Termín se blíží: poskytovatelé základních služeb, kteří zahájili poskytování služby nejpozději k 30. listopadu 2025, jsou povinni do 1. března 2026 předat informace o své základní službě, kritické infrastruktuře na území ČR i EU a o naplnění kritérií významnosti příslušnému ministerstvu nebo ústřednímu správnímu úřadu a Ministerstvu vnitra. Na základě těchto informací MV rozhodne o zařazení na seznam subjektů kritické infrastruktury. Teprve od tohoto zařazení začínají plynout další povinnosti – zpracovat posouzení rizik, vypracovat plán odolnosti a zavést odpovídající technická, bezpečnostní a organizační opatření.

Pro organizace, které již plní podobné povinnosti podle zákona o kybernetické bezpečnosti nebo sektorové regulace EU, zákon myslí na překryvy: pokud existující dokumentace splňuje náležitosti posouzení rizik nebo plánu odolnosti, povinnost se považuje za splněnou. Zákon rovněž výslovně vylučuje duplicitní plnění tam, kde srovnatelné povinnosti ukládá přímo unijní nařízení. Toto propojení s kybernetickým zákonem je prakticky důležité zejména pro správce digitální infrastruktury a poskytovatele komunikačních sítí.

Na rozdíl od předchozí právní úpravy zákon nově zavádí sankce za neplnění povinností. Povinné zveřejnění v Portálu kritické infrastruktury, správní sankce i možnost nápravných opatření ze strany Ministerstva vnitra dávají regulaci reálný donucovací potenciál, který dosud chyběl. Organizace, které termín 1. března zmeškají nebo se mylně domnívají, že se jich zákon netýká, by proto měly situaci neprodleně prověřit.