Legislativa 2026 pro firmy: co už platí, co právě naběhlo a co se blíží
Rok 2026 je z pohledu firemní compliance docela výživný. Kybernetická bezpečnost se přestala týkat jen „ajťáků“, umělá inteligence už není legislativní sci-fi, obaly dostaly vlastní evropský režim a uhlík se definitivně přestěhoval i do celního řízení.
A aby toho nebylo málo, zaměstnavatelé dostali nové povinnosti u pracovních úrazů, jednotného měsíčního hlášení i některých rizikových profesí.
Dobrá zpráva? Většina těchto požadavků se dá zvládnout velmi rozumně, pokud firma ví, co se jí skutečně týká. Horší zpráva? Vytisknout si nařízení, založit ho do šanonu „Legislativa“ a doufat, že auditor nebude zvědavý, už opravdu nestačí.
Níže shrnuji nejvýznamnější změny roku 2026 z pohledu běžné firmy, řízení rizik, ISO systémů a compliance.
1. Kybernetická bezpečnost: rok 2026 je hlavně rokem implementace
Nový český zákon č. 264/2025 Sb., o kybernetické bezpečnosti, je účinný už od 1. listopadu 2025, ale právě rok 2026 je obdobím, kdy se jeho dopad naplno promítá do praxe.
Zákon výrazně rozšířil okruh regulovaných subjektů. Nejde už jen o tradiční kritickou infrastrukturu. Působnost zasahuje mimo jiné energetiku, výrobní a potravinářský průmysl, chemii, vodní a odpadové hospodářství, dopravu, digitální služby, zdravotnictví, výzkum, poštovní služby nebo obranný průmysl. Rozhodující není pouze obor, ale také konkrétní poskytovaná služba a velikost či význam poskytovatele.
Pokud organizace splní podmínky pro registraci regulované služby, musí tuto skutečnost oznámit NÚKIB nejpozději do 60 dnů od okamžiku, kdy podmínky splnila. Po doručení rozhodnutí o registraci běží další lhůty: do 30 dnů se hlásí kontaktní a doplňující údaje a nejpozději do jednoho roku musí být zaváděna a prováděna příslušná bezpečnostní opatření. Hlášení kybernetických incidentů rovněž začne být povinné nejpozději do jednoho roku od registrace.
Rozsah opatření se liší podle toho, zda firma spadá do režimu vyšších nebo nižších povinností. Pro vyšší režim je klíčová vyhláška č. 409/2025 Sb., pro nižší režim vyhláška č. 410/2025 Sb.. Vyhláška č. 408/2025 Sb. určuje regulované služby a jejich zařazování do režimů.
Pro firmy s ISO/IEC 27001 je dobrou zprávou, že řada požadavků je už známá: řízení aktiv, rizik, přístupů, dodavatelů, incidentů, změn, kontinuity, auditů nebo bezpečnostního povědomí. Certifikace ISO 27001 ale sama o sobě automaticky neznamená splnění zákona. Rozsah ISMS a rozsah regulované služby se musí skutečně potkat.
Co má firma udělat: ověřit regulatorní působnost, určit režim, aktualizovat registr právních požadavků, scope ISMS, analýzu rizik, BCP, řízení dodavatelů a smluvní požadavky.
Právní základ: zákon č. 264/2025 Sb. – Zákony pro lidivyhláška č. 408/2025 Sb.vyhláška č. 409/2025 Sb.vyhláška č. 410/2025 Sb.
2. Kritická infrastruktura: nový systém se v roce 2026 skutečně rozběhl
Český zákon č. 266/2025 Sb., o odolnosti subjektů kritické infrastruktury, je účinný od srpna 2025, ale zásadní přechodové termíny připadly právě na rok 2026.
Poskytovatelé základních služeb, kteří službu poskytovali nejpozději k 30. listopadu 2025, měli do 1. března 2026 poskytnout příslušným orgánům údaje potřebné pro jejich posouzení. Ministerstvo vnitra mělo první rozhodnutí o zařazení na seznam subjektů kritické infrastruktury vydat do 17. července 2026.
