vyřazení subjektu kritické infrastruktury ze seznamu subjektů kritické infrastruktury subjektu kritické infrastruktury.

§ 14

účinné od 19. 8. 2025Práva a povinnosti subjektu kritické infrastruktury

účinné od 19. 8. 2025(1) Subjekt kritické infrastruktury je při poskytování základní služby a při zajišťování své odolnosti povinen

1. účinné od 19. 8. 2025a) poskytovat bez zbytečného odkladu Ministerstvu vnitra a ministerstvu, jinému ústřednímu správnímu úřadu nebo České národní bance informace o poskytované základní službě, kritické infrastruktuře na území České republiky nebo jiného členského státu Evropské unie, kritických pracovnících a kritických dodavatelích,
2. účinné od 19. 8. 2025b) bez zbytečného odkladu informovat Ministerstvo vnitra, ve kterých členských státech Evropské unie poskytuje základní službu,
3. účinné od 19. 8. 2025c) bez zbytečného odkladu informovat Ministerstvo vnitra a ministerstvo nebo jiný ústřední správní úřad, že je součástí koncernu podle zákona upravujícího obchodní korporace, včetně informace, zda se jedná o řízenou nebo řídící osobu,
4. účinné od 19. 8. 2025d) do 9 měsíců ode dne doručení rozhodnutí o zařazení na seznam subjektů kritické infrastruktury zpracovat posouzení rizik subjektu kritické infrastruktury a následně provádět jeho aktualizaci nejméně jednou za 4 roky,
5. účinné od 19. 8. 2025e) bez zbytečného odkladu poskytnout na žádost ministerstva nebo jiného ústředního správního úřadu podklady pro zpracování posouzení rizik České republiky,
6. účinné od 19. 8. 2025f) do 10 měsíců ode dne doručení rozhodnutí o zařazení na seznam subjektů kritické infrastruktury zpracovat plán odolnosti, ve kterém jsou stanovena technická, bezpečnostní a organizační opatření k zajištění odolnosti subjektu kritické infrastruktury, a následně provádět jeho aktualizaci nejméně jednou za 4 roky,
7. účinné od 19. 8. 2025g) určit manažera kritické infrastruktury do 10 měsíců ode dne doručení rozhodnutí o zařazení na seznam subjektů kritické infrastruktury, a bez zbytečného odkladu poté, co dosavadní manažer kritické infrastruktury skončí výkon této funkce,
8. účinné od 19. 8. 2025h) bez zbytečného odkladu oznámit určení manažera kritické infrastruktury Ministerstvu vnitra a ministerstvu nebo jinému ústřednímu správnímu úřadu,
9. účinné od 19. 8. 2025i) vytvářet manažeru kritické infrastruktury podmínky nezbytné k plnění jeho povinností,
10. účinné od 19. 8. 2025j) označit kritické dodavatele a sdělit Ministerstvu vnitra a ministerstvu, jinému ústřednímu správnímu úřadu nebo České národní bance
    1. účinné od 19. 8. 20251. v případě právnické nebo podnikající fyzické osoby identifikační údaje v rozsahu název, sídlo a identifikační číslo osoby,
    2. účinné od 19. 8. 20252. v případě fyzické osoby identifikační údaje v rozsahu jméno a příjmení, datum narození a adresa místa pobytu,
    3. účinné od 19. 8. 20253. důvody, pro které byl označen jako kritický dodavatel,

1. účinné od 19. 8. 2025k) přijímat opatření k zajištění odolnosti subjektu kritické infrastruktury podle § 15,
2. účinné od 19. 8. 2025l) bez zbytečného odkladu hlásit Ministerstvu vnitra incidenty podle § 18 a 19,
3. účinné od 19. 8. 2025m) zajistit podmínky pro výkon citlivé činnosti podle zákona upravujícího ochranu utajovaných informací,
4. účinné od 19. 8. 2025n) účastnit se cvičení k ověření odolnosti subjektů kritické infrastruktury,
5. účinné od 19. 8. 2025o) využívat portál kritické infrastruktury pro plnění povinností podle tohoto zákona,
6. účinné od 19. 8. 2025p) umožnit ministerstvu nebo jinému ústřednímu správnímu úřadu provedení kontroly plnění povinností stanovených tímto zákonem a přijímat nápravná opatření podle § 23,
7. účinné od 19. 8. 2025q) informovat ministerstvo nebo jiný ústřední správní úřad o potřebě zabezpečení nezbytnými věcnými prostředky k zajištění poskytování základní služby, které není schopen zajistit jiným způsobem,
8. účinné od 19. 8. 2025r) požádat u manažera kritické infrastruktury o ověření spolehlivosti, zda splňuje podmínky pro výkon citlivé činnosti podle zákona upravujícího ochranu utajovaných informací.

