NIS2 pro obce a veřejnou správu: koho se týká a co musí splnit
Nový zákon o kybernetické bezpečnosti (ZoKB, č. 264/2025 Sb.) dopadá i na veřejnou správu. Konkrétně na každou obec s rozšířenou působností a městské části Praha 1 až 22, bez ohledu na velikost úřadu.
Kdo: 205 obcí s rozšířenou působností a městské části Praha 1–22 · režim nižších povinností · velikost úřadu nerozhoduje
S Compligenem vytvoříte povinnou dokumentaci k ZoKB kompletně online, za jedno odpoledne.
30+ firem a obcí už vytvořilo dokumentaci s Compligenemjednorázově 29 900 Kč bez DPH
U obcí rozhoduje jediná podmínka
Vykonáváte rozšířenou působnost
- Obec s rozšířenou působností (ORP) – v ČR jich je 205
- Městská část Praha 1 až Praha 22
Zařazení určuje přímo příloha vyhlášky č. 408/2025 Sb., regulovaná služba se jmenuje Výkon svěřených pravomocí. Seznam ORP je daný zákonem, úřad svůj status zná.
Máte na úřadě 20 lidí? Nerozhoduje. Obec se za podnik nepovažuje (§ 7 písm. b) zákona), kritérium 50 zaměstnanců se na ni nevztahuje. Spadá každá ORP, i ta nejmenší.
Jste ORP nebo městská část Praha 1–22 → spadáte.
Jste poskytovatelem regulované služby Výkon svěřených pravomocí. Režim určuje typ instituce, ne velikost:
- Obec s rozšířenou působností – nižší režim, bez ohledu na počet zaměstnanců
- Městská část Praha 1–22 – nižší režim
- Kraj a hlavní město Praha – vyšší režim, se širší sadou povinností: pro kraje Compligen nestačí, přečtěte si proč
Ohlašujete jedinou službu, ne každou agendu ani informační systém zvlášť. V nižším režimu jsou vedle obcí i správní úřady s územní působností, profesní komory a vysoké školy, povinnosti mají stejné.
- Dokdy:
- 60 dní na ohlášení NÚKIBu, do roka opatření a dokumentace
- Co:
- sadu dokumentace a související procesy – v nižším režimu 13 opatření, detail ve FAQ
- Kdo:
- vyplní informatik nebo asistentka – přizvete je přímo v průvodci, vy jen zkontrolujete a podepíšete
- Pokuta:
- až 175 mil. Kč
Vaše obec rozšířenou působnost nemá → pod veřejnou správu nespadáte.
Zákon přes veřejnou správu reguluje jen obce s rozšířenou působností, ne všech zhruba 6 000 obcí v ČR. Obecní úřad I. a II. typu povinnou dokumentaci k ZoKB řešit nemusí.Pozor ale na organizace, které obec zřizuje. Technické služby, vodárny nebo teplárny mají vlastní IČO a posuzují se zvlášť jako firmy, podle své činnosti a velikosti.
Nevíte si rady → ověřte si to.
- Jste město, ale ne ORP – přes veřejnou správu nespadáte; rozhoduje rozšířená působnost, ne velikost ani titul města
- Jste městská část statutárního města mimo Prahu – nejste samostatná povinná osoba, spadáte pod své město
- Obec zřizuje příspěvkové organizace nebo městské firmy – každá se posuzuje samostatně, přes vlastní odvětví a velikost
Orientační vyhodnocení. Závazně rozhoduje NÚKIB rozhodnutím o registraci.
Šablony dokumentace k vyhlášce 410/2025 Sb. zdarma
Stáhněte si šablony dokumentace pro nižší režim ZoKB (NIS2). V balíčku je 20+ dokumentů včetně bezpečnostních politik a přehledu opatření. K tomu dotazník pro dodavatele. Můžete je používat a upravovat pro vlastní potřebu.
Upozorňujeme, že k řádnému vyplnění šablon potřebujete znalost vyhlášky 410/2025 Sb., zákona 264/2025 Sb. a násobně více času než s průvodcem Compligen.
Jedna regulovaná služba, režim podle typu úřadu
Příloha vyhlášky č. 408/2025 Sb. vymezuje pro veřejnou správu jedinou službu: Výkon svěřených pravomocí. O režimu nerozhoduje velikost podniku jako u firem, každý typ instituce je v příloze zařazen napevno.
