Kritická infrastruktura má nový portál. Stát bude mít k dispozici informace o subjektech zajišťujících základní služby

Nový systém kritické infrastruktury dostává další důležitou součást. Ve Sbírce zákonů byla 30. září 2026 vyhlášena vyhláška č. 178/2026 Sb., o portálu kritické infrastruktury. Od 1. října stanovuje formu a způsob zpracování informací, dat, údajů a evidencí vkládaných do portálu a technické a organizační podmínky jeho používání. Pro subjekty kritické infrastruktury tak stanovuje pravidla, podle nichž budou prostřednictvím portálu plnit část svých zákonných informačních a ohlašovacích povinností.

Kritickou infrastrukturou se podle zákona č. 266/2025 Sb. rozumí aktivum, zařízení, vybavení, síť nebo systém nebo jejich část, které jsou nezbytné pro poskytování základní služby. Základní službou je služba nezbytná pro zachování základních funkcí státu, poskytování základních potřeb obyvatelstva, hospodářských činností, bezpečnosti, veřejného zdraví nebo životního prostředí, pokud je poskytována v odvětví nebo pododvětví uvedeném v příloze zákona. Subjektem kritické infrastruktury je poskytovatel základní služby, jehož kritická infrastruktura se nachází na území České republiky a který byl zařazen na seznam subjektů kritické infrastruktury.

Vyhláška Ministerstva vnitra č. 178/2026 Sb. (podklady k návrhy vyhlášky ZDE) navazuje na zákon č. 266/2025 Sb., o odolnosti subjektů kritické infrastruktury. Jejím předmětem je forma a způsob zpracování informací, dat, údajů a evidencí vkládaných do portálu kritické infrastruktury a technické a organizační podmínky jeho používání.

Portál jako součást systému kritické infrastruktury

Portál kritické infrastruktury je podle zákona součástí informačního systému krizového řízení a slouží k plnění povinností poskytovatelů základní služby a subjektů kritické infrastruktury a k vedení nezbytných informací, dat, údajů a evidencí podle zákona. Informace obsažené v portálu užívají ministerstva, jiné ústřední správní úřady nebo Česká národní banka v rozsahu nezbytném pro výkon jejich působnosti podle zákona.

Zákon současně přesně vymezuje další oprávněné uživatele. Informace obsažené v portálu dále užívají zpravodajské služby České republiky za účelem výkonu jejich působnosti podle jiných právních předpisů, Ministerstvo průmyslu a obchodu za účelem výkonu své působnosti podle zákona upravujícího oblast prověřování zahraničních investic a hejtman kraje a krajský úřad v rozsahu nezbytném pro výkon jejich působnosti podle krizového zákona.

Význam vyhlášky spočívá v převedení zákonných požadavků na používání portálu do konkrétních pravidel. Přístup do portálu se uskutečňuje prostřednictvím informačního systému krizového řízení na základě autentizace oprávněného uživatele. Informace v rozsahu stanoveném zákonem vkládá do portálu oprávněný uživatel. Portál umožňuje také poskytovat součinnost správci a dalším oprávněným uživatelům a hlásit incidenty podle zákona o kritické infrastruktuře.

Každý uživatel má vlastní oprávnění

Vyhláška upravuje také oprávněné osoby, které za oprávněného uživatele do portálu vkládají informace nebo jeho prostřednictvím jednají. Přístupová oprávnění musí být individuální, nepřenosná a jedinečná pro každou oprávněnou osobu.

Při oznámení oprávněné osoby se uvádí její jméno a příjmení, datum narození, role při využívání portálu, telefonní číslo a adresa elektronické pošty. Přístup má být umožněn pouze v rozsahu nezbytném pro výkon oprávnění nebo plnění svěřených úkolů. Pokud se okruh oprávněných osob změní, musí oprávněný uživatel odpovídajícím způsobem aktualizovat také přístupová oprávnění.