účinné od 19. 8. 2025(2) Za účelem zajištění své odolnosti a poskytování základní služby subjekt kritické infrastruktury

1. účinné od 19. 8. 2025a) ověřuje spolehlivost podle § 17 v souladu s posouzením rizik České republiky,
2. účinné od 19. 8. 2025b) pro plnění povinností podle tohoto zákona zpracovává v nezbytném rozsahu osobní údaje
   1. účinné od 19. 8. 20251. kritických pracovníků,
   2. účinné od 19. 8. 20252. osob ucházejících se u něj o uzavření pracovněprávního vztahu, přijetí do služebního poměru nebo o uzavření obdobného vztahu a
   3. účinné od 19. 8. 20253. osob, které jsou pověřené přímým nebo vzdáleným přístupem do jeho prostor, k jeho informacím nebo do jeho kontrolních systémů.

účinné od 19. 8. 2025(3) Za účelem zajištění své odolnosti a poskytování základní služby je subjekt kritické infrastruktury v nezbytném rozsahu dále oprávněn

1. účinné od 19. 8. 2025a) při přípravě na krizové situace požádat u ministerstva, jiného ústředního správního úřadu nebo České národní banky o poskytnutí přednostního připojení k veřejné komunikační síti a přístup k veřejně dostupné službě elektronických komunikací pro kritické pracovníky,
2. účinné od 19. 8. 2025b) během mimořádné události nebo za krizového stavu požádat u ministerstva, jiného ústředního správního úřadu nebo České národní banky o zprostředkování vstupu do vymezených míst nebo území, kam byl vstup zakázán v souvislosti s touto událostí nebo krizovým stavem, pokud je to nezbytné pro zajištění poskytování základní služby; subjekt kritické infrastruktury je oprávněn požádat o zprostředkování tohoto vstupu i pro svého kritického dodavatele, pokud je to nezbytné pro poskytování základní služby,
3. účinné od 19. 8. 2025c) za krizového stavu požádat u ministerstva, jiného ústředního správního úřadu nebo České národní banky o poskytnutí přednostního přístupu k základní službě poskytované jiným subjektem kritické infrastruktury, pokud je to nezbytné pro poskytování základní služby.

účinné od 19. 8. 2025(4) Subjekt evropské kritické infrastruktury je dále povinen ode dne doručení vyrozumění o označení kritickým subjektem zvláštního evropského významu

1. účinné od 19. 8. 2025a) poskytnout Evropské komisi, pokud o to požádá, prostřednictvím Ministerstva vnitra
   1. účinné od 19. 8. 20251. posouzení rizik subjektu kritické infrastruktury a
   2. účinné od 19. 8. 20252. seznam opatření přijatých k zajišťování své odolnosti,

1. účinné od 19. 8. 2025b) umožnit poradní misi Evropské komise přístup k nezbytným informacím souvisejícím s poskytováním jeho základní služby a ke kritické infrastruktuře a poskytnout jí nezbytnou součinnost a
2. účinné od 19. 8. 2025c) přijmout nápravné opatření ke zjištěným nedostatkům a doporučením poradní mise a informovat o jeho přijetí Evropskou komisi prostřednictvím Ministerstva vnitra.

účinné od 19. 8. 2025(5) Na subjekt kritické infrastruktury v odvětví bezpečnost se nevztahují povinnosti podle odstavce 1 písm. b) a odstavce 4.

účinné od 19. 8. 2025(6) Náležitosti a způsob zpracování plánu odolnosti a posouzení rizik subjektu kritické infrastruktury stanoví prováděcí právní předpis.