- Režim
- nižší
- Režim
- nižší
- Režim
- nižší
- Režim
- nižší
- Režim
- vyšší
- Režim
- vyšší
Obce bez rozšířené působnosti v příloze nejsou a pod službu Výkon svěřených pravomocí nespadají. Rozsah povinností se u obce váže na výkon svěřených pravomocí; aktiva, která s ním nesouvisejí, lze s odůvodněním ze stanoveného rozsahu vyjmout.
Kraje a hlavní město Praha zařadila příloha do režimu vyšších povinností. Vyšší režim znamená širší sadu opatření a přísnější sankční strop, až do výše 250 000 000 Kč. Compligen pokrývá nižší režim, pro kraj proto nestačí. Co obnáší režim vyšších povinností
Technické služby, vodárny, teplárny nebo dopravní podnik zřizované městem mají vlastní IČO a posuzují se samostatně. Pod zákon nespadají s obcí, ale podle vlastní činnosti – odpady, voda, teplo – a podle velikosti podniku. Obec se přitom za podnik nepovažuje, takže se velikost městské firmy o úřad nenavyšuje ani nesčítá s dalšími organizacemi města. Střední a velké městské firmy si spadání ověří na odvětvových stránkách: nakládání s odpady, vodárenství, teplárenství.
Vyhláška č. 410/2025 Sb. míří několika povinnostmi přímo na vrcholné vedení, u obce tedy na starostu a radu (§ 4):
- Určit osobu pověřenou kyberbezpečností – nemusí to být IT expert, NÚKIB nabízí bezplatný e-learning na osveta.nukib.gov.cz
- Absolvovat školení kyberbezpečnosti a zajistit zdroje podle přehledu bezpečnostních opatření
- Stanovit prioritu obnovy primárních aktiv, tedy klíčových služeb a informací úřadu, a seznamovat se se stavem plnění opatření
Obec s rozšířenou působností, 11 tisíc obyvatel, 60 zaměstnanců na úřadě: agendy vede v systémech od externího dodavatele, vlastního informatika má jednoho. Pod zákon spadá bez ohledu na velikost, v nižším režimu; do 60 dnů od splnění podmínek se ohlásí NÚKIBu a po registraci má rok na zavedení 13 opatření a přípravu dokumentace. Požadavky na bezpečnost promítne do smlouvy s IT dodavatelem, centrální státní systémy jako datové schránky neřeší, tam je jen uživatelem.
Fiktivní příklad, žádná reálná obec.
Časté otázky starostů a tajemníků
Jsme malá ORP, na úřadě je nás třicet. Opravdu spadáme?
Ano. U veřejné správy se velikost neposuzuje, obec se za podnik nepovažuje (§ 7 písm. b) zákona č. 264/2025 Sb.). Pod zákon spadá každá z 205 obcí s rozšířenou působností, bez ohledu na počet zaměstnanců i rozpočet. Rozsah opatření se ale přiměřenosti drží: metodika NÚKIB pro obce rozlišuje opatření neopominutelná a opatření, jejichž míru zavedení úřad vyhodnotí podle svých podmínek.
Naše obec není ORP. Týká se nás zákon?
Přes veřejnou správu ne. Zákon reguluje jen obce s rozšířenou působností a městské části Praha 1–22, ne všech zhruba 6 000 obcí. Pozor jen na organizace, které obec zřizuje: technické služby nebo vodárna se posuzují zvlášť, podle vlastní činnosti a velikosti.
Máme technické služby a vodárnu. Spadají s námi?
Ne, posuzují se samostatně. Mají vlastní IČO a pod zákon spadají přes svoje odvětví – odpady, voda, teplo – pokud jsou zároveň středním nebo velkým podnikem. Velikost se přitom nesčítá: obec není podnik, takže se ukazatele úřadu a městských firem nespojují. Jestli vaše technické služby spadají, zjistí na odvětvové stránce pro nakládání s odpady.
IT nám spravuje externí firma. Můžeme povinnosti splnit přes ni?
Ano, zákon s tím počítá. Pokud bezpečnostní opatření zavádíte přes dodavatele, vybíráte ho v souladu s požadavky vyhlášky a požadavky na bezpečnost zahrnete do smlouvy (§ 13 odst. 5 zákona č. 264/2025 Sb.). Přesně k tomu slouží dokumentace: součástí sady jsou i požadavky na dodavatele, které do smlouvy převezmete. Odpovědnost za plnění ale zůstává na obci, na dodavatele se přenést nedá.
Musíme řešit datové schránky, základní registry a další státní systémy?
Ne. Centrálně spravované informační systémy, které obec používá ze zákona, zabezpečuje jejich správce, obec je v pozici uživatele a požadavky na obsah smluv se u nich neuplatní. Na vaší straně zůstává jediné: zajistit, aby k nim vaši uživatelé nepřistupovali neoprávněně.
