Článek
Od 1. srpna 2026 platí nový zákon o kritické infrastruktuře, který výrazně rozšiřuje okruh firem, jež stát považuje za klíčové pro chod společnosti. Nově se týká dopravních podniků, železnice, nemocnic, potravinářů i finančního sektoru. Dotčené firmy čekají investice v řádu milionů korun a část těchto nákladů se podle mého názoru dříve či později promítne do cen pro spotřebitele.
Když se řekne kritická infrastruktura, většina lidí si představí elektrárny, rozvodné sítě nebo vodárny. Nová legislativa, kterou Česko přijalo jako transpozici evropské směrnice, ale tento pohled zásadně mění. Okruh chráněných subjektů se oproti dnešnímu stavu výrazně rozšiřuje a přibývají oblasti jako potravinářství a dodávky potravin, zdravotnictví, doprava, včetně městské hromadné a železniční, komunikační systémy i finanční trh.
V praxi to znamená, že mezi dotčené firmy mohou patřit i subjekty, u nichž by to široká veřejnost na první pohled nečekala. Setkávám se s tím ve své práci denně. Zákon může dopadnout třeba na zemědělce s velkochovem nad 45 tisíc kusů prasat nebo na větší výrobce mléka. Některé organizace se o chystaných povinnostech dozvěděly už během legislativního procesu, definitivní jistotu však mají teprve nyní, kdy vláda schválila finální znění.
Nejde jen o kyberbezpečnost
Častým omylem je představa, že jde o další kybernetický předpis, který vyřeší IT oddělení. Kybernetická bezpečnost je přitom jen jednou částí požadavků. Zákon míří i na fyzickou bezpečnost, tedy na kamerové systémy a zabezpečení objektů, a dále na vnitropodnikové procesy, včetně personálního zajištění nepřetržitého provozu.
Firmy musí zavést krizové řízení, jmenovat krizového manažera, průběžně vyhodnocovat rizika a mít připravené postupy reakce na incidenty i plány kontinuity služby pro případ blackoutu nebo jiné krize. Opatření přitom nejsou plošná ani univerzální. Liší se podle sektoru i podnik od podniku, podle toho, jak má daná firma nastavené procesy a jak má rozmístěné své provozy. To je z mého pohledu dobře, protože jednotná šablona by v tak různorodém prostředí nefungovala. Zároveň to ale znamená, že se příprava nedá odbýt nákupem jednoho hotového řešení.
Milionové investice, které v součtu dají miliardy
Splnění nových povinností nebude levné. U většího subjektu, jako je dopravní podnik, očekávám investice v řádu vyšších jednotek milionů korun na zavedení opatření a následně minimálně statisíce korun ročně na provoz a údržbu. Protože do nových povinností bude muset investovat stovky firem, jde v součtu o řádově miliardy korun, které poputují do zabezpečení.
Tady se dostávám k tomu, co by mělo zajímat každého z nás. Vzhledem k objemu investic se část nákladů může promítnout do koncových cen, ať už jde o jízdné, potraviny nebo další služby. Neříkám to jako výtku vůči zákonu. Odolnost klíčových služeb má svou hodnotu a poslední roky nám ukázaly, jak drahé může být, když selže. Jen považuji za poctivé říct nahlas, že bezpečnost není zadarmo a že účet nakonec zaplatí spotřebitel.
Kdo se nepřihlásí sám, riskuje pokutu
Některé z největších dotčených organizací už s předstihem obdržely od ministerstva vnitra oznámení o svém zařazení. Ostatní mají povinnost se samoidentifikovat. Na to bych chtěl upozornit zvlášť, protože právě tady vidím největší riziko. Řada firem vůbec netuší, že se jich zákon týká, a čeká, že jim někdo napíše. Ignorování povinnosti samoidentifikace se přitom podle legislativy považuje za přestupek, za který hrozí pokuta až 25 milionů korun.
Cvičení pod dohledem úředníků
Zákon přináší ještě jednu novinku, na kterou české firmy nejsou zvyklé. Nestačí mít krizové postupy jen na papíře. Jedním ze způsobů ověření připravenosti je cvičení podle krizového scénáře, jehož zadání určí ministerstvo vnitra. Organizace bude muset scénář názorně předvést za provozu, a to za účasti úředníků ministerstva, kteří se na průběh přijdou podívat. Cvičení proběhne maximálně jednou za rok a firma na ně dostane upozornění tři měsíce dopředu.
Z mé zkušenosti je právě tohle moment, kdy se ukáže rozdíl mezi firmou, která krizové řízení skutečně žije, a firmou, která si nechala napsat směrnici do šuplíku. Tři měsíce na přípravu zní jako dost času, ale pokud podnik začíná od nuly, je to velmi málo.
Osm měsíců, které rozhodnou
Nový zákon nevnímám jako další zbytečnou regulaci. Rozšíření kritické infrastruktury o dopravu, potraviny nebo zdravotnictví dává v dnešní bezpečnostní situaci smysl. Co mě znepokojuje, je časový tlak a malé povědomí mezi firmami, kterých se to nově týká. Doporučuji každému podniku v dotčených sektorech, aby si co nejdříve ověřil, zda spadá do působnosti zákona, a začal s analýzou rizik dřív, než mu přijde pozvánka na cvičení. Kdo to odloží, bude platit dvakrát. Jednou za opatření a podruhé za spěch.