Vyhláška současně stanovuje pravidla pro podobu předávaných informací. Informace se do portálu vkládají ve strukturované elektronické podobě prostřednictvím uživatelského rozhraní. Dokumentace nebo jiné materiály se vkládají ve formátu PDF, DOCX, XLSX, PNG nebo JPG. Za správnost, úplnost a aktuálnost informací, dokumentace nebo materiálů vložených oprávněnou osobou odpovídá oprávněný uživatel.

Povinnosti vyplývají především ze zákona

Důležité je rozlišit, které povinnosti stanovuje samotná vyhláška a které už ukládá zákon č. 266/2025 Sb. Vyhláška č. 178/2026 Sb. upravuje používání portálu a způsob zpracování informací, které se do něj vkládají. Povinnosti týkající se poskytování informací, posouzení rizik, plánu odolnosti, opatření k zajištění odolnosti nebo hlášení incidentů vyplývají ze zákona o kritické infrastruktuře a z dalších prováděcích předpisů.

Poskytovatel základní služby musí pro účely rozhodnutí o zařazení na seznam subjektů kritické infrastruktury poskytovat informace o poskytované základní službě, naplnění kritéria významnosti, své kritické infrastruktuře a případně o poskytování základní služby v jiném členském státě Evropské unie. Tyto informace poskytuje prostřednictvím portálu kritické infrastruktury.

Po zařazení na seznam subjektů kritické infrastruktury přibývají další povinnosti. Subjekt musí poskytovat informace o poskytované základní službě, kritické infrastruktuře, kritických pracovnících a kritických dodavatelích. Zákon mu ukládá také zpracovat posouzení rizik a plán odolnosti, přijímat opatření k zajištění odolnosti, hlásit incidenty, účastnit se cvičení a využívat portál kritické infrastruktury.

U posouzení rizik zákon stanovuje lhůtu devíti měsíců od doručení rozhodnutí o zařazení na seznam subjektů kritické infrastruktury. Plán odolnosti musí být zpracován do deseti měsíců od doručení tohoto rozhodnutí. Posouzení rizik i plán odolnosti se následně aktualizují nejméně jednou za čtyři roky.

Portál nahrazuje klasické plnění vybraných povinností

Zákon přiznává údajům vloženým do portálu také konkrétní právní účinek. Vložení informací, dat, údajů nebo evidencí stanovených zákonem do portálu se považuje za splnění příslušné informační nebo ohlašovací povinnosti.

Pokud portál nelze využít, předávají se informace prostřednictvím datové schránky. Pokud nelze využít ani tento náhradní způsob, zákon stanovuje možnost předání prostřednictvím poskytovatele poštovních služeb.

Stejný režim se uplatňuje při hlášení incidentů. Subjekt kritické infrastruktury hlásí incident Ministerstvu vnitra prostřednictvím portálu. Zákon přitom stanovuje rozsah informací, které má hlášení obsahovat, včetně údajů o počtu a podílu zasažených uživatelů, době trvání narušení, zasaženém území a povaze, příčině a možných důsledcích incidentu. Pokud není možné podat úplné hlášení, zákon počítá s prvotním hlášením a následným doplněním informací.

Nová pravidla už platí

Vyhláška č. 178/2026 Sb. nabyla účinnosti 1. října 2026. Od tohoto data tak existuje konkrétní právní rámec pro používání portálu kritické infrastruktury, který zákon č. 266/2025 Sb. určil jako součást informačního systému krizového řízení.

Nová vyhláška sama nestanovuje, které podniky nebo organizace se stanou subjekty kritické infrastruktury. Tento režim vychází ze zákona č. 266/2025 Sb. a z dalších právních předpisů, které vymezují základní služby a kritéria významnosti. Vyhláška č. 178/2026 Sb. následně stanovuje pravidla pro elektronické prostředí, v němž dotčené subjekty plní stanovené informační a ohlašovací povinnosti.