Nařízení 127/2026 Sb.: nová pravidla pro kritickou infrastrukturu

Víte, jestli vaše firma poskytuje základní službu a stala se subjektem kritické infrastruktury? Od července 2026 to lze konečně určit přesně, protože dlouho chybějící prováděcí předpis je na světě. Přečtěte si, co nařízení 127/2026 přináší, jaké prahové hodnoty stanovuje a jaké povinnosti z něj plynou.

Stručné shrnutí

Nařízení vlády č. 127/2026 Sb. je prováděcím předpisem k zákonu o kritické infrastruktuře. Určuje základní služby ve dvanácti odvětvích a stanovuje konkrétní kritéria významnosti, podle kterých se poskytovatel zařazuje na seznam subjektů kritické infrastruktury. Firma, která poskytuje základní službu a zároveň naplní alespoň jedno kritérium významnosti, má informační povinnost vůči státu. Nařízení nabylo účinnosti 18. července 2026 a zároveň zrušilo dosavadní úpravu z roku 2010.

Co je nařízení 127/2026 a proč vzniklo?

Nařízení vlády č. 127/2026 Sb. je předpis, na který dlouho čekaly stovky českých firem i úřadů. Bez něj totiž nebylo možné jednoznačně určit, kdo vlastně pod nová pravidla kritické infrastruktury spadá. 

Nařízení bylo vydáno 13. července 2026 a upravuje dvě věci, tedy základní služby v jednotlivých odvětvích a pododvětvích a kritéria významnosti pro zařazení poskytovatele základní služby na seznam subjektů kritické infrastruktury.

Vztah k zákonu o kritické infrastruktuře 266/2025 Sb.

Nařízení nestojí samostatně. Vláda jej vydala podle paragrafu 29 odstavce 1 zákona č. 266/2025 Sb., o odolnosti subjektů kritické infrastruktury, kterému se zkráceně říká zákon o kritické infrastruktuře.

Zákon nabyl účinnosti již v srpnu 2025, uváděl ale pouze odvětví, ve kterých poskytovatelé působí. Chyběl konkrétní výčet služeb i měřitelné hranice, podle kterých by si firma mohla ověřit, zda pod regulaci spadá. 

Ministerstvo vnitra samo uvedlo, že bez účinného nařízení vlády nelze jednoznačně určit okruh dotčených služeb ani rozsah požadovaných informací. Firmy tak měly zákonnou povinnost, ale bez potřebných podkladů.

Celý systém má navíc evropský základ. Nařízení navazuje na nařízení Komise v přenesené pravomoci (EU) 2023/2450, které doplňuje směrnici (EU) 2022/2557 stanovením seznamu základních služeb. Jde tedy o obdobný vztah, jaký má český zákon o kybernetické bezpečnosti ke směrnici NIS2.

Od kdy nařízení platí

Nařízení nabylo účinnosti dnem následujícím po dni jeho vyhlášení, tedy 18. července 2026. Od tohoto data je možné určit okruh povinných subjektů závazně a přesně.

Zásadní je, že nařízení zároveň zrušilo dosavadní nařízení vlády č. 432/2010 Sb., o kritériích pro určení prvku kritické infrastruktury, včetně všech jeho pozdějších novel z let 2014, 2020 a 2022. 

Nejde tedy o doplnění staré úpravy, ale o její kompletní nahrazení. Systém kritické infrastruktury se tím překlápí do nové podoby a doplňuje o nové subjekty tak, aby odpovídal aktuální bezpečnostní situaci.

Co jsou základní služby podle nařízení 127/2026

Základní služba je taková služba, jejíž narušení by mělo zásadní dopad na chod státu, hospodářství, bezpečnost, veřejné zdraví nebo životní prostředí. Nařízení tyto služby konkrétně vyjmenovává v příloze, aby si každý poskytovatel mohl ověřit, zda se v seznamu nachází.

Odvětví a pododvětví, kterých se to týká

Příloha nařízení rozlišuje dvanáct odvětví, z nichž některá se dále dělí na pododvětví.

