KYBERNETICKÁ BEZPEČNOST A KRITICKÁ INFRASTRUKTURA – přijato nařízení vlády o základních službách a kritériích významnosti

Jedná se o prováděcí právní předpis k zákonu č. 266/2025 Sb., o odolnosti subjektů kritické infrastruktury a o změně souvisejících zákonů („zákon o kritické infrastruktuře“), který má ovšem zásadní význam i pro působnost zákona č. 264/2025 Sb., o kybernetické bezpečnosti („nový zákon o kybernetické bezpečnosti“). 

Podle § 5 písm. d) nového zákona o kybernetické bezpečnosti totiž splňují podmínky pro registraci dle nového zákona o kybernetické bezpečnosti mimo jiné i služby poskytované subjekty kritické infrastruktury podle právního předpisu upravujícího krizové řízení a kritickou infrastrukturu.

Platí tedy, že pro případný závěr o tom, zda se na Vaši organizaci vztahuje či nevztahuje nový zákon o kybernetické bezpečnosti je třeba vyhodnotit nejen kritéria stanovená novým zákonem o kybernetické bezpečnosti a jeho prováděcí vyhláškou o regulovaných službách, ale také zákonem o kritické infrastruktuře a jeho nově přijatým prováděcím nařízením vlády o základních službách a kritériích významnosti.

Finální znění nařízení vlády o základních službách a kritériích významnosti je klíčové mimo jiné i pro naše klienty, kteří disponují povolením k distribuci léčivých přípravků. Původní návrh nařízení vlády o základních službách a kritériích významnosti totiž zakládal působnost nového zákona o kybernetické bezpečnosti a zákona o kritické infrastruktuře pro všechny držitele povolení k distribuci léčivých přípravků vydaného Státním ústavem pro kontrolu léčiv, kteří jsou velkým podnikem, a to bez jakéhokoli dalšího rozlišení v jakém rozsahu či jakým způsobem je takové distribuční oprávnění realizováno.

S ohledem na to, že naplnění definice velkého podniku se má posuzovat dle doporučení Evropské komise 2003/361/ES v rámci skupiny jako celku (tj. je třeba hodnotit relevantní kritéria i ve vztahu ke všem propojeným či partnerským podniků ve skupině), tak původně navrhované znění nařízení potenciálně zakládalo působnost zákona o kritické infrastruktuře, a v návaznosti na to (dodatečně) i nového zákona o kybernetické bezpečnosti u řady farmaceutických společností ​na českém trhu, aniž by jejich činnost bylo možné ve smyslu obou uvedených zákonů bez dalšího považovat za stěžejní pro zajištění zásobování trhu v České republice léčivými přípravky.

Na tento důsledek rovněž směřovaly některé připomínky zejm. Hospodářské komory a Svazu průmyslu a dopravy ČR, které byly nakonec akceptovány, a regulace kritické infrastruktury a v návaznosti na to i kybernetické bezpečnosti se tedy bude týkat jen těch držitelů povolení k distribuci, kteří za účelem dodávání léčivých přípravků tyto obstarávají a skladují s využitím vlastní skladovací nebo přepravní infrastruktury.

Dle důvodové zprávy nařízení o základních službách byla kritéria nakonec zvolena tak, aby subjekty kritické infrastruktury byly pouze takové subjekty, jejichž činnost je stěžejní pro zajištění zásobování trhu v České republice léčivými přípravky, přičemž toto zásobování provádí s využitím vlastní skladovací nebo přepravní kapacity. Tímto vymezením dochází k zacílení právní úpravy na subjekty, které fakticky provádí distribuci léčivých přípravků.

Úplné vymezení kritérií významnosti pro základní službu distribuce léčivých přípravků, která jsou rozhodná pro posouzení, zda má být společnost určena jako subjekt kritické infrastruktury, pak stanovuje finální znění nařízení vlády o základních službách a kritériích významnosti takto:

• subjekt je držitelem povolení k distribuci léčivých přípravků vydaného SÚKL;
• je velkým podnikem; a
• v posledním kalendářním roce fyzicky dodával léčivé přípravky osobám uvedeným v § 77 odst. 1 písm. c) zákona č. 378/2007 Sb., o léčivech a o změnách některých souvisejících zákonů (zákon o léčivech), s výjimkou distributorů léčiv, prodejců vyhrazených léčivých přípravků a provozovatelů oprávněných k výdeji podle § 82 odst. 2 písm. e) zákona o léčivech, pokud jde o radiofarmaka; a
• za účelem dodávání léčivých přípravků tyto obstarával a skladoval s využitím vlastní skladovací nebo přepravní infrastruktury.

Poskytovatelé základních služeb, kteří splňují podmínky dle zákona o kritické infrastruktuře a prováděcího nařízení o základních službách by tedy měli začít hlásit po spuštění Portálu kritické infrastruktury (https://portalki.hzscr.cz/) povinné informace dle §9 tohoto zákona a Ministerstvo vnitra ČR zahájit proces jejich zařazování na seznam subjektů kritické infrastruktury. Předpokladaný termín spuštění portálu je 27. červenec 2026.  

Pokud byste měli i nadále pochybnosti o tom, zda se na Vaši společnost vztahuje regulace kritické infrastruktury či kybernetické bezpečnosti, neváhejte se na nás obrátit.