Nová pravidla dopadají i na farmaceutický a medtech sektor. Co musí podniky řešit nyní?
Dne 18. července 2026 nabylo účinnosti nařízení vlády č. 127/2026 Sb., o základních službách a kritériích významnosti podle zákona o kritické infrastruktuře. Jde o klíčový prováděcí předpis k zákonu č. 266/2025 Sb., o odolnosti subjektů kritické infrastruktury, který nově významně dopadá také na vybrané subjekty ve zdravotnictví, farmacii a oblasti zdravotnických prostředků.
Regulace tak již nesměřuje pouze na tradičně vnímané prvky zdravotnické infrastruktury, například nemocnice či poskytovatele zdravotnické záchranné služby. Do jejího záběru se mohou dostat také velké podniky zapojené do výzkumu, výroby nebo distribuce kriticky důležitých léčivých přípravků a zdravotnických prostředků. Současně má nové nařízení význam i z pohledu kybernetické bezpečnosti, protože zařazení mezi subjekty kritické infrastruktury může zakládat také povinnosti podle zákona č. 264/2025 Sb., o kybernetické bezpečnosti.
Koho se nová úprava může týkat?
Základním filtrem je velikost podniku. Regulace míří především na subjekty, které nejsou malými nebo středními podniky ve smyslu unijní definice. U společností působících ve skupině je přitom nutné posuzovat velikost podniku nejen izolovaně, ale i s ohledem na propojené a partnerské podniky.
V oblasti zdravotnictví a farmacie mohou být relevantní zejména tyto kategorie subjektů:
- zadavatelé klinických hodnocení u vybraných kategorií léčiv, například vakcín, antibiotik či antivirotik,
- výrobci kriticky důležitých léčivých přípravků, pokud jejich objemy dosahují stanovených kritérií významnosti,
- výrobci zdravotnických prostředků považovaných za kriticky důležité v průběhu mimořádné situace v oblasti veřejného zdraví,
- distributoři léčivých přípravků, kteří fakticky zajišťují distribuci s využitím vlastní skladovací nebo přepravní infrastruktury,
- distributoři kriticky důležitých zdravotnických prostředků, pokud splňují stanovená obratová a věcná kritéria.
Významnou změnou oproti některým dřívějším návrhům je užší vymezení dopadu na distributory léčiv. Nová pravidla nemají automaticky dopadat na všechny velké držitele distribučního povolení vydaného Státním ústavem pro kontrolu léčiv. U distribuce léčivých přípravků jsou podle finálního znění rozhodná zejména kritéria, zda subjekt léčivé přípravky v posledním kalendářním roce fyzicky dodával vymezeným odběratelům a zda je za účelem dodávání obstarával a skladoval s využitím vlastní skladovací nebo přepravní infrastruktury.
Tím se regulace zaměřuje zejména na subjekty, jejichž činnost je reálně významná pro zajištění dostupnosti léčivých přípravků na českém trhu.
Proč je důležité posoudit dopad i z hlediska kybernetické bezpečnosti?
Nová pravidla kritické infrastruktury nelze posuzovat izolovaně. Zařazení subjektu mezi subjekty kritické infrastruktury může mít přímý význam také pro režim kybernetické bezpečnosti. Nový zákon o kybernetické bezpečnosti totiž počítá s tím, že některé služby poskytované subjekty kritické infrastruktury mohou spadat do jeho působnosti.
Z praktického hlediska proto nestačí ověřit pouze to, zda společnost naplňuje kritéria podle kybernetické legislativy. Je třeba současně vyhodnotit i kritéria podle zákona o kritické infrastruktuře a nařízení vlády č. 127/2026 Sb. Výsledek tohoto posouzení může mít dopad na rozsah interních bezpečnostních, organizačních i compliance povinností.
Informační povinnost a Portál kritické infrastruktury
Subjekty, které poskytují některou ze základních služeb a splňují kritéria významnosti, mají povinnost poskytnout příslušné informace pro účely posouzení a případného zařazení na seznam subjektů kritické infrastruktury. Tyto informace mají být předávány prostřednictvím Portálu kritické infrastruktury.
