Zadávání veřejných zakázek v oblasti informačních a komunikačních technologií (ICT) patří dlouhodobě mezi nejkomplexnější oblasti veřejného zadávání. Vedle ekonomických a technických parametrů zde hraje zásadní roli i otázka kybernetické bezpečnosti, jejíž význam v posledních letech výrazně narůstá. Na tuto skutečnost reagoval Národní úřad pro kybernetickou a informační bezpečnost (dále jen „NÚKIB“), který v červnu 2026 zveřejnil nový metodický dokument zaměřený právě na promítnutí požadavků kybernetické bezpečnosti do zadávacích řízení.

Metodika je výsledkem spolupráce NÚKIB, Úřadu pro ochranu hospodářské soutěže a Asociace pro veřejné zakázky, což jí dodává význam nejen z hlediska bezpečnostní regulace, ale také z pohledu aplikační praxe a práva veřejných zakázek. Účelem metodiky je poskytnout zadavatelům veřejných zakázek, kteří pořizují informační a komunikační technologie a s nimi spojené služby, podporu při zadávání veřejných zakázek tak, aby postupovali v souladu se zákonem č. 134/2016 Sb., o zadávání veřejných zakázek (dále jen „ZZVZ“), a současně naplnili povinnosti vyplývající z právní úpravy kybernetické bezpečnosti, tedy zákona č. 264/2025 Sb., o kybernetické bezpečnosti (dále jen „ZKB“).

Jedním z klíčových přínosů metodiky je systematické a praktické uchopení vztahu mezi ZZVZ a ZKB. Vedle výkladu právního rámce metodika shrnuje a analyzuje relevantní rozhodovací praxi ÚOHS a správních soudů, čímž zadavatelům poskytuje konkrétní vodítka pro promítnutí požadavků kybernetické bezpečnosti do zadávacích podmínek a pro obhajobu zvoleného postupu v případě přezkumu.

Hlavním cílem metodiky je tak umožnit zadavatelům promítnout požadavky na povinné osoby dle ZKB (řízení rizik, zavádění bezpečnostních opatření, řízení dodavatelů, reakce na varování a další protiopatření) do zadávací dokumentace způsobem, který bude přezkoumatelný a obhajitelný, a současně nebude představovat nepřípustné omezení hospodářské soutěže. Právě tento aspekt je v praxi dlouhodobě problematický, protože zadavatelé často váhají, zda lze bezpečnostní hlediska zohlednit bez rizika porušení zásad transparentnosti, rovného zacházení a zákazu diskriminace.

Dokument se soustředí zejména na fázi přípravy veřejné zakázky. Metodika má zadavatelům sloužit zejména k tomu, aby:

převedli výstupy analýzy rizik a dalších bezpečnostních procesů do konkrétních zadávacích podmínek (zejm. ve formě technických požadavků, kvalifikačních předpokladů, hodnoticích kritérií a smluvních ujednání);
zohlednili případné varování NÚKIB a další protiopatření v celém životním cyklu zakázky;
nalezli přiměřenou rovnováhu mezi bezpečnostními požadavky a zachováním otevřené hospodářské soutěže;
řádně zdokumentovali a odůvodnili svůj postup pro případ přezkumu ze strany ÚOHS, soudů nebo jiných kontrolních orgánů, pokud by byly zadávací podmínky zpochybněny.

Významná část metodiky je věnována aplikaci varování a dalších protiopatření vydávaných NÚKIB. Metodika vysvětluje, že varování samo o sobě nepředstavuje automatický zákaz využití konkrétní technologie, produktu nebo dodavatele. Jeho účelem je naopak upozornit na existenci relevantního bezpečnostního rizika a poskytnout zadavateli podklad pro vlastní proces řízení rizik.

Dle metodiky požadavky kybernetické bezpečnosti musí být promítnuty do celého životního cyklu veřejné zakázky – od přípravy a průběhu zadávacího řízení, smluvního nastavení přes implementaci a provoz řešení až po ukončení plnění. Zadavatelům doporučuje systematický přístup založený na počáteční identifikaci potřeb a rizik, volbě vhodného druhu zadávací řízení, odpovídající formulaci zadávacích podmínek a průběžném řízení a kontrole bezpečnostních aspektů plnění veřejné zakázky.

Metodika zdůrazňuje význam již samotné volby vhodného druhu zadávacího řízení pro zohlednění požadavků kybernetické bezpečnosti. Poukazuje na to, že zvolený postup ovlivňuje míru flexibility při vymezování technických a bezpečnostních požadavků. Zatímco v řízeních bez jednacího prvku musí být tyto požadavky zpravidla formulovány již při zahájení zadávacího řízení, řízení s jednacím prvkem, zejména jednací řízení s uveřejněním a řízení se soutěžním dialogem, umožňují jejich další konkretizaci v průběhu jednání s dodavateli. Metodika proto tyto postupy zmiňuje jako vhodné zejména pro složité ICT projekty a případy, kdy zadavatel není schopen předem přesně vymezit všechny technické a bezpečnostní parametry požadovaného řešení.

Dále metodika systematicky rozebírá technické a bezpečnostní požadavky, kvalifikační požadavky, omezení poddodávek, kritéria hodnocení nabídek či obchodní podmínky. Část výkladu se věnuje zohlednění bezpečnostních požadavků v průběhu plnění smlouvy a změny závazku.

Specifickým rysem ICT zakázek je i práce s důvěrnými informacemi, které mohou být součástí zadávací dokumentace nebo nabídek. Metodika proto zvláštní pozornost věnuje nastavení opatření k jejich ochraně již v průběhu zadávacího řízení. Zaměřuje se zejména na omezení přístupu k citlivým informacím, jejich odpovídající označování a stanovení pravidel pro jejich sdílení a další nakládání. Současně zdůrazňuje potřebu nalézt rovnováhu mezi ochranou bezpečnostně významných informací a zachováním transparentnosti zadávacího řízení.

Významná část metodiky je věnována aplikaci varování a dalších protiopatření NÚKIB. Metodika vysvětluje, že varování nepředstavuje samo o sobě zákaz konkrétní technologie nebo dodavatele, ale vstup do vlastního procesu řízení rizik zadavatele.

Nová metodika NÚKIB představuje praktickou interpretační a aplikační pomůcku pro zadavatele veřejných zakázek, kteří při zadávání veřejných zakázek usilují o naplnění požadavků kybernetické bezpečnosti při současném zachování hospodářské soutěže v souladu s právní úpravou veřejných zakázek.

Datum uveřejnění: 22. 6. 2026