Zákon o kybernetické bezpečnosti (264/2025 Sb.) a hosting: co musí splnit provozovatel webu?

Stručná odpověď pro české firmy, které mohou spadat pod nový zákon, a přehled toho, co má váš hosting reálně poskytnout a co zůstává vaší odpovědností.

Stručná odpověď

  1. 1Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, je účinný od 1. listopadu 2025 a do českého práva přenáší směrnici NIS2.
  2. 2Povinným subjektem je vaše organizace jako poskytovatel regulované služby, nikoli hostingový dodavatel: opatření a hlášení zůstávají na vás.
  3. 3Regulovanou službou se služba stává rozhodnutím Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB); kdo podmínky splní, musí službu ohlásit do 60 dnů (§ 6).
  4. 4Incident hlásíte podle § 16 ve třech krocích: předběžně do 24 hodin po zjištění, podrobněji do 72 hodin a závěrečnou zprávou do 30 dnů od předložení oznámení.
  5. 5Od hostingu potřebujete doložitelné podklady: logy, zálohy s ověřeným obnovením, ochranu proti DDoS, zpracovatelskou smlouvu a lidi, kteří pomohou při incidentu.

Legislativa: co říká zákon č. 264/2025 Sb.

Zákon o kybernetické bezpečnosti nahrazuje dřívější právní úpravu a je účinný od 1. listopadu 2025. Rozlišuje režim vyšších a nižších povinností podle významu poskytovatele a svěřuje dohled NÚKIB. Regulovanou službou je podle § 3 služba, o které tak rozhodl úřad.

Bezpečnostní opatření v režimu vyšších povinností (§ 14) zahrnují organizační i technická opatření: systém řízení bezpečnosti informací, požadavky na vrcholné vedení, řízení dodavatelů, řešení incidentů, řízení přístupů, zaznamenávání a detekci událostí nebo kryptografii. Definice v § 2 výslovně popisují i službu cloud computingu a službu datového centra. Znění zákona: zakonyprolidi.cz.

Zákon neukládá hostingovému dodavateli plnit vaše povinnosti. Vy ale musíte řídit rizika i v dodavatelském řetězci, tedy vědět, co vám dodavatel doloží. Zda konkrétně vaše služba spadá do regulace, posuďte s právníkem nebo přímo s NÚKIB.

Co po hostingu chtít

  • Centralizované logy s okamžitým přístupem, základ pro předběžnou zprávu do 24 hodin.
  • Denní zálohy a otestované obnovení.
  • Ochranu proti DDoS na síťové úrovni a možnost WAF na úrovni aplikace.
  • Zpracovatelskou smlouvu podle čl. 28 GDPR a jasné umístění dat v EU.
  • Lidi, kteří pomohou při incidentu a při přípravě hlášení.

Tři typické české situace

  • E-shop z Brna: potřebuje umět odhalit útok o víkendu a mít podklady pro předběžnou zprávu do 24 hodin.
  • Softwarová firma z Prahy, která provozuje SaaS pro zákazníky v regulaci: zákazníci budou požadovat důkazy o zálohách a řízení přístupů jako součást dodavatelského řetězce.
  • Soukromá klinika v Ostravě s pacientským portálem: vedení musí opatření chápat a schvalovat, ne jen delegovat na externího správce.

Časté chyby

  • Předpoklad, že „certifikovaný hosting“ za vás splní zákon. Soulad je vaše věc, dodavatel vám dává nástroje a data.
  • Chybějící centralizované logy. Bez nich je předběžná zpráva do 24 hodin téměř nesplnitelná.
  • Zálohy, ze kterých se nikdy neobnovovalo. Netestovaná záloha není opatření.
  • Bezpečnost delegovaná jen na IT. Zákon počítá i s požadavky na vrcholné vedení a řízení dodavatelů.
  • Nezjištěný stav ohlašovací povinnosti: 60denní lhůta běží od splnění podmínek, ne od upozornění úřadu.

Jak pomáhá 4hosting

4hosting je „hosting s DevOps v ceně“: od cPanel Advanced výše a u všech VPS, dedikovaných i GPU serverů jsou součástí balíčku měsíční hodiny DevOps, kybernetické bezpečnosti a programování, které si vyžádáte z klientského panelu. Můžeme s nimi nastavit centralizované logy (Grafana, Prometheus, Loki), alerting, WAF s pravidly OWASP, hardening serverů a kontejnerů a zálohy odolné proti ransomwaru.

Ochrana proti DDoS na úrovni L3/L4 je v ceně. Servery jsou v EU, ve Frankfurtu, nikoli v Česku. Pracujeme podle GDPR se zpracovatelskou smlouvou a držíme se principů ISO 27001 (soulad, nikoli certifikát).

Důležité: 4hosting není certifikační orgán a váš soulad se zákonem nepotvrzuje. Povinným subjektem i odpovědností za hlášení zůstáváte vy.

Otázky a odpovědi

Převezme 4hosting mé povinnosti podle zákona o kybernetické bezpečnosti?

Ne. Povinným subjektem zůstává vaše organizace. 4hosting není certifikační orgán a váš soulad se zákonem nepotvrzuje; poskytuje infrastrukturu a technické služby, které vám pomohou opatření splnit.

Kde jsou servery fyzicky?

V datovém centru v EU, ve Frankfurtu, nikoli v Česku. Data zůstávají v Evropské unii a k dispozici je zpracovatelská smlouva podle čl. 28 GDPR.

Jaké jsou lhůty při hlášení incidentu?

Podle § 16 zákona předběžná zpráva bez zbytečného odkladu, nejpozději do 24 hodin po zjištění, podrobnější oznámení do 72 hodin a závěrečná zpráva do 30 dnů od předložení oznámení. Komu a v jakém režimu hlásíte, závisí na tom, zda jste v režimu vyšších, nebo nižších povinností.

Viz také