• energetika, a to elektřina, dálkové vytápění a chlazení, ropa, plyn a vodík
• doprava, a to letecká, železniční, vodní, silniční a veřejná přeprava
• bankovnictví
• infrastruktura finančních trhů
• zdravotnictví
• pitná voda
• odpadní voda
• digitální infrastruktura
• veřejná správa
• vesmír
• výroba, zpracování a distribuce potravin
• bezpečnost, a to požární ochrana, vnitřní pořádek, státní hmotné rezervy a hydrometeorologická výstražná služba

V každém odvětví jsou pojmenovány konkrétní služby. U energetiky jde například o dodávky elektřiny, provozování distribuční soustavy nebo skladování ropy, u zdravotnictví o akutní lůžkovou péči, zdravotnickou záchrannou službu nebo distribuci léčivých přípravků.

Kritéria významnosti a jak fungují

Samotné poskytování základní služby k zařazení nestačí. Poskytovatel musí zároveň naplnit alespoň jedno kritérium významnosti stanovené pro danou službu.

Kritéria nejsou vágní ani obecná. Jsou postavena buď na držení konkrétní licence či oprávnění, nebo na měřitelné prahové hodnotě, případně na kombinaci obojího. 

Nařízení tím opustilo dřívější průřezová kritéria a nahradilo je jasnými čísly, díky nimž si firma dokáže postavení ověřit sama.

Tabulka uvádí jen vybrané hodnoty pro orientaci. Rozhoduje vždy konkrétní znění přílohy nařízení, protože u řady služeb je kritérium složené z několika podmínek nebo variant.

Jak zjistíte, jestli jste subjektem kritické infrastruktury

Ověření je poměrně přímočaré, pokud znáte obě podmínky. Postupuje se ve dvou krocích, které musí platit současně.

Dvě podmínky, které musíte splnit současně

První podmínkou je nalezení vlastní služby v seznamu základních služeb v příloze nařízení. Druhou je naplnění alespoň jednoho kritéria významnosti stanoveného pro tuto službu.

Pokud se poskytovatel najde mezi poskytovateli uvedených základních služeb a zároveň naplní alespoň jedno z kritérií významnosti, plyne mu podle paragrafu 9 zákona o kritické infrastruktuře povinnost poskytnout ve stanovené lhůtě informace. Teprve splnění obou podmínek zakládá povinnost.

Princip se podobá tomu, jak funguje kybernetický zákon, kde je klíčové posoudit, co je regulovaná služba a zda ji firma poskytuje. Jde ovšem o dva samostatné předpisy s vlastní terminologií, které nelze zaměňovat.

Portál kritické infrastruktury a informační povinnost

Informace se státu nepředávají volnou formou. Poskytovatelé je předávají prostřednictvím Portálu kritické infrastruktury, který slouží jako centrální elektronické místo pro plnění informačních povinností podle zákona. Jeho spuštění bylo předpokládáno na konec července 2026.

Na základě poskytnutých informací rozhoduje Ministerstvo vnitra o zařazení na seznam subjektů kritické infrastruktury. Podle přechodných ustanovení mělo ministerstvo poprvé rozhodnout do 17. července 2026, a to u poskytovatelů, kteří informace poskytli do 1. března 2026.

Jaké povinnosti ze zařazení plynou

Zařazení na seznam subjektů kritické infrastruktury není jen formální označení. Váže se k němu soubor konkrétních povinností, které upravuje zákon a navazující vyhláška.

Plán odolnosti a posouzení rizik podle vyhlášky 122/2026 Sb.

Klíčovým prováděcím předpisem pro samotné povinnosti je vyhláška č. 122/2026 Sb., o plánu odolnosti, posouzení rizik, opatřeních k zajištění odolnosti subjektů kritické infrastruktury a o hlášení incidentu.

Z jejího názvu je patrné, na čem systém stojí. Subjekt musí zpracovat posouzení rizik, na jeho základě přijmout opatření k zajištění odolnosti a vše promítnout do plánu odolnosti. Logika je stejná jako u jiných bezpečnostních regulací, tedy nejprve poznat rizika a teprve pak zavádět opatření.

