Zvednout telefon nebo ještě čekat? Stát nastavuje jasná pravidla pro kritickou infrastrukturu

Ministerstvo vnitra předkládá návrh prováděcí vyhlášky k zákonu o kritické infrastruktuře, která zásadním způsobem rozpracovává nové pojetí ochrany a odolnosti klíčových subjektů státu. Dokument konkretizuje povinnosti v oblasti plánování odolnosti, řízení rizik, zavádění ochranných opatření i hlášení incidentů a nyní míří do připomínkového řízení. Právě v této fázi mají dotčené subjekty jedinečnou možnost ovlivnit jeho finální podobu.
Navrhovaná vyhláška provádí zmocňovací ustanovení zákona č. 266/2025 Sb., o kritické infrastruktuře, kterým Česká republika transponovala směrnici Evropského parlamentu a Rady (EU) 2022/2557 o odolnosti kritických subjektů. Zákon i navazující prováděcí úprava představují výrazný posun oproti dosavadnímu pojetí ochrany kritické infrastruktury, které bylo založeno především na krizové připravenosti. Nový přístup klade důraz na systematické posilování odolnosti, prevenci, schopnost zvládat narušení a především na zachování kontinuity poskytování základních služeb nezbytných pro fungování státu, ekonomiky a společnosti.
Vyhláška se soustředí na tři klíčové oblasti, bez jejichž detailní úpravy by nebylo možné některé instituty zákona v praxi plnohodnotně uplatňovat. První z nich je plán odolnosti a posouzení rizik subjektu kritické infrastruktury. Plán odolnosti je koncipován jako základní strategický dokument, který komplexně popisuje kritickou infrastrukturu daného subjektu, její vazby, nepřijatelná rizika, klíčové pracovníky, nezbytné zdroje i dodavatelské vztahy a stanovuje způsob, jakým jsou tato rizika řízena. Zároveň plně nahrazuje dosavadní plán krizové připravenosti podle krizového zákona a lépe odpovídá modernímu pojetí řízení kontinuity a odolnosti. Posouzení rizik pak představuje analytický podklad, na jehož základě subjekt identifikuje hrozby, hodnotí jejich pravděpodobnost a dopady a rozhoduje o tom, která rizika jsou již nepřijatelná a vyžadují přijetí konkrétních opatření.
Druhou oblastí je vymezení obsahu opatření k zajištění odolnosti subjektů kritické infrastruktury. Vyhláška zde rozpracovává zákonnou povinnost přijímat opatření v oblasti řízení rizik, zajištění kontinuity činností, odezvy na incidenty, fyzické bezpečnosti, bezpečnosti pracovníků a bezpečnosti dodavatelského řetězce. Cílem není zavádět jednotná, direktivní řešení, ale stanovit rámec minimální očekávané úrovně odolnosti, který umožní každému subjektu nastavit konkrétní postupy s ohledem na vlastní rizikový profil, velikost, sektor a charakter poskytovaných služeb. Návrh přitom vychází z mezinárodně uznávaných technických norem v oblasti business continuity managementu, které jsou pro řadu organizací již dnes běžnou součástí vnitřních procesů.
Třetí část vyhlášky se věnuje incidentům a jejich hlášení. Stanovuje, jaké události mají být považovány za incidenty podléhající oznamovací povinnosti, jaký je rozsah hlášených informací a jakým způsobem mají být Ministerstvu vnitra předávány. Počítá se s formulářovým hlášením prostřednictvím portálu kritické infrastruktury, přičemž právní úprava reflektuje realitu krizových situací a umožňuje postupné doplňování informací formou zpráv o pokroku a závěrečného vyhodnocení incidentu. Samotná úprava portálu bude řešena samostatnou vyhláškou.
Typicky jde o události, při nichž dojde k významnému omezení nebo přerušení základní služby, ať už v důsledku technické poruchy, selhání klíčového zařízení, výpadku energií, narušení dodavatelského řetězce nebo lidského pochybení. Incidentem může být i situace, kdy služba formálně běží, ale v rozsahu nebo kvalitě, která už ohrožuje její účel například výrazné snížení kapacity, dlouhodobá nedostupnost části infrastruktury nebo ztráta schopnosti reagovat na poptávku.
Do oznamovaných situací spadají také fyzické bezpečnostní události, jako je neoprávněný vstup do chráněného objektu, poškození kritické infrastruktury, sabotáž nebo krádež zařízení, pokud mají nebo mohou mít dopad na poskytování základní služby. Stejně tak sem patří mimořádné události způsobené přírodními vlivy, například povodně, požáry, extrémní počasí či sesuvy, pokud naruší funkčnost klíčových prvků infrastruktury.
Významnou skupinou jsou i incidenty vyplývající ze selhání lidí nebo organizace, tedy nedostatek klíčových pracovníků, jejich náhlá nedostupnost, chybná rozhodnutí v krizové situaci nebo nezvládnutá reakce na již probíhající událost. Nové pojetí odolnosti totiž počítá s tím, že incidentem není jen samotná událost, ale i neschopnost subjektu se s ní včas a účinně vypořádat.
Důležité je, že návrh pracuje s pojmem nežádoucí události, která se incidentem stává ve chvíli, kdy dosáhne stanovené prahové hodnoty dopadu. Jinými slovy nejde jen o to, co se stalo, ale jaký to má skutečný nebo potenciální vliv na základní službu. Právě tato hranice má být nově předem vyhodnocena v rámci posouzení rizik, aby v krizové chvíli nevznikaly pochybnosti, zda už má organizace hlásit, nebo ještě vyčkávat.
Navrhovaná vyhláška má nabýt účinnosti k 1. dubnu 2026, tedy v relativně krátkém časovém horizontu po nabytí účinnosti zákona o kritické infrastruktuře. Právě proto je aktuální fáze přípravy mimořádně důležitá. Subjekty kritické infrastruktury, orgány veřejné správy, profesní svazy i další dotčení aktéři mají nyní příležitost posoudit, zda navržená pravidla odpovídají reálným provozním podmínkám, administrativním kapacitám a rizikům v jednotlivých sektorech, a případně upozornit na praktické problémy či navrhnout úpravy, které přispějí k efektivní a smysluplné implementaci.
Připomínkové je klíčovým nástrojem pro nastavení funkčního systému odolnosti kritické infrastruktury. Aktivní zapojení relevantních subjektů může významně přispět k tomu, aby výsledná vyhláška nebyla vnímána pouze jako další regulatorní a zatěžující administrativní povinnost, ale jako nástroj, který skutečně posílí připravenost, stabilitu a bezpečnost základních služeb v České republice.
Dokument ke stažení:






























