Zákon o prověřování zahraničních investic výslovně řadí mezi firmy, u nichž investice podléhá povinnému prověření, také ty, kterých se kyberbezpečnostní předpisy dotknou nejvíc. V terminologii zákona jde o poskytovatele regulovaných služeb v režimu vyšších povinností, případně subjekty kritické infrastruktury. Prověření se týká zahraničního investora, který vstupem získá takzvanou účinnou míru kontroly. Tu může naplnit už možnost nakládat s alespoň deseti procenty hlasovacích práv.
„Povědomí firem o této souvislosti podle našich zkušeností zatím není dostatečné. Společnosti se při implementaci nového zákona o kybernetické bezpečnosti přirozeně soustředí především na splnění bezpečnostních opatření a souvisejících povinností. Ne vždy si však uvědomují, že zařazení do režimu vyšších povinností může mít také významné dopady na budoucí změny vlastnické struktury,“ upozorňuje Švejda.
Nejkrizovějším scénářem je nucený prodej podílu
Žádost o povolení podává zahraniční investor, cílová firma by mu ale měla poskytnout součinnost a o svém regulatorním postavení ho informovat už v rané fázi jednání. Nedodržení pravidel může vést k významným sankcím. V krajním případě může prověřování skončit omezením vlastnických či hlasovacích práv nebo povinností podíl prodat. „Nejde tedy pouze o možné prodloužení transakce, ale i o riziko zásadního zásahu do jejího výsledku,“ říká Švejda.
Advokát Dentons Jiří Švejda
Firmy by proto podle něj neměly čekat, až dostanou nabídku. Měly by otázku prověřování zahraničních investic zahrnout již do průběžného hodnocení regulatorních rizik, nikoliv ji začít řešit až ve chvíli, kdy obdrží nabídku od investora. Při plánování transakce by si měly včas ověřit, zda do některé z kategorií spadají, a získání povolení stanovit jako jednu z podmínek jejího dokončení.
Na režimu záleží více, než by se mohlo zdát
Zda firma do vyššího režimu patří, se odvíjí od toho, jakou službu poskytuje a jak je velká. Velikost se posuzuje za dvě po sobě jdoucí účetní období a počítá se i s ukazateli propojených a partnerských podniků. „Jeden silný rok, který je výjimečný, by tak obecně neměl automaticky znamenat vyšší režim povinností,“ vysvětluje Švejda.
Nejasnosti přináší i samotné vymezení služeb. Některé ze služeb, obzvlášť v oblasti poskytování digitálních služeb (v některých případech i v rámci skupiny), například řízená služba, řízená bezpečnostní služba, služba datového centra nebo cloudové služby, mají širokou definici a mohou se lišit oproti implementacím v jiných členských státech. To může být problém obzvlášť u přeshraničních skupin. Zařazení by proto firmy měly věnovat zvýšenou pozornosti na lokálních trzích a přehodnocovat je po skončení každého účetního roku.
Na zavedení opatření zbývají firmám poslední čtyři měsíce
Zákon o kybernetické bezpečnosti, který do českého práva implementuje evropskou směrnici NIS2, platí od listopadu 2025. Regulované služby podle něj ohlásilo přes 4 800 organizací. Roční lhůta na zavedení bezpečnostních opatření a hlášení incidentů běží od doručení rozhodnutí o registraci, většině firem tak vyprší v únoru 2027.
Jak přísně bude Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) povinnosti vymáhat, zatím není jasné. Podle Jiřího Švejdy dosud vystupuje jako vzorný regulátor, který vede osvětu a sám oslovuje firmy, jež se zatím nezaregistrovaly: „Je otázkou, zda zůstane nápomocen spíše v edukativní podobě, nebo bude ve vymáhání přísnější. NÚKIB podle veřejných zdrojů nabral nižší desítky pracovníků za účelem kontroly, nicméně je otázkou, zda je toto množství dostačující.“
Na evropské úrovni se mezitím připravuje revize směrnice NIS2. Ta má omezit rozdíly v tom, jak jednotlivé státy pravidla uplatňují, a odstranit některé nejasnosti a administrativní duplicity. Na odklad ale firmy spoléhat nemohou. Pro ně je důležité rozlišovat mezi tím, co se na evropské úrovni teprve připravuje, a tím, co již musí plnit podle české legislativy. Připravovaná revize zatím žádné stávající povinnosti neruší ani neodkládá.
Kdo povinnosti nesplní, riskuje sankce. „Kyberútoků každým rokem přibývá a ty nejcennější informace se nacházejí právě v kyberprostoru. Firmy by se proto neměly na bezpečnostní opatření dívat jen optikou plnění zákonné povinnosti, ale jako na posílení ochrany sebe sama,“ dodává Švejda.