Koho se týká, jak se připravit a kdy je nutné začít plnit povinnosti
Se začátkem nového roku přichází nové výzvy, nejen ve světě businessu, ale i ve světě právním. Jednou z nich je zákon o kritické infrastruktuře, který zcela mění dosavadní přístup k ochraně klíčových služeb a činností, na nichž závisí fungování společnosti, ekonomiky i veřejné správy. Přestože se na první pohled může zdát, že se zákon týká jen úzkého okruhu „strategických“ subjektů, jeho dopady budou v praxi podstatně širší.
O co se jedná?
Zákon o kritické infrastruktuře implementuje do českého právního řádu evropskou směrnici o odolnosti kritických subjektů[1], známou pod zkratkou CER. Jeho hlavním cílem je posílit odolnost širšího okruhu tuzemských organizací tak, aby byly schopny předcházet narušením, zvládat krizové situace a rychle obnovit provoz. Zákon reaguje na moderní spektrum rizik – od kybernetických incidentů a cílených útoků, přes výpadky služeb, až po klimatické a technologické hrozby, které mohou zásadně ohrozit fungování státu i každodenní život obyvatel.
Zákon tak cílí na zabezpečení odolnosti tzv. základních služeb, a to nejenom z pohledu extrémně závažných katastrofických stavů ohrožujících lidský život a zdraví, ale i relativně méně závažných krizových situací, kdy je ohrožena „pouze“ dostupnost dané služby (potažmo produktu). Důraz je z tohoto pohledu kladen zejména na schopnost organizací předcházet narušením, zvládat krizové situace a případně být připraven co nejrychleji obnovit provoz jejich služeb.
Koho se zákon týká?
Zákon se vztahuje na tzv. subjekty kritické infrastruktury, které působí v určitém odvětví a zároveň splní kritérium významnosti. Jakkoliv přesný okruh těchto odvětví a kritéria významnosti stanoví až bedlivě očekávané nařízení vlády, je již dnes ze znění zákona jisté, že zasáhne tato odvětví:
- energetika,
- doprava,
- vodní hospodářství,
- zdravotnictví,
- digitální infrastruktura,
- finanční služby,
- vybrané oblasti veřejné správy a průmyslu
Společnosti z těchto odvětví by se proto měly již dnes začít připravovat na splnění rozsáhlých povinností, tak aby se ze splnění zákonných požadavků nestala jenom další administrativní zátěž spojená s neefektivním vynakládáním finančních prostředků, činěná jen pro forma pod hrozbou placení citelných pokut. Kvalitní začlenění pravidel zákona o kritické infrastruktuře totiž představuje unikátní příležitost k posílení provozní odolnosti společnosti a optimalizaci vnitřních procesů, což může dokonce již v krátkodobém časovém horizontu představovat významné úspory a výhodu oproti konkurenci.
Na jaké povinnosti se připravit?
Kritické subjekty budou muset zejména:
- provádět hodnocení rizik, která mohou ohrozit poskytování základních služeb,
- zpracovat plán odolnosti, jenž stanoví preventivní a reakční opatření,
- jmenovat manažera kritické infrastruktury s požadovanou kvalifikací a bezpečnostní prověrkou,
- zavést organizační, technická a provozní opatření ke zvýšení odolnosti,
- oznamovat závažné incidenty příslušným orgánům,
- spolupracovat se státními orgány při kontrolách a hodnocení
Od kdy je potřeba začít plnit povinnosti?
Poskytovatel základní služby, který nejpozději k 30. listopadu 2025 zahájí poskytování základní služby, je povinen ministerstvu anebo jinému příslušnému ústřednímu správnímu úřadu nebo České národní bance poprvé poskytnout informace do 1. března 2026. Ministerstvo přitom poprvé rozhodne o zařazení na seznam subjektů kritické infrastruktury do 17. července 2026.
I přesto, že dosud nebylo vydáno prováděcí nařízení vlády, přesně stanovující okruh poskytovatelů základních služeb, rozhodněnení vhodné s přípravami na splnění povinností – vzhledem k rozsahu regulace – otálet. Není totiž jasné, v jakém termínu k tomuto vydání dojde, a v případě, že by se tak stalo v nejbližších dnech či týdnech, může být ze strany zákonodárce požadováno dodržení březnového termínu pro splnění informační povinnosti.
Zákon totiž počítá s velmi citelnými sankcemi. Za nesplnění povinnosti informovat o poskytování základní služby anebo za nepřijetí opatření k zajištění odolnosti hrozí pokuta až do výše 25 000 000 Kč anebo do 0,3 % čistého ročního obratu, v závislosti na tom, která z částek je vyšší.
Co si tedy z článku odnést?
Nový zákon o kritické infrastruktuře přináší rozsáhlé povinnosti, ale zároveň představuje i příležitost ke zvýšení provozní odolnosti a efektivity řízení organizace. Včasná a správná příprava je klíčová, nejen s ohledem na hrozící sankce, ale i kvůli hrozícím praktickým rizikům. Nelze zanedbávat ani blížící se termín povinnosti poskytnout informace o poskytování základní služby, který je stanoven k 1. březnu 2026.
Naše advokátní kancelář má rozsáhlé zkušenosti s komplexní právní podporou při posouzení dopadů zákona a nastavení povinností, jelikož se právním poradenstvím v oblasti kritické infrastruktury a zajištění bezpečnosti dlouhodobě zabývá a pomáhá s implementací celé řadě společností, včetně největších hráčů na trhu. Rádi s Vámi vše individuálně probereme a pomůžeme Vám najít to nejvhodnější řešení pro Vaši společnost.
[1] směrnice Evropského parlamentu a Rady (EU) 2022/2557 ze dne 14. prosince 2022
