V návaznosti na přijetí zákona č. 266/2025 Sb., o odolnosti subjektů kritické infrastruktury (dále jen „Zákon o kritické infrastruktuře“), přichází 1. srpna 2026 v účinnost i prováděcí vyhláška, která upravuje podrobnosti pro zajištění odolnosti těchto subjektů. Bez vydání této prováděcí vyhlášky totiž není možné aplikovat některé instituty tohoto zákona, které předpokládají bližší vymezení.
Vyhláška upravuje náležitosti plánu odolnosti, který nahrazuje dosavadní plány krizové připravenosti podle Zákona o kritické infrastruktuře. Tento dokument se má skládat z informační, operativní a pomocné části. V informační části subjekty kritické infrastruktury popíší postupy pro identifikaci své kritické infrastruktury a funkčních vazeb, uvedou seznam kritických pracovníků a dodavatelů a budou evidovat zdroje nezbytné k zajištění služeb. Operativní část má obsahovat přehled nepřijatelných rizik, způsob jejich řízení a plány komunikace pro případ řešení incidentů. Pomocná část shrne zásady manipulace s dokumentem a poskytne přehled aplikovaných technických norem a právních předpisů. Vypracování plánu odolnosti předchází posouzení rizik, u kterého lze podpůrně vycházet z normy ČSN ISO 31000.
Vyhláška dále specifikuje obsah opatření, která musí subjekty přijímat k zajištění své odolnosti podle § 15 Zákona o kritické infrastruktuře. Patří sem primárně opatření pro zajištění kontinuity činností, která vyžadují zachování nebo obnovení poskytování základní služby. Pozornost je věnována fyzické bezpečnosti, jež zahrnuje stanovení bezpečnostních perimetrů a zavádění adekvátních technických či režimových opatření k ochraně objektů, jako jsou poplachové systémy, dohledové video systémy nebo systémy kontroly vstupu. Upravuje se také řízení bezpečnosti pracovníků, včetně postupů pro ověřování spolehlivosti určených osob a rozvoje jejich bezpečnostního povědomí. V neposlední řadě je zavedena sada úkonů pro řízení bezpečnosti dodavatelského řetězce v jejichž rámci jsou subjekty povinny evidovat kritické dodavatele a realizovat opatření snižující rizika s nimi spojená.
Vyhláška rovněž nastavuje parametry pro situace, kdy dojde k narušení poskytování základní služby. Nežádoucí událost je kvalifikována jako incident ve chvíli, kdy dosáhne prahové hodnoty 35 % úrovně významnosti dopadů. Pro výpočet této hodnoty se využívá vzorec zohledňující kritéria s přidělenou váhou, kterými jsou odhadovaný počet zasažených osob, velikost zasaženého území, délka trvání, přeshraniční vliv či ekonomické dopady. Tyto incidenty budou subjekty povinně hlásit Ministerstvu vnitra prostřednictvím portálu kritické infrastruktury. Proces hlášení je koncipován fázovitě, což v praxi znamená, že subjekt je nejprve povinen odeslat prvotní hlášení s popisem dostupných informací do 24 hodin od zaznamenání incidentu. U déletrvajících incidentů, které přesáhnou délku 1 měsíce, je zavedena povinnost periodicky předkládat zprávy o pokroku, jež aktualizují informace o vývoji řešení a nově zjištěných skutečnostech. Proces je následně završen odevzdáním konečné závěrečné zprávy s celkovým vyhodnocením, jež musí být zaslána nejpozději do jednoho měsíce po definitivním vyřešení situace.
Celý Legal Update 08/2026 ke stažení zde.