Od 18. července 2026 je účinné také nařízení vlády č. 127/2026 Sb., které konkretizuje základní služby a kritéria jejich významnosti.
Jakmile je subjekt na seznam zařazen, začínají mu běžet další lhůty. Například posouzení rizik musí zpracovat do devíti měsíců od doručení rozhodnutí o zařazení a následně je aktualizovat nejméně jednou za čtyři roky.
V praxi je to velmi blízko principům ISO 22301, ISO 27001 a řízení kontinuity: firma musí vědět, které služby jsou kritické, na čem závisí, kdo jsou kritičtí pracovníci a dodavatelé a co udělá při vážném narušení.
3. AI Act: 2. srpen 2026 je velké datum – ale pozor, ne všechno začalo platit najednou
Evropský AI Act – nařízení (EU) 2024/1689 se od 2. srpna 2026 obecně použije v celé EU.
To je důležité prakticky pro každou organizaci, která AI používá, i když sama žádnou AI nevyvíjí.
Už od února 2025 platí požadavek na AI literacy, tedy přiměřenou úroveň znalostí lidí, kteří s AI systémy pracují, a zákaz některých nepřijatelných praktik. V roce 2026 se ale přidává hlavní část regulace a transparentnost.
Rok 2026 zároveň přinesl zásadní změnu. Nařízení (EU) 2026/1744, tzv. Digital Omnibus on AI, posunulo povinnosti pro většinu high-risk systémů. Požadavky na high-risk systémy podle přílohy III se mají začít uplatňovat od 2. prosince 2027, u high-risk systémů navázaných na regulované výrobky podle přílohy I od 2. srpna 2028.
Takže: AI Act platí. High-risk část ale není odložena celá regulace, odložena je jen část povinností.
Firmy by dnes měly mít minimálně:AI policy, evidenci používaných AI nástrojů, pravidla pro práci s daty, odpovědnosti, schvalování nástrojů a integrací, pravidla lidského dohledu a prokazatelné školení zaměstnanců.
Jinými slovy: věta „my používáme jen ChatGPT, nás se AI Act netýká“ už není compliance strategie.
Právní základ: AI Act – nařízení (EU) 2024/1689, EUR-Lexnařízení (EU) 2026/1744 – Digital Omnibus on AI
4. PPWR: od 12. srpna 2026 se evropská pravidla pro obaly skutečně používají
Jedním z největších environmentálních témat letošního roku je nové nařízení (EU) 2025/40 o obalech a obalových odpadech – PPWR.
Nařízení se obecně použije od 12. srpna 2026.
Dopadá na výrobce obalů, dovozce, distributory, výrobce balených výrobků i další hospodářské subjekty v dodavatelském řetězci.
PPWR postupně zavádí požadavky na látky v obalech, recyklovatelnost, obsah recyklovaného materiálu, minimalizaci obalů, opětovné použití, technickou dokumentaci, posuzování shody a označování. Výrobce nese odpovědnost za to, že obal splňuje relevantní požadavky, a musí být schopen tuto shodu doložit.
Pozor ale na oblíbený omyl: 12. srpna 2026 neznamená, že od tohoto dne musí být každý obal opatřen novou evropskou etiketou. Řada povinností má vlastní pozdější termíny. Harmonizované označování materiálového složení má nastoupit nejdříve od 12. srpna 2028, případně později v závislosti na prováděcích aktech.
Prakticky bych dnes doporučila vytvořit PPWR gap analýzu: projít používané obaly, role firmy v dodavatelském řetězci, dodavatelské deklarace, materiálové složení, technickou dokumentaci, environmentální tvrzení a budoucí požadavky na označování.
Protože „eko obal“ napsané zeleným písmem na krabici skutečně není dokumentace shody.
5. BOZP 2026: pracovní úrazy se digitalizují
Od 1. ledna 2026 platí nové nařízení vlády č. 322/2025 Sb., o povinnostech zaměstnavatele při pracovních úrazech.
