Poskytuje vaše zahraniční společnost služby v ČR prostřednictvím odštěpného závodu? Pak byste měli zbystřit. Nový zákon o kybernetické bezpečnosti (nZKB), kterým se do českého práva transponuje evropská směrnice NIS2, překvapuje zahraniční skupiny, které vyhodnocují svou velikost výhradně podle parametrů českého odštěpného závodu. Níže vysvětlujeme, proč tento přístup dostává firmy do zbytečného regulatorního rizika a jak při určování velikosti podniku postupovat správně.
Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, upravuje práva a povinnosti v oblasti zajišťování kybernetické bezpečnosti. U většiny regulovaných odvětví přitom legislativa pracuje s „velikostí podniku“ jako se základní vstupní podmínkou regulace.
Velikost podniku jako vstupní brána do regulace
Podmínky pro registraci regulované služby jsou splněny mimo jiné tehdy, je-li poskytovatel služby středním nebo velkým podnikem (ve smyslu doporučení Komise 2003/361/ES), nebo je-li významný pro zabezpečení důležitých společenských či ekonomických činností státu.
Středním podnikem se rozumí podnik s méně než 250 zaměstnanci , jehož roční obrat nepřesahuje 50 milionů EUR nebo jehož bilanční suma roční rozvahy nepřesahuje 43 milionů EUR. Malým podnikem je pak podnik s méně než 50 zaměstnanci a obratem či bilanční sumou do 10 milionů EUR.
Pro určení výsledné velikostní kategorie platí:
- Překročení prahu počtu zaměstnanců automaticky mění velikostní kategorii bez ohledu na finanční hodnoty.
- K přeřazení do vyšší velikostní kategorie na základě finančních kritérií dochází pouze tehdy, jsou-li překročeny obrat i bilanční suma zároveň (při zachování počtu zaměstnanců). Překročení pouze jednoho z finančních ukazatelů samo o sobě velikostní kategorii nemění. Počet zaměstnanců se vyjadřuje v ročních pracovních jednotkách (RPJ); nezapočítávají se sem osoby pracující pro podnik na základě smlouvy o dílo či jiné smlouvy mimo pracovněprávní vztah (např. živnostníci na IČO).
Zatímco u čistě „lokálních“ českých subjektů bývá toto vyhodnocení relativně přímočaré, u zahraničních entit působících v ČR pouze přes odštěpný závod vznikají v praxi výkladové nejasnosti.
Proč neobstojí posouzení pouze podle českého závodu?
Častý argument zahraničních klientů zní: „Náš český odštěpný závod má jen 10 zaměstnanců a nízký obrat – nejsme střední podnik, regulace NIS2 se nás netýká.“
Tento závěr je z pohledu práva nesprávný. Odštěpný závod (pobočka) totiž není samostatnou právnickou osobou. Jde pouze o organizační složku svého zřizovatele. Nositelem práv a povinností je zahraniční společnost – a právě ta je oním „podnikem“ pro účely posouzení velikosti.
Podnikem se rozumí subjekt vykonávající hospodářskou činnost bez ohledu na jeho právní formu. Může jím být jedna společnost, ale stejně tak i celá skupina majetkově či personálně provázaných společností.
Metodika NÚKIB: Rozhoduje celá skupina
Jak vyplývá i z oficiálního podpůrného materiálu NÚKIB „Počítání velikosti podniku“, uplatňují se následující klíčová pravidla:
1. Majetková a personální provázanost
- Do 25 % (nezávislé podniky): Velikost se nesčítá.
- 25 % až 50 % (partnerské podniky): Velikost se přičítá poměrně podle výše podílu.
- Nad 50 % (propojené podniky): Velikost se sčítá ze 100 %.
- Ke sčítání dochází i v případě personální provázanosti (např. společný vlastník nad 50 % a působení na stejném trhu).
2. Výjimka oddělení technických aktiv
Odchylně od obecných evropských pravidel platí pro účely nZKB důležitá výjimka: za propojený/partnerský podnik se nepovažují entity, jejichž IT aktiva jsou zcela oddělena od aktiv používaných k poskytování regulované služby v ČR. Výjimka ovšem neplatí, pokud podniky sdílejí IT správu, vzdálený přístup nebo softwarové licence.
Regulatorní dopady na zahraniční entity v praxi
Při testování velikosti (tzv. Size Test) se neřeší parametry české pobočky, ale globální čísla celé skupiny. Důsledky tohoto přístupu jsou zásadní:
- Regulace i při minimální lokální stopě: Je-li globální skupina velkým podnikem, dopadá tento status na činnost v ČR i v případě, že zde má jednotky zaměstnanců.
- Riziko prodlení s ohlášením: Lhůta pro ohlášení služby uplynula koncem loňského roku. Subjekty, které nesprávně vyhodnotily svou velikost k 1. listopadu 2025 a dosud se neohlásily, se nacházejí v prodlení.
- Zařazení do režimu vyšších povinností: Velké podniky často spadají automaticky do přísnějšího režimu vyšších povinností (s výjimkou specifických digitálních služeb).
- Sankce z globálního obratu: Za nesplnění ohlašovací povinnosti hrozí pokuta až 250 milionů Kč nebo 2 % z celosvětového ročního obratu celé skupiny.
- Lokální zástupce: Poskytovatelé vybraných digitálních služeb mimo EU/EHP si musí v ČR ustanovit svého zástupce.
Doporučený postup: Compliance audit ve 4 krocích
Doporučujeme zahraničním entitám a jejich lokálnímu managementu provést urychlenou revizi podle následujících kroků:
- Identifikace služby: Zjistěte, zda v ČR fakticky poskytujete regulovanou službu (dle vyhlášky č. 408/2025 Sb.).
- Globální Size Test: Zmapujte majetkovou strukturu skupiny a vypočítejte konsolidovanou velikost podniku, s případným zohledněním výjimky pro oddělená IT aktiva.
- Registrace: Spadáte-li do rámce regulace, okamžitě proveďte ohlášení na Portálu NÚKIB.
- Implementace: Zahajte přípravy na zavedení bezpečnostních opatření. K jejich plnému zavedení máte 1 rok od doručení rozhodnutí NÚKIB o registraci.
Jak vám můžeme pomoci
Určování velikosti podniku u komplexních nadnárodních struktur je zrádné. Pokud máte podezření, že vaše skupina nesprávně posuzovala svou velikost pouze optikou lokální pobočky, doporučujeme situaci neodkladně řešit. V HAVEL & PARTNERS jsme připraveni vám se vším obratem pomoci.
