Klíčové nařízení vlády o kritické infrastruktuře je účinné – co přináší?

V červnu jsme vás informovali o novém zákoně č. 266/2025 Sb., o odolnosti subjektů kritické infrastruktury, a jeho dopadech na distributory léčivých přípravků. Upozorňovali jsme, že bez prováděcího nařízení vlády nelze jednoznačně určit okruh dotčených subjektů. Nyní je situace jiná: nařízení vlády č. 127/2026 Sb. o základních službách a kritériích významnosti nabylo účinnosti 18. července 2026. Regulace je tak plně aplikovatelná a dotčené subjekty by měly bezodkladně zahájit kroky k dosažení souladu.

Co nařízení vlády přináší

Nařízení stanoví dvě klíčové věci: (1) základní služby v jednotlivých odvětvích a pododvětvích a (2) kritéria významnosti (primárně technické nebo jiné exaktní parametry) pro zařazení poskytovatele základní služby na seznam subjektů kritické infrastruktury. Pokud subjekt poskytuje některou ze základních služeb a zároveň naplní kritérium významnosti, vzniká mu povinnost poskytnout zákonem stanovené informace příslušnému gestorovi a Ministerstvu vnitra.

Distributoři léčiv – potvrzení očekávaných kritérií

Poskytovatelem základní služby v odvětví zdravotnictví je držitel povolení k distribuci léčivých přípravků vydaného Státním ústavem pro kontrolu léčiv (SÚKL), který:

• není mikropodnikem, malým podnikem nebo středním podnikem (ve smyslu Doporučení Komise 2003/361/ES)
• v posledním kalendářním roce fyzicky dodával léčivé přípravky osobám uvedeným v § 77 odst. 1 písm. c) zákona o léčivech (tj. lékárnám a dalším oprávněným subjektům), s výjimkou distributorů léčiv, prodejců vyhrazených léčivých přípravků a provozovatelů oprávněných k výdeji podle § 82 odst. 2 písm. e) zákona o léčivech, pokud jde o radiofarmaka
• za účelem dodávání léčivých přípravků tyto obstarával a skladoval s využitím vlastní skladovací nebo přepravní infrastruktury

Kritéria jsou tedy zacílena na velké distributory, kteří provádějí fyzickou distribuci léčiv a disponují vlastní logistickou infrastrukturou nezbytnou pro zásobování trhu.

Co regulace pokrývá kromě distribuce léčiv – přehled dalších odvětví

Zákon o kritické infrastruktuře a Nařízení dopadají na celkem 12 odvětví, přičemž každé z nich zahrnuje jedno nebo více pododvětví se specifickými základními službami a kritérii významnosti. Stručný přehled:

Jaké jsou aktuální lhůty a praktické kroky

1. Sebeidentifikace a poskytnutí informací

Podle zákona o kritické infrastruktuře je poskytovatel základní služby povinen poskytnout nezbytné informace příslušnému gestorovi (v případě distribuce léčiv Ministerstvu zdravotnictví) a Ministerstvu vnitra, a to do 3 měsíců ode dne zahájení poskytování základní služby, nebo do 1 měsíce ode dne, kdy k tomu byl vyzván. Metodika Ministerstva vnitra nicméně uvádí, že by subjekty měly poskytnout nezbytné informace bez zbytečného odkladu po nabytí účinnosti nařízení vlády.

Informace se budou poskytovat prostřednictvím Portálu kritické infrastruktury. Portál bude centrálním elektronickým rozhraním pro plnění informačních povinností podle zákona o kritické infrastruktuře. S ohledem na dokončování portálu jsou dotčené subjekty na jeho úvodní stránce žádány, aby s podáním informací vyčkaly do jeho zprovoznění, které se předpokládá na konci července 2026.

2. Nezbytné informace, které je třeba poskytnout

Poskytovatel základní služby předá následující údaje:

• identifikační údaje;
• poskytovaná základní služba podle Nařízení;
• odvětví a pododvětví;
• naplnění alespoň jednoho kritéria významnosti;
• informace o tom, že jeho kritická infrastruktura se nachází na území České republiky;
• informace o základní službě poskytované na území jiného členského státu EU.

Úplný výčet kritické infrastruktury není nutno uvádět, její bližší identifikace bude předmětem navazujícího procesu.

3. Co následuje po zařazení na seznam – hlavní povinnosti subjektu kritické infrastruktury

Po doručení rozhodnutí Ministerstva vnitra o zařazení na (neveřejný) seznam subjektů kritické infrastruktury začínají běžet lhůty pro plnění dalších povinností. Zákon zavádí ucelený soubor povinností, zejména:

• Informační povinnosti – průběžně poskytovat informace o základní službě, kritické infrastruktuře, kritických pracovnících a dodavatelích;
• Posouzení rizik (do 9 měsíců) – identifikace a analýza rizik, která by mohla vést k incidentu (aktualizace nejméně jednou za 4 roky);
• Plán odolnosti (do 10 měsíců) – dokument stanovující technická, bezpečnostní a organizační opatření (aktualizace nejméně jednou za 4 roky);
• Opatření k zajištění odolnosti – řízení rizik, kontinuita činností, odezva na incidenty, fyzická bezpečnost, řízení bezpečnosti pracovníků a dodavatelského řetězce;
• Manažer kritické infrastruktury (do 10 měsíců) – určená osoba splňující podmínky pro výkon citlivé činnosti podle zákona č. 412/2005 Sb., o ochraně utajovaných informací (bezpečnostní způsobilost ověřovaná Národním bezpečnostním úřadem), a odborná praxe min. 3 roky, resp. 1 rok s VŠ vzděláním;
• Hlášení incidentů (od 10. měsíce) – bez zbytečného odkladu, v případě řešení incidentu prvotní hlášení do 24 hodin a závěrečná zpráva do 1 měsíce;
• Účast na cvičeních – k ověření odolnosti, nejvýše jednou za tři roky.

Závěr

Nařízení proměnilo zákon o kritické infrastruktuře z rámcového předpisu v plně aplikovatelnou regulaci. Pro distributory léčiv, kteří naplňují kritéria významnosti, to znamená jediné – čas na přípravu již běží. Prvním krokem je sebeidentifikace a poskytnutí nezbytných informací. Následovat bude zařazení na seznam subjektů kritické infrastruktury a povinnost v řádu měsíců zpracovat posouzení rizik, plán odolnosti a určit manažera kritické infrastruktury.

Regulace se přitom zdaleka netýká jen zdravotnictví. Jak ukazuje přehled výše, nový systém kritické infrastruktury dopadá na 12 odvětví – od energetiky a dopravy přes bankovnictví a digitální infrastrukturu až po výrobu a distribuci potravin. Pro všechny subjekty v regulovaných odvětvích je proto klíčové včas vyhodnotit, zda spadají do působnosti nové regulace.