Kritická infrastruktura v ČR – nový zákon a povinnosti od roku 2025

Kritická infrastruktura je páteří fungování státu. Zahrnuje energetiku, dopravu, zdravotnictví, vodní hospodářství, digitální sítě, veřejnou správu, bankovnictví, potravinářství a další odvětví, jejichž narušení by mělo vážné dopady na bezpečnost, ekonomiku nebo život občanů.

V roce 2025 vstoupil v platnost zcela nový právní rámec – zákon č. 266/2025 Sb. o odolnosti subjektů kritické infrastruktury. Ten transponuje evropskou směrnici CER (2022/2557) a přináší výrazné změny oproti původní úpravě v krizovém zákoně. Vysvětlíme vám, co kritická infrastruktura znamená, kdo spadá pod novou povinnost a proč je důležité se připravit včas.

Nový zákon o kritické infrastruktuře

Zákon č. 266/2025 Sb. (účinný od 19. srpna 2025) přešel od ochrany jednotlivých prvků k ochraně celých subjektů, které poskytují základní služby. Místo „prvků kritické infrastruktury“ se nyní hovoří o subjektech kritické infrastruktury – tedy o organizacích, firmách nebo institucích, jejichž narušení by ohrozilo fungování státu nebo společnosti.

Zákon definuje základní služby ve 12 odvětvích:

1. Energetika
2. Doprava
3. Bankovnictví
4. Infrastruktura finančních trhů
5. Zdravotnictví
6. Pitná voda
7. Odpadní voda
8. Digitální infrastruktura
9. Veřejná správa
10. Vesmír
11. Výroba, zpracování a distribuce potravin
12. Bezpečnost

Subjekt se stává kritickým, pokud splňuje alespoň jedno kritérium významnosti – například počet ovlivněných uživatelů, ekonomický dopad, závislost jiných odvětví nebo geografický rozsah.

Ministerstvo vnitra rozhoduje o zařazení na seznam subjektů kritické infrastruktury.

Hlavní povinnosti subjektů kritické infrastruktury

Zařazení na seznam přináší několik povinností, které musí subjekt splnit ve lhůtách počítaných od doručení rozhodnutí o zařazení – posouzení rizik do 9 měsíců, plán odolnosti a určení manažera kritické infrastruktury do 10 měsíců:

• Vypracovat posouzení rizik (do 9 měsíců) a plán odolnosti (do 10 měsíců) – strategický dokument popisující kritickou infrastrukturu, vazby, nepřijatelná rizika, klíčové pracovníky, zdroje a dodavatele
• Zavést a udržovat opatření k zajištění odolnosti – technická, organizační i personální
• Určit manažera kritické infrastruktury – do 10 měsíců; musí splňovat podmínky pro výkon citlivé činnosti a odbornou praxi
• Hlásit incidenty Ministerstvu vnitra – prostřednictvím portálu kritické infrastruktury, a to od 10. měsíce po doručení rozhodnutí o zařazení
• Provádět prověřování zaměstnanců a dodavatelů (zejména u vysoce rizikových pozic a klíčových dodavatelů)
• Pravidelně aktualizovat posouzení rizik a plán odolnosti – nejméně jednou za 4 roky

Zákon zavádí také možnost kontrol ze strany státu, ukládání nápravných opatření a sankcí – pokuty mohou dosáhnout až stovek milionů korun za závažné porušení.

Proč je příprava na kritickou infrastrukturu nutná už nyní

Subjekty kritické infrastruktury čelí rostoucím hrozbám – kybernetickým útokům, sabotážím, extrémnímu počasí i dodavatelským výpadkům. Nový zákon posouvá důraz z reaktivní ochrany (krizové řízení) na proaktivní odolnost (resilience).

To znamená nejen technická opatření, ale i systematické řízení rizik, prověřování lidí a dodavatelů a pravidelné testování.

⚡ Pro firmy to představuje nejen povinnost, ale i příležitost.

Kvalitní systém odolnosti zvyšuje důvěru zákazníků, partnerů i investorů. Pomáhá předcházet výpadkům a minimalizovat škody. Naopak nesoulad s novými požadavky může vést k vysokým pokutám, reputační újmě nebo dokonce omezení činnosti.

Odolnost kritické infrastruktury je priorita

Zákon č. 266/2025 Sb. přinesl do České republiky moderní rámec pro ochranu a odolnost kritické infrastruktury. Subjekty, které spadají do režimu, mají omezený čas na splnění povinností – posouzení rizik, plán odolnosti, prověřování personálu a dodavatelů nebo hlášení incidentů.

Příprava vyžaduje kombinaci technických, organizačních a personálních opatření.

Pokud provozujete firmu nebo instituci v jednom z klíčových odvětví nebo očekáváte zařazení na seznam subjektů kritické infrastruktury, je nejvyšší čas jednat. Systém odolnosti není jen o splnění papírových požadavků – je o skutečné ochraně fungování vaší organizace i celé společnosti v době rostoucích hrozeb.