Důležité je nezaměňovat plán odolnosti podle zákona o kritické infrastruktuře s dokumentací podle kybernetického zákona. Jde o odlišné dokumenty s odlišnými požadavky a odlišným gestorem.

Hlášení incidentů a kontrola

Součástí povinností je také hlášení incidentů, jehož podrobnosti upravuje tatáž vyhláška.

Nejde přitom o povinnosti bez následků. Zákon zavádí možnost provádět kontroly subjektů kritické infrastruktury, ukládat nápravná opatření a případně i sankce za porušení povinností. Odpovědnost subjektů za vlastní bezpečnost tím výrazně roste.

Kritická infrastruktura a kybernetický zákon

V praxi vzniká největší zmatek právě zde. Firmy si často pletou zákon o kritické infrastruktuře se zákonem o kybernetické bezpečnosti, protože obě úpravy vznikly krátce po sobě, obě vycházejí z evropských předpisů a obě mluví o odolnosti a rizicích.

V čem se ZOKI a ZoKB liší a kdy platí obojí?

Zákon o kritické infrastruktuře, zkráceně ZOKI, se zaměřuje na celkovou odolnost subjektu, tedy i na fyzickou bezpečnost, kontinuitu provozu a ochranu před hrozbami různého charakteru. Vychází z evropské směrnice CER, jeho gestorem je Ministerstvo vnitra a klíčovým pojmem je základní služba.

Zákon o kybernetické bezpečnosti, tedy ZoKB, se soustředí výhradně na kybernetickou bezpečnost. Vychází ze směrnice NIS2, jeho gestorem je NÚKIB a klíčovým pojmem je regulovaná služba. Prováděcím předpisem pro menší subjekty je vyhláška 410/2025 Sb.

Zásadní je vědět, že jeden subjekt může spadat pod oba předpisy současně. Zařazení mezi subjekty kritické infrastruktury nijak neruší povinnosti podle kybernetického zákona a naopak. Každý předpis je proto potřeba posoudit samostatně a stejně tak samostatně provést i samoidentifikaci podle NIS2.

Řízení kybernetických rizik a plán bezpečnostních opatření podle ZoKB

Pokud firma spadá pod kybernetický zákon, čekají ji vlastní povinnosti. Jejich základem je řízení kybernetických rizik, tedy proces, ve kterém firma zmapuje svá aktiva, identifikuje hrozby, ohodnotí je a rozhodne, jak s nimi naloží.

Z tohoto posouzení pak vzniká plán bezpečnostních opatření, který určuje, která opatření firma zavede, v jakém rozsahu, kdo za ně odpovídá a do kdy budou hotová.

Firmy v nižším režimu zavádějí třináct bezpečnostních opatření podle vyhlášky 410/2025 Sb., z nichž pět je neopominutelných a musí být zavedeno vždy. Konkrétní rozsah povinností se přitom liší podle toho, do jakého režimu povinností firma spadá.

Právě s touto částí pomáhá Compligen. Online průvodce se vás srozumitelně ptá na to, jak vaše firma funguje, z odpovědí vyhodnotí, kde máte oproti vyhlášce mezery, a sestaví plán nápravy i kompletní dokumentaci na míru.

Závěr

Nařízení vlády č. 127/2026 Sb. je prováděcí předpis k zákonu o kritické infrastruktuře, který od 18. července 2026 určuje základní služby ve dvanácti odvětvích a stanovuje ke každé z nich konkrétní kritéria významnosti. 

Firma se stává subjektem kritické infrastruktury tehdy, když poskytuje některou ze základních služeb a zároveň naplní alespoň jedno kritérium významnosti. Z toho jí plyne informační povinnost přes Portál kritické infrastruktury a následně povinnosti dané vyhláškou 122/2026 Sb. 

Nařízení zároveň nahradilo dosavadní úpravu z roku 2010, takže celý systém se překlápí do nové podoby. Povinnosti podle zákona o kybernetické bezpečnosti tím ale nezanikají a je nutné je posoudit samostatně, s čímž vám pomůže Compligen.