§ 15

účinné od 19. 8. 2025Opatření k zajištění odolnosti subjektu kritické infrastruktury

účinné od 19. 8. 2025(1) Subjekt kritické infrastruktury na základně posouzení rizik subjektu kritické infrastruktury přijímá technická, bezpečnostní a organizační opatření, a to v rozsahu opatření

1. účinné od 19. 8. 2025a) k řízení rizik,
2. účinné od 19. 8. 2025b) pro zajištění kontinuity činností,
3. účinné od 19. 8. 2025c) odezvy na incidenty,
4. účinné od 19. 8. 2025d) fyzické bezpečnosti,
5. účinné od 19. 8. 2025e) k řízení bezpečnosti pracovníků a
6. účinné od 19. 8. 2025f) k řízení bezpečnosti dodavatelského řetězce.

účinné od 19. 8. 2025(2) Obsah opatření k zajištění odolnosti subjektu kritické infrastruktury podle odstavce 1 stanoví prováděcí právní předpis.

§ 16

účinné od 19. 8. 2025Manažer kritické infrastruktury

účinné od 19. 8. 2025(1) Manažer kritické infrastruktury poskytuje součinnost Ministerstvu vnitra a ministerstvu nebo jinému ústřednímu správnímu úřadu při plnění povinností podle tohoto zákona a součinnost Evropské komisi při provádění poradní mise.

účinné od 19. 8. 2025(2) Manažerem kritické infrastruktury může být určena pouze osoba splňující podmínky pro výkon citlivé činnosti a požadavky odborné způsobilosti. Odborně způsobilou osobou se rozumí ten, kdo prokáže praxi v oblasti zajišťování bezpečnosti státu, ochrany obyvatelstva, krizového řízení, podnikové bezpečnosti nebo řízení kontinuity činností po dobu nejméně 3 let, nebo po dobu 1 roku v případě, že dosáhl vysokoškolského vzdělání.

účinné od 19. 8. 2025(3) Do doby určení manažera kritické infrastruktury plní jeho povinnosti vedoucí organizační složky státu, guvernér České národní banky, statutární orgán právnické osoby nebo v případě kolektivního statutárního orgánu právnické osoby jeho pověřený člen, anebo subjektem kritické infrastruktury určený pracovník.

účinné od 19. 8. 2025(4) Manažer kritické infrastruktury je přímo podřízen vedoucímu organizační složky státu, guvernérovi České národní banky, statutárnímu orgánu právnické osoby nebo v případě kolektivního statutárního orgánu právnické osoby jeho pověřenému členovi.

účinné od 19. 8. 2025(5) U subjektu kritické infrastruktury, který je osobou podrobenou jednotnému řízení podle zákona upravujícího obchodní korporace, může funkci manažera kritické infrastruktury vykonávat manažer kritické infrastruktury řídící osoby podle zákona upravujícího obchodní korporace, je-li řídící osoba zároveň subjektem kritické infrastruktury.

§ 17

účinné od 19. 8. 2025Ověřování spolehlivosti a citlivá činnost

účinné od 19. 8. 2025(1) Za účelem zajištění bezpečného poskytování základní služby, řízení bezpečnosti pracovníků a řízení bezpečnosti dodavatelského řetězce subjekt kritické infrastruktury ověřuje spolehlivost pracovníků, včetně osob ucházejících se o uzavření pracovněprávního vztahu, přijetí do služebního poměru nebo o uzavření obdobného vztahu.

účinné od 19. 8. 2025(2) Za účelem ověřování spolehlivosti podle odstavce 1 subjekt kritické infrastruktury

1. účinné od 19. 8. 2025a) vyžaduje od pracovníka podílejícího se na poskytování základní služby a osoby, která je pověřena přímým nebo vzdáleným přístupem do jeho prostor, k jeho informacím nebo do jeho kontrolních systémů, prokázání totožnosti a bezúhonnosti výpisem z rejstříku trestů a dále dokladem obdobným výpisu z rejstříku trestů vydaným státem, jehož je pracovník nebo pověřená osoba státním občanem, nejde-li o státního občana České republiky, nebo ve kterém se pracovník nebo pověřená osoba v posledních 3 letech zdržoval nepřetržitě déle než 3 měsíce, anebo výpisem z rejstříku trestů s přílohou obsahující informace, které jsou zapsané v evidenci trestů takového státu, a
2. účinné od 19. 8. 2025b) požaduje prokázání splnění podmínek pro výkon citlivé činnosti podle zákona o ochraně utajovaných informací od manažera kritické infrastruktury.

účinné od 19. 8. 2025(3) Výkon funkce manažera kritické infrastruktury je citlivou činností podle zákona o ochraně utajovaných informací.