Zaměstnavatel dál eviduje všechny pracovní úrazy v knize úrazů, ale mění se proces jejich ohlašování a zasílání záznamů. Ohlášení pracovního úrazu a zaslání záznamu příslušnému inspektorátu práce se provádí elektronicky prostřednictvím portálu Státního úřadu inspekce práce.
Papírový formulář z roku 2014 tak může odejít do důchodu.
Právní základ: nařízení vlády č. 322/2025 Sb.
6. Povinné příspěvky na spoření u některých rizikových prací
Od 1. ledna 2026 platí také zákon č. 324/2025 Sb.
Zaměstnavatel má nově za stanovených podmínek platit zaměstnanci vykonávajícímu vybrané práce 3. kategorie povinný příspěvek na produkt spoření na stáří.
Týká se třetí kategorie zejména u faktorů vibrace, chladu, tepla a celkové fyzické zátěže při dynamické práci velkých svalových skupin. Pokud zaměstnanec v rozhodném měsíci odpracuje alespoň tři relevantní směny a uplatní své právo, činí příspěvek 4 % z jeho vyměřovacího základu.
Zaměstnavatel má také informační a evidenční povinnosti.
Tohle je dobrý důvod znovu otevřít kategorizaci prací. Dokument „kategorie práce – naposledy aktualizováno 2017“ totiž v roce 2026 začíná být poměrně drahá nostalgie.
Právní základ: zákon č. 324/2025 Sb.
A ještě ISO: rok 2026 přinesl největší pohyb v normách za několik let
Legislativa není jediná oblast, kterou se letos vyplatí hlídat. Rok 2026 je mimořádně živý také z pohledu norem ISO.
A tentokrát nejde jen o kosmetické opravy čárek.
Máme novou ISO 9001, novou ISO 14001, novou ISO 19011, probíhá zásadní revize ISO 45001 a do praxe se stále promítají klimatické změny, které byly v roce 2024 vloženy do celé řady managementových norem.
Proto krátký přehled toho, co je k 6. říjnu 2026 skutečně aktuální.
ISO 9001:2026 – nová norma kvality je venku
Největší letošní novinkou je bezpochyby ISO 9001:2026 – Quality management systems – Requirements, která byla publikována 16. září 2026 a nahrazuje ISO 9001:2015.
Dobrá zpráva: nejde o revoluci a firmy nemusí svůj QMS rozebrat do posledního formuláře.
Struktura zůstává zachována, norma dál používá Harmonized Structure a základní pilíře – procesní přístup, orientaci na zákazníka, risk-based thinking a neustálé zlepšování – zůstávají.
Změny jsou ale obsahově významné.
Nová ISO 9001 klade větší důraz zejména na:
leadership a odpovědnost vedení,
kulturu kvality,
etické chování,
silnější vazbu systému kvality na strategické směřování organizace,
jasnější oddělení rizik a příležitostí,
povědomí zaměstnanců o kultuře kvality a etickém jednání,
organizační znalosti, digitalizaci, odolnost a složitější dodavatelské řetězce,
nový Annex A, který vysvětluje účel a interpretaci některých požadavků.
Změna týkající se klimatických otázek, která byla do ISO 9001:2015 vložena prostřednictvím Amendment 1:2024, je již v nové edici začleněna.
Co mají udělat certifikované firmy?
Začít gap analýzou mezi ISO 9001:2015 a ISO 9001:2026.
Není nutné tvořit úplně nový systém. Je vhodné projít zejména:
kontext → vedení → kultura kvality → rizika a příležitosti → znalosti → povědomí → interní audit → přezkoumání vedením.
Pro přechod už existuje konkrétní harmonogram. Organizace certifikované podle ISO 9001:2015 mají přejít na ISO 9001:2026 nejpozději do 30. září 2029. Od 31. března 2028 už mají být nové počáteční akreditované certifikace vydávány pouze podle ISO 9001:2026.
Takže žádná panika.
Ale také bych nečekala do září 2029 s větou: „Máme na to ještě tři týdny.“
ISO 14001:2026 – environment už není jen evidence odpadů
Druhou zásadní novinkou je ISO 14001:2026, čtvrté vydání normy environmentálního managementu, publikované v dubnu 2026. Nahrazuje ISO 14001:2015 včetně Amendment 1:2024.
