10 opatření řízení rizik podle NIS2 (článek 21): praktický kontrolní seznam pro české firmy

Co požaduje článek 21 NIS2 a jak jej přebírá český zákon

Směrnice NIS2 (směrnice (EU) 2022/2555) v čl. 21(1) ukládá, aby subjekty přijaly „vhodná a přiměřená technická, provozní a organizační opatření" k řízení rizik pro bezpečnost sítí a informačních systémů a k prevenci či zmírnění dopadů incidentů.

Klíčové je, že opatření mají být přiměřená. Podle čl. 21(1) se při posuzování přiměřenosti zohledňuje:

• míra vystavení subjektu rizikům,
• velikost subjektu,
• pravděpodobnost výskytu incidentů a jejich závažnost, včetně společenského a ekonomického dopadu.