§ 18

účinné od 19. 8. 2025(1) Subjekt kritické infrastruktury hlásí incident Ministerstvu vnitra prostřednictvím portálu kritické infrastruktury. Nelze-li k hlášení incidentu využít portál kritické infrastruktury, zašle subjekt kritické infrastruktury hlášení Národnímu operačnímu a informačnímu středisku⁴).

účinné od 19. 8. 2025(2) Hlášením incidentu podle odstavce 1 není dotčena informační nebo ohlašovací povinnost podle jiného právního předpisu⁵) nebo přímo použitelného předpisu Evropské unie³) a toto hlášení nenahrazuje tísňovou komunikaci.

účinné od 19. 8. 2025(3) Povinnost hlásit incidenty podle odstavce 1 začíná pro subjekt kritické infrastruktury platit 10 měsíců ode dne doručení rozhodnutí o zařazení na seznam subjektů kritické infrastruktury.

účinné od 19. 8. 2025(4) Ministerstvo vnitra předá bez zbytečného odkladu hlášení o incidentu ministerstvu nebo jinému ústřednímu správnímu úřadu. Ministerstvo nebo jiný ústřední správní úřad neprodleně po obdržení této informace poskytne subjektu kritické infrastruktury nezbytnou součinnost.

účinné od 19. 8. 2025(5) Ministerstvo vnitra bez zbytečného odkladu vyrozumí

1. účinné od 19. 8. 2025a) jednotná kontaktní místa ostatních dotčených členských států, pokud incident má nebo by mohl mít významný dopad na subjekt kritické infrastruktury a poskytování základní služby v těchto státech, a
2. účinné od 19. 8. 2025b) Evropskou komisi, pokud incident má nebo by mohl mít významný dopad na poskytování základní služby nejméně v 6 členských státech Evropské unie.

účinné od 19. 8. 2025(6) Je-li to ve veřejném zájmu, Ministerstvo vnitra v součinnosti s ministerstvem nebo jiným ústředním správním úřadem a subjektem kritické infrastruktury informuje o incidentu veřejnost. Informace zveřejněné podle tohoto odstavce nesmí obsahovat žádné skutečnosti, jejichž zveřejnění by ohrozilo bezpečnost subjektu kritické infrastruktury a činnosti související s řešením incidentu.

účinné od 19. 8. 2025(7) Ministerstvo vnitra v odůvodněných případech vyrozumí o incidentu hejtmana kraje, ve kterém k narušení poskytování základní služby došlo.

§ 19

účinné od 19. 8. 2025(1) Subjekt kritické infrastruktury ohlásí incident bez zbytečného odkladu po jeho zjištění. V hlášení incidentu uvede

1. účinné od 19. 8. 2025a) počet a podíl uživatelů zasažených narušením poskytované základní služby,
2. účinné od 19. 8. 2025b) dobu trvání narušení,
3. účinné od 19. 8. 2025c) území zasažené narušením a
4. účinné od 19. 8. 2025d) povahu, příčinu a možné důsledky incidentu, včetně informací nezbytných ke stanovení případného přeshraničního dopadu incidentu.

účinné od 19. 8. 2025(2) Pokud není subjekt kritické infrastruktury schopen zaslat hlášení podle odstavce 1 z důvodu řešení incidentu, ohlásí incident tak, že

1. účinné od 19. 8. 2025a) nejpozději do 24 hodin od vzniku incidentu zašle prvotní hlášení, které obsahuje informace nezbytné k řešení incidentu v rozsahu přiměřeném odstavci 1, a
2. účinné od 19. 8. 2025b) nejpozději do 1 měsíce ode dne předložení prvotního hlášení zašle závěrečnou zprávu obsahující veškeré informace podle odstavce 1.

účinné od 19. 8. 2025(3) V případě, že v době uvedené v odstavci 2 písm. b) incident stále trvá, předloží subjekt kritické infrastruktury v uvedené době zprávu o pokroku a poté předloží závěrečnou zprávu nejpozději do 1 měsíce po skončení incidentu.

účinné od 19. 8. 2025(4) Hlášení incidentu nesmí narušit činnost subjektu kritické infrastruktury vedoucí k odvrácení incidentu nebo jeho řešení.

účinné od 19. 8. 2025(5) Parametry incidentu, podrobnosti rozsahu hlášených informací podle odstavce 1 a způsob předávání informací o incidentu stanoví prováděcí právní předpis.