Základ systému zůstává známý, ale očekávání jsou vyšší.
Norma nově výrazněji propojuje environmentální management s reálným výkonem organizace.
Silnější pozornost je věnována například:
klimatické změně,
biodiverzitě,
stavu ekosystémů,
dostupnosti a využívání zdrojů,
znečištění,
environmentálním dopadům v hodnotovém řetězci,
měřitelným environmentálním výsledkům,
odpovědnosti vedení,
řízení změn.
ISO přímo zdůrazňuje, že environmentální systém už nemá být jen dobře vedený proces. Musí být schopný prokázat výsledky.
Důležitou novinkou je například samostatnější práce s riziky a příležitostmi a nový požadavek na systematické řízení změn.
Zpřesněny jsou rovněž požadavky na interní audity a management review a více se zdůrazňuje odpovědnost organizace za externě poskytované procesy, produkty a služby.
Prakticky
Firmám doporučuji aktualizovat zejména:
kontext organizace,
environmentální aspekty,
rizika a příležitosti,
klimatická rizika,
lifecycle perspective,
řízení dodavatelů,
cíle a ukazatele environmentální výkonnosti,
řízení změn,
interní audit,
přezkoumání vedením.
Certifikované organizace budou přecházet z ISO 14001:2015 na ISO 14001:2026 v přechodném období stanoveném certifikačním a akreditačním systémem; ISO uvádí, že je obvykle přibližně tříleté.
ISO 19011:2026 – nová bible interních auditorů
V květnu 2026 vyšla také ISO 19011:2026 – Guidelines for auditing management systems, čtvrté vydání metodiky pro auditování managementových systémů. Nahrazuje ISO 19011:2018.
Tohle je změna, kterou by neměl přehlédnout žádný interní auditor.
Nová verze reaguje zejména na:
digitalizaci,
virtuální pracovní prostředí,
nové technologie,
vzdálené a hybridní auditování,
vyšší význam analýzy rizik,
plánování auditů podle rizikovosti,
nové požadavky na kompetence auditorů.
ISO 19011 není certifikační norma. Ale právě podle ní se v praxi staví auditní programy, metodiky interních auditů, kompetence
Co bych jako firma udělala ještě letos
Pokud bych měla legislativní a normativní rok 2026 převést do jednoho praktického firemního úkolovníku, vypadal by takto:
Prověřit působnost nového zákona o kybernetické bezpečnosti a případnou povinnost registrace u NÚKIB. Nestačí vycházet jen z velikosti firmy – rozhodující je také druh poskytované služby a její zařazení podle prováděcích předpisů.
Aktualizovat registr právních a jiných požadavků – zejména kybernetickou bezpečnost, AI Act, PPWR, EUDR, CBAM, BOZP, pracovní úrazy a další povinnosti relevantní pro konkrétní činnost organizace. U každého požadavku nestačí uvést předpis; firma by měla určit také jeho dopad, odpovědnost a způsob plnění.
Provést AI inventuru – zjistit, které AI nástroje firma skutečně používá, s jakými daty pracují, jaké licence jsou využívány, kdo nástroje schvaluje, kdo kontroluje jejich výstupy a zda mají zaměstnanci odpovídající AI literacy. U významnějších integrací je vhodné evidovat také systémové přístupy, míru autonomie a lidský dohled.
Provést PPWR gap analysis – zmapovat používané obaly, role firmy v dodavatelském řetězci, požadavky na materiálové složení, technickou dokumentaci, informace od dodavatelů, budoucí označování, recyklovatelnost a další relevantní povinnosti.
Zkontrolovat kategorizaci prací, evidenci pracovních úrazů a BOZP postupy – zejména návaznost na elektronické hlášení pracovních úrazů, aktuální kategorizaci prací, rizikové faktory a nové povinnosti související s vybranými pracemi 3. kategorie.