Kdo to má na úřadě dělat? Nemáme bezpečnostního specialistu.
Vedení určí osobu pověřenou kyberbezpečností, tak zní jedno z opatření. Nemusí to být IT expert: NÚKIB pro pověřené osoby nabízí bezplatný e-learning na osveta.nukib.gov.cz. V praxi menších úřadů roli přebírá informatik nebo tajemník ve spolupráci s vedením; podpořit ji můžete i externí službou. Dokumentaci k opatřením přitom nemusí psát nikdo z nich. Tu připraví průvodce.
Musíme zabezpečit úplně všechny systémy úřadu?
Ne. Rozsah se váže na regulovanou službu, tedy výkon svěřených pravomocí v přenesené i samostatné působnosti; oporou je Registr práv a povinností, kde jsou agendy obce evidovány. Aktiva, která s výkonem svěřených pravomocí nesouvisejí, může obec s řádným odůvodněním ze stanoveného rozsahu vyjmout (§ 12 odst. 2 písm. b) zákona č. 264/2025 Sb.).
Jaké lhůty musíme stihnout?
Pro obce platí stejné lhůty jako pro firmy; většina ORP se přitom se zákonem o kybernetické bezpečnosti potkává poprvé. Službu ohlásíte NÚKIBu do 60 dnů ode dne, kdy splníte podmínky (§ 6 odst. 1 zákona č. 264/2025 Sb.). Do 30 dnů od doručení rozhodnutí o registraci nahlásíte kontaktní a doplňující údaje (§ 11 odst. 1), pozdější změny hlásíte do 14 dnů. Do 1 roku od doručení rozhodnutí o registraci začnete plnit bezpečnostní opatření, včetně připravené dokumentace (§ 13 odst. 4).
Co všechno musíme zavést?
Pro obec platí stejný rámec nižšího režimu jako pro firmy, a to je dobrá zpráva: přehled bezpečnostních opatření podle vyhlášky je přesně to, co úřad potřebuje. Nižší režim znamená 13 bezpečnostních opatření (§ 14 odst. 2 zákona č. 264/2025 Sb.) a dokumentaci k nim, od bezpečnostní politiky přes řízení přístupů, zálohy a školení zaměstnanců až po řešení incidentů. Praktický popis všech třinácti najdete na blogu.
Co riskuje starosta, když obec povinnosti nesplní?
I pro obec platí plný sankční strop: za nesplnění povinností hrozí v nižším režimu pokuta až do výše 175 000 000 Kč (§ 59 odst. 4 písm. b) zákona č. 264/2025 Sb.). Povinnosti vrcholného vedení přitom míří přímo na starostu a radu obce (§ 4 vyhlášky č. 410/2025 Sb.): školení, pověřená osoba, zdroje a průběžné seznamování se stavem. Na informatika ani na externího správce IT se přenést nedají. Dokumentaci, kterou zákon vyžaduje, přitom vytvoříte za jedno odpoledne.
Kolik stojí dokumentace s Compligenem?
Kompletní dokumentace vás vyjde jednorázově na 29 900 Kč bez DPH. Žádné předplatné ani měsíční poplatky. Zaplatíte jednou a dokumenty jsou vaše. Příprava NIS2 dokumentace s konzultantem vyjde obvykle na 80–200 tisíc Kč. Když se později změní legislativa, aktualizaci pro vás připravíme od 9 900 Kč.
Uzná dokumentaci NÚKIB?
Pro obec platí stejná dokumentace jako pro firmu, žádná zvláštní úřední verze neexistuje. Dokumentace je strukturovaná podle vyhlášky 410/2025 Sb. a vychází z metodik NÚKIB. Compligen není auditní služba ani garance souladu – dostanete ale dokumentaci zpracovanou podle náležitostí, které vyhláška pro nižší režim předepisuje. Vygenerované dokumenty si vždy ověřujte sami nebo s odborníkem: taková kontrola je pojistka, ne druhá zakázka. Formální posouzení shody zůstává na regulátorovi.
Dokumentaci za vás připraví Compligen. Za jedno odpoledne.
Odpovídáte na otázky o svém úřadu, Compligen vytvoří kompletní dokumentaci za vás. Jak to celé funguje, najdete na hlavní stránce.
Dokumentace podle zákona o kybernetické bezpečnosti.
Všech 13 opatření pro obce s rozšířenou působností v nižším režimu.
Platíte, až když víte, za co. 29 900 Kč bez DPH, jednorázově.