Nový zákon o kybernetické bezpečnosti: dopady pro obce a školy – II. část

Pokračování: rozšíření osobní působnosti a nové postavení obcí a škol

Pokračujíc v předchozí analýze, nový zákon o kybernetické bezpečnosti (zákon č. 264/2025 Sb.) významně mění dosavadní koncepci regulace. Důvodová zpráva upozorňuje, že dosavadní režim plně nepokrýval některé základní územně samosprávné celky, zejména obce s rozšířenou působností, které byly explicitně vyňaty z působnosti předchozí právní úpravy. Směrnice NIS 2 však umožňuje členským státům rozšířit regulaci i na veřejnou správu na regionální úrovni, pokud to vyžaduje národní bezpečnost a kontinuita výkonu veřejné moci. Český zákonodárce této možnosti využil, a to v reakci na opakované incidenty, jež v posledních letech paralyzovaly činnost některých obcí a jejich agend.

Zatímco vyšší úrovně veřejné správy již byly povinnými osobami, u obcí a škol jde o výrazný kvalitativní posun. Důvodová zpráva explicitně uvádí, že rozšíření regulace je motivováno rostoucí digitalizací veřejné správy a vysokou závislostí na IT službách, která již nepostihuje jen velké orgány státní správy. I relativně „malý“ incident — například znepřístupnění elektronické spisové služby, žákovské knížky či portálu občana — může zásadně narušit výkon veřejných úkolů. Nový zákon proto zavádí povinnosti, jejichž cílem je minimalizovat riziko takových narušení.

Zásadní novinkou je, že regulace se nyní vztahuje nejen na jednotlivé informační systémy, ale na služby jako celek. Dosavadní právní úprava pracovala s pojmem „významný informační systém“, zatímco nový zákon přechází na koncept „regulované služby“, jejichž vymezení vychází z rozsahu činnosti poskytovatele (§ 3 až § 7 zákona). Obce a školy se tak stávají povinnými osobami právě proto, že jejich služby představují veřejný zájem, jehož narušení může mít dopady na občany či žáky.

Odborný článek uvádíme pouze ve zkráceném znění. Celý článek nabízíme ke čtení zde: Nový zákon o kybernetické bezpečnosti: dopady pro obce a školy – II. část