Zahájit přechod na ISO 9001:2026. Neznamená to přepsat celý QMS. Doporučuji udělat řízenou gap analysis zaměřenou zejména na leadership, kulturu kvality, odpovědnost, jasnější rozlišení rizik a příležitostí, strategické směřování a související změny dokumentace. Nová ISO 9001:2026 byla publikována 16. září 2026 a certifikované organizace mají na přechod čas do 30. září 2029.
Zahájit gap analysis podle ISO 14001:2026. Nová edice byla publikována v dubnu 2026 a nahradila ISO 14001:2015. Doporučuji prověřit zejména kontext organizace, klimatickou změnu, environmentální aspekty, biodiverzitu, zdroje, hodnotový řetězec, environmentální výkonnost a řízení změn.
Aktualizovat metodiku interních auditů podle ISO 19011:2026. Nová edice nahrazuje ISO 19011:2018 a více reflektuje digitalizaci, virtuální prostředí, nové technologie a rizikově orientované plánování auditů. To je dobrý důvod přestat auditovat každý proces každý rok jen proto, že „to tak máme v tabulce od roku 2016“.
U ISO 45001 zatím nepřepisovat systém podle návrhu nové normy. Dokud nebude nová edice publikována, pracovat podle platné ISO 45001:2018 včetně Amendment 1:2024 a pouze sledovat vývoj revize.
U ostatních managementových systémů ověřit zapracování klimatického Amendment 1:2024, zejména u ISO/IEC 27001, ISO/IEC 20000-1, ISO 50001, ISO 22301, ISO 37301 a dalších relevantních norem. Prakticky to znamená prokazatelně posoudit, zda je změna klimatu relevantním tématem pro kontext organizace a zda zainteresované strany mají související požadavky.
U ISO 37001 prověřit přechod na vydání 2025, pokud firma používá anti-bribery management system. Zaměřit se zejména na compliance culture, střet zájmů, due diligence, odpovědnosti a fungování anti-bribery compliance function.
Prověřit, zda se firmy netýká ISO/IEC 42001 jako vhodný rámec pro governance AI. Certifikace není pro běžné firmy automaticky nutná, ale organizacím, které AI významně vyvíjejí, integrují nebo používají, může velmi dobře pomoci propojit AI Act, řízení rizik, role, data, monitoring a odpovědnosti.
Promítnout legislativní i normativní změny do integrovaného management systému.
Aktualizovat zejména:
kontext organizace,
zainteresované strany,
registr právních a jiných požadavků,
rizika a příležitosti,
klimatická témata,
environmentální aspekty,řízení změn,
řízení dodavatelů,
kompetence a povědomí,
cíle a ukazatele,
program interních auditů,
přezkoumání vedením.
Ideálním výsledkem není patnáct nových směrnic. Ideálním výsledkem je jedna řízená gap analýza, jeden akční plán a jasná odpovědnost za jednotlivé kroky.
A závěr?
Rok 2026 není rokem, kdy by firmy nutně potřebovaly o stovky stran dokumentace víc.
Je to rok, kdy potřebují mít lepší přehled o tom, co skutečně dělají, jaká data, materiály, technologie a AI nástroje používají, koho mají v dodavatelském řetězci, jaká rizika řídí a která legislativa a normy se jich skutečně týkají.
Nové ISO 9001:2026 a ISO 14001:2026 navíc poměrně jasně ukazují jeden společný směr: management systém má být méně o formální dokumentaci a více o vedení, kultuře, skutečných výsledcích, rizicích, změnách a schopnosti organizace reagovat na své okolí. ISO 19011:2026 k tomu přidává i modernější, rizikově orientovaný pohled na auditování.
Dobře nastavený management systém by měl nové požadavky absorbovat do existujících procesů.
Špatně nastavený systém na každou novou normu nebo nařízení založí nový šanon.
A pokud máte po roce 2026 chuť založit šanon s názvem „EU + ISO 2026 – raději neotvírat“, je to lidsky pochopitelné.
Jen doporučuji ho skutečně otevřít ještě před auditorem, NÚKIBem nebo zákazníkem.
Komentáře