Z nové výzvy NÚKIB nedostane peníze projekt, jehož výstup poslouží jen žadateli

Národní úřad pro kybernetickou a informační bezpečnost přijímá od 24. září žádosti do páté výzvy k podávání projektů. Jmenuje se Cyber Security Boost, rozdělí 30 milionů korun a ucházet se o ni mohou malé a střední podniky a nestátní neziskové organizace. Na pouhé zabezpečení vlastního provozu ale výzva nemíří.

Výstup nesmí být šitý na jediného uživatele

V textu výzvy to stojí jednou větou: „Výstupy nesmí být navrženy výhradně pro jednoho uživatele/příjemce.“ Každý projekt musí obsahovat aspoň jedno pilotní nasazení nebo praktické ověření a prokázat, že se výsledek dá přenést i jinam. Nasazení u jedné organizace je podle výzvy způsobilé hlavně jako pilot, na kterém se ta přenositelnost ukáže.

Úřad rovnou píše i to, co prioritou není: samotné analýzy, obecná školení nebo dokumentace bez implementačních a validačních aktivit. A u ukazatelů, kterými se projekt bude měřit, dodává, že pouhý počet uskutečněných schůzek, školení nebo vytvořených dokumentů bez vazby na ověřitelný výsledek nestačí.

Malé firmy, plnění regulace a obnova po incidentu

Tematické oblasti jsou tři:

• řešení pro odolnost malých a středních podniků, typicky nástroje na sebehodnocení, na určení priorit opatření a přenositelné implementační balíčky pro celý obor;
• nástroje a služby pro připravenost na regulaci a pro řízení rizik; výzva jmenuje NIS2, akt o kybernetické odolnosti (CRA) a DORA, dále bezpečnost dodavatelských řetězců, bezpečný vývoj, soupisy komponent SBOM a správu zranitelností;
• služby a technika pro připravenost na incidenty, reakci a obnovu, včetně cvičebních scénářů, testování obnovy a nástrojů na koordinaci, eskalaci a hlášení.

Polovinu nákladů platí žadatel

Na jeden projekt může padnout 1,5 až 2,5 milionu korun. Rozhodující je ovšem eurová částka: výzva stanoví minimum 60 000 EUR a maximum 100 000 EUR, korunový ekvivalent uvádí s tím, že závisí na aktuálním kurzu. Podpora navíc pokryje jen polovinu způsobilých nákladů, takže druhou polovinu musí žadatel sehnat jinde. Ne však z jiné veřejné podpory na tytéž výdaje, to výzva vylučuje.

Peníze jdou v režimu de minimis. Podle čl. 3 odst. 2 nařízení Komise (EU) 2023/2831 nesmí podpora de minimis udělená jedním členským státem jednomu podniku přesáhnout v žádném tříletém období 300 000 EUR. Kdo ten strop už vyčerpal, je mimo hru.

Hodnotí se až po uzávěrce a platí se po podpisu smlouvy

Výdaj může vzniknout ještě před podpisem smlouvy, ale ne dřív než 24. září 2026, tedy ode dne vyhlášení. Projekty se přitom podle výzvy hodnotí až po ukončení příjmu žádostí, což je 30. listopadu. A odeslání peněz na účet lze podle odpovědí na časté dotazy čekat v horizontu měsíce až dvou od podpisu smlouvy, protože předtím proběhne veřejnosprávní kontrola. Kdo chce začít hned, jde do toho ze svého.

Akademická instituce sama žádat nemůže

Způsobilí žadatelé jsou malé a střední podniky a nestátní neziskové organizace, u kterých se navíc posuzuje odborná způsobilost a schopnost výstup opravdu vytvořit a ověřit. Akademické a výzkumné instituce se mohou zapojit jen jako členové konsorcia, ve kterém je aspoň jeden malý nebo střední podnik; samostatnou žádost podat nemohou. Sídlo musí být v členském státě EU nebo v Norsku, na Islandu či v Lichtenštejnsku, a to i u osoby, která žadatele ovládá.

Žádost se posílá datovou schránkou úřadu. Podepisuje ji osoba oprávněná jednat za organizaci, ne hlavní řešitel; mezi povinnými přílohami je strukturovaný životopis každého člena řešitelského týmu a chybějící životopis může být důvodem k vyřazení žádosti z hodnocení.

Termíny a délka projektu

Příjem žádostí končí 30. listopadu 2026 v 19:00. Na 20. října od 14:00 chystá úřad k podmínkám online webinář. Projekt může běžet nejvýš 24 měsíců a nejzazší termín pro ukončení podpořených projektů je 30. dubna 2029. Výzva je součástí projektu NCC-CZ 2.0, který je kofinancovaný z programu Digitální Evropa.

Předchozí dvě výzvy mířily úzce na jedno nařízení

Čtvrtá výzva téhož úřadu (Cyber Resillience Boost, žádosti od 2. února do 2. dubna 2026) i třetí (od 15. září do 30. listopadu 2025) se soustředily na povinnosti z aktu o kybernetické odolnosti: na nástroje pro sebehodnocení výrobců, na školení malých a středních podniků a u třetí i na kapacity orgánů posuzování shody. Pátá je proti nim širší a pilotní nasazení z ní dělá povinnou součást každého projektu, ne jednu z možných aktivit.

Zdroje

• NÚKIB: Výzvy – zadání 5. výzvy „Cyber Security Boost“ i znění předchozích výzev
• NÚKIB: 5. Výzva NKC (PDF, vyvěšeno 24. září 2026)
• NÚKIB: FAQ 5. Výzva (PDF)
• EUR-Lex: Nařízení Komise (EU) 2023/2831 o použití článků 107 a 108 Smlouvy o fungování Evropské unie na podporu de minimis
• Lupa.cz: Stát rozdává miliony na kyberbezpečnost (29. září 2026)