Firmy přehlížejí, že předpisy v oblasti kyberbezpečnosti komplikují i vstup zahraničních investorů

Mnohé si to podle Jiřího Švejdy, advokáta z Dentons, zatím neuvědomují. Souvislost přitom zůstává ve stínu příprav na únor 2027, kdy většině registrovaných firem vyprší lhůta na zavedení bezpečnostních opatření.

Zákon o prověřování zahraničních investic výslovně řadí mezi firmy, u nichž investice podléhá povinnému prověření, také ty, kterých se kyberbezpečnostní předpisy dotknou nejvíc. V terminologii zákona jde o poskytovatele regulovaných služeb v režimu vyšších povinností, případně subjekty kritické infrastruktury. Prověření se týká zahraničního investora, který vstupem získá takzvanou účinnou míru kontroly. Tu může naplnit už možnost nakládat s alespoň deseti procenty hlasovacích práv.

„Povědomí firem o této souvislosti podle našich zkušeností zatím není dostatečné. Společnosti se při implementaci nového zákona o kybernetické bezpečnosti přirozeně soustředí především na splnění bezpečnostních opatření a souvisejících povinností. Ne vždy si však uvědomují, že zařazení do režimu vyšších povinností může mít také významné dopady na budoucí změny vlastnické struktury,“ upozorňuje Jiří Švejda, advokát z Dentons.

Nejkrizovějším scénářem je nucený prodej podílu

Žádost o povolení podává zahraniční investor, cílová firma by mu ale měla poskytnout součinnost a o svém regulatorním postavení ho informovat už v rané fázi jednání. Nedodržení pravidel může vést k významným sankcím. V krajním případě může prověřování skončit omezením vlastnických či hlasovacích práv nebo povinností podíl prodat. „Nejde tedy pouze o možné prodloužení transakce, ale i o riziko zásadního zásahu do jejího výsledku,“ říká Jiří Švejda.

Firmy by proto podle něj neměly čekat, až dostanou nabídku. „Firmám doporučuji, aby otázku prověřování zahraničních investic zahrnuly již do průběžného hodnocení regulatorních rizik, nikoliv ji začaly řešit až ve chvíli, kdy obdrží nabídku od investora,“ uvádí Jiří Švejda. Při plánování transakce by si měly včas ověřit, zda do některé z kategorií spadají, a získání povolení stanovit jako jednu z podmínek jejího dokončení.

Na režimu záleží více, než by se mohlo zdát

Zda firma do vyššího režimu patří, se odvíjí od toho, jakou službu poskytuje a jak je velká. Velikost se posuzuje za dvě po sobě jdoucí účetní období a počítá se i s ukazateli propojených a partnerských podniků. „Jeden silný rok, který je výjimečný, by tak obecně neměl automaticky znamenat vyšší režim povinností,“ vysvětluje Jiří Švejda z Dentons.

Nejasnosti přináší i samotné vymezení služeb. „Některé ze služeb, obzvlášť v oblasti poskytování digitálních služeb (v některých případech i v rámci skupiny), například řízená služba, řízená bezpečnostní služba, služba datového centra nebo cloudové služby, mají širokou definici a mohou se lišit oproti implementacím v jiných členských státech. To může být problém obzvlášť u přeshraničních skupin,“ dodává Jiří Švejda. Zařazení by proto firmy měly věnovat zvýšenou pozornosti na lokálních trzích a přehodnocovat je po skončení každého účetního roku.

Na zavedení opatření zbývají firmám poslední čtyři měsíce

Zákon o kybernetické bezpečnosti, který do českého práva implementuje evropskou směrnici NIS2, platí od listopadu 2025. Regulované služby podle něj ohlásilo přes 4 800 organizací. Roční lhůta na zavedení bezpečnostních opatření a hlášení incidentů běží od doručení rozhodnutí o registraci, většině firem tak vyprší v únoru 2027.

Jak přísně bude Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) povinnosti vymáhat, zatím není jasné. Podle Jiřího Švejdy dosud vystupuje jako vzorný regulátor, který vede osvětu a sám oslovuje firmy, jež se zatím nezaregistrovaly. „Je otázkou, zda zůstane nápomocen spíše v edukativní podobě, nebo bude ve vymáhání přísnější. NÚKIB podle veřejných zdrojů nabral nižší desítky pracovníků za účelem kontroly, nicméně je otázkou, zda je toto množství dostačující,“ uvádí Jiří Švejda.

Na evropské úrovni se mezitím připravuje revize směrnice NIS2. Ta má omezit rozdíly v tom, jak jednotlivé státy pravidla uplatňují, a odstranit některé nejasnosti a administrativní duplicity. Na odklad ale firmy podle Jiřího Švejdy spoléhat nemohou. „Pro firmy je důležité rozlišovat mezi tím, co se na evropské úrovni teprve připravuje, a tím, co již musí plnit podle české legislativy. Připravovaná revize zatím žádné stávající povinnosti neruší ani neodkládá,“ zdůrazňuje advokát Jiří Švejda.

Kdo povinnosti nesplní, riskuje sankce. „Kyberútoků každým rokem přibývá a ty nejcennější informace se nacházejí právě v kyberprostoru. Firmy by se proto neměly na bezpečnostní opatření dívat jen optikou plnění zákonné povinnosti, ale jako na posílení ochrany sebe sama,“ dodává Jiří Švejda.