Ministerstvo zdravotnictví upozornilo, že po publikaci nařízení je třeba splnit ohlašovací povinnost podle § 9 zákona o kritické infrastruktuře. Zároveň však s odkazem na informaci MV-GŘ HZS ČR uvedlo, že s podáním informací je nutné vyčkat do 1. srpna 2026, kdy má být příslušná funkce portálu plně zprovozněna. Neposkytnutí informací před tímto datem nemá být považováno za přestupek podle § 24 zákona o kritické infrastruktuře.
Organizace, které již informace poskytly k dřívějšímu datu, by měly ověřit, zda jim nevzniká povinnost podat informace znovu v souladu s novou právní úpravou a prováděcími předpisy.
Co nastane po zařazení na seznam subjektů kritické infrastruktury?
Zařazení na seznam subjektů kritické infrastruktury není pouze formální krok. Od tohoto okamžiku se začínají odvíjet konkrétní lhůty pro zavedení povinností v oblasti odolnosti, bezpečnosti a krizového řízení.
Podle informací k Portálu kritické infrastruktury musí subjekt kritické infrastruktury mimo jiné:
- zpracovat posouzení rizik do 9 měsíců od zařazení na seznam,
- zpracovat plán odolnosti do 10 měsíců od zařazení na seznam,
- určit manažera kritické infrastruktury do 10 měsíců od zařazení na seznam,
- nastavit hlášení incidentů prostřednictvím Portálu kritické infrastruktury,
- identifikovat kritické pracovníky a kritické dodavatele v souladu s prováděcími předpisy.
V praxi půjde zejména o kombinaci právních, organizačních, technických a bezpečnostních opatření. Společnosti budou muset vyhodnotit fyzická i kybernetická rizika, nastavit procesy kontinuity provozu, upravit odpovědnosti uvnitř organizace a prověřit odolnost dodavatelského řetězce.
Doporučený postup pro farmaceutické a medtech společnosti
Dotčeným společnostem doporučujeme nečekat až na formální rozhodnutí o zařazení na seznam subjektů kritické infrastruktury. Již nyní je vhodné provést úvodní právní a compliance posouzení.
V praxi by měly společnosti zejména:
- Ověřit velikost podniku podle pravidel pro malé a střední podniky, včetně posouzení skupinových vazeb.
- Zmapovat poskytované služby a ověřit, zda spadají mezi základní služby podle nařízení vlády č. 127/2026 Sb.
- Posoudit kritéria významnosti, zejména objemy výroby, distribuce, strukturu obratu a využívání vlastní skladovací nebo přepravní infrastruktury.
- Připravit podklady pro hlášení prostřednictvím Portálu kritické infrastruktury.
- Vyhodnotit dopady na kybernetickou bezpečnost, včetně možné registrace a navazujících povinností.
- Zahájit přípravu interního rámce odolnosti, včetně krizových rolí, incident managementu, dodavatelských vztahů a dokumentace.
- Prověřit smluvní dokumentaci s klíčovými dodavateli, zejména z hlediska kontinuity dodávek, bezpečnostních standardů, auditních práv a oznamování incidentů.
Sankční rizika a odpovědnost vedení
Nesplnění informační povinnosti, opožděné poskytnutí údajů nebo nezavedení požadovaných opatření může vést k sankcím podle zákona o kritické infrastruktuře. Vedle regulatorního rizika je však třeba vzít v úvahu také dopady reputační, obchodní a smluvní, zejména u společností, které jsou součástí kritických dodavatelských řetězců ve zdravotnictví.
Vedení společností by proto mělo problematiku kritické infrastruktury a kybernetické bezpečnosti zařadit mezi priority compliance agendy pro druhou polovinu roku 2026.
Závěr
Nové nařízení vlády o základních službách a kritériích významnosti představuje zásadní krok v implementaci evropského rámce odolnosti kritických subjektů do českého práva. Pro farmaceutické a medtech společnosti přináší potřebu rychle vyhodnotit, zda se na ně nový režim vztahuje, a pokud ano, připravit se na splnění informačních, bezpečnostních a organizačních povinností.
Naše advokátní kancelář klientům pomáhá s posouzením dopadu nové regulace, přípravou hlášení, nastavením compliance procesů i prověřením návazností na pravidla kybernetické bezpečnosti.
V případě, že budete mít v této souvislosti zájem o více informací, neváhejte se na nás obrátit.
Tento článek je pouze informativní a nepředstavuje právní radu ani návod pro konkrétní případ.