Incident na letišti Lipsko/Halle ze 4. srpna 2026 ukazuje, jak se proměňuje prostředí, ve kterém musí provozovatelé kritické infrastruktury uvažovat o bezpečnosti. V prostoru letiště byl nalezen dron vybavený výbušninou v bezprostřední blízkosti transportních letounů ukrajinské společnosti Antonov Airlines. Německá vláda 1. září oznámila, že na základě policejního vyšetřování, způsobu provedení útoku a zpravodajských poznatků připisuje odpovědnost Rusku. Trestní vyšetřování přitom nadále pokračuje. Rusko odpovědnost odmítlo a německá obvinění označilo za nepodložená. [1,2,3]
Událost, kterou německá vláda označuje za hybridní útok, připomíná zranitelnost klíčové dopravní infrastruktury vůči úmyslnému narušení a sabotáži. Pro české prostředí je však podstatná především otázka, jak podobné scénáře promítnout do řízení odolnosti podle nové právní úpravy.
Nařízení vlády č. 127/2026 Sb., účinné od 18. července 2026, mezi základní služby zahrnuje mimo jiné provoz, správu a údržbu letištní infrastruktury, služby řízení letového provozu a při splnění stanovených kritérií také osobní a nákladní leteckou dopravu. Samotné působení v některé z těchto oblastí však automaticky neznamená postavení subjektu kritické infrastruktury. Rozhodující je splnění příslušných kritérií významnosti a následné zařazení poskytovatele základní služby na seznam subjektů kritické infrastruktury. [4,5]
Subjekty zařazené na tento seznam mají podle zákona č. 266/2025 Sb. povinnost zpracovat posouzení rizik a na jeho základě přijímat technická, bezpečnostní a organizační opatření k zajištění své odolnosti. Zákon pracuje zejména s řízením rizik, zajištěním kontinuity činností, odezvou na incidenty, fyzickou bezpečností, řízením bezpečnosti pracovníků a řízením bezpečnosti dodavatelského řetězce. Podstatou nové úpravy proto není izolované zavádění jednotlivých ochranných prvků, ale jejich propojení do funkčního systému odolnosti. [4]
Vyhláška č. 122/2026 Sb., účinná od 1. srpna 2026, tento rámec dále konkretizuje. Při posuzování rizik musí subjekt zohlednit nejen přírodní vlivy a technická selhání, ale také rizika související s činností člověka, přeshraniční hrozby, hybridní nebo obdobné hrozby, ozbrojený konflikt či teroristické útoky. [6]
V oblasti fyzické bezpečnosti vyhláška počítá například s mechanickými zábranami, dohledovými videosystémy, systémy kontroly a evidence vstupu nebo dalšími detekčními technologiemi. Mezi možné prostředky technických opatření výslovně řadí také bezpečnostní bezpilotní systémy pro monitoring chráněných prostor a systémy ke zjištění přítomnosti cizích bezpilotních systémů. Jejich zavedení však není automatickou povinností – potřebu konkrétních opatření subjekt vyhodnocuje v návaznosti na vlastní posouzení rizik. [6]
Právě zde má lipský incident pro české organizace praktický význam. Ukazuje, že úmyslné použití bezpilotního prostředku proti významné infrastruktuře nelze vnímat pouze jako teoretický scénář. Z pohledu řízení rizik proto dává smysl prověřit, zda posouzení rizik zahrnuje například narušení chráněného prostoru pomocí bezpilotního prostředku, poškození klíčového zařízení, omezení nebo výpadek části provozu či potřebu rychlé koordinace s bezpečnostními složkami a dalšími partnery.
Nejde přitom pouze o fyzickou ochranu. Stejná logika se promítá do personální bezpečnosti. Technické zabezpečení může ztrácet účinnost, pokud organizace nemá dostatečný přehled o tom, kdo má přístup ke kritickým prostorům, informacím nebo provozním procesům.
Vyhláška proto požaduje identifikaci kritických pracovníků, nastavení přístupových práv a vytvoření postupů pro ověřování jejich spolehlivosti. Ty zahrnují mimo jiné stanovení způsobu a četnosti kontroly dokumentů prokazujících totožnost a bezúhonnost. Součástí systému je rovněž rozvoj bezpečnostního povědomí, školení pracovníků a kontrola dodržování stanovených opatření. Personální bezpečnost tak není pouze podpůrnou administrativou, ale jednou z vrstev celkové odolnosti organizace. [6]
Podobný princip platí pro dodavatelský řetězec a reakci na incidenty. Subjekt musí evidovat své kritické dodavatele a na základě posouzení rizik přijímat opatření ke snížení rizik spojených s kritickými dodavateli nebo dodavatelskými řetězci. Pro řešení incidentů má mít zároveň nastavené procesy jejich identifikace, zaznamenání a vyhodnocení, způsob koordinace reakce a následné posouzení účinnosti přijatých opatření. [6]
Lipský incident proto není návodem k zavedení jednoho konkrétního bezpečnostního prvku ani automatickým argumentem pro pořízení antidronového systému. Je především praktickým testem otázky, zda posouzení rizik a plán odolnosti skutečně počítají s kombinací fyzických, provozních, personálních a dodavatelských hrozeb. Právě na prokazatelné řízení rizik a vzájemné propojení jednotlivých opatření klade nový český právní rámec důraz.
Zdroje
[1] Bundesregierung: Entschlossenes Vorgehen gegen hybriden Angriff – Versuchter Anschlag am Flughafen Leipzig/Halle, 4. 9. 2026.
[2] Tagesschau / NDR / WDR / Süddeutsche Zeitung: Flughafen Leipzig/Halle – Drohne mit Sprengstoff und Zünder entdeckt, 5. 8. 2026.
[3] Reuters: Russia calls Germany’s Leipzig drone attack claims false and an unprecedented escalation, 1. 9. 2026.
[4] Zákon č. 266/2025 Sb., o odolnosti subjektů kritické infrastruktury a o změně souvisejících zákonů (zákon o kritické infrastruktuře), zejména § 11, § 14 a § 15.
[5] Nařízení vlády č. 127/2026 Sb., o základních službách a kritériích významnosti podle zákona o kritické infrastruktuře, příloha – část II. Doprava, A. Letecká doprava.
[6] Vyhláška č. 122/2026 Sb., o plánu odolnosti, posouzení rizik, opatřeních k zajištění odolnosti subjektů kritické infrastruktury a o hlášení incidentu, zejména § 3 a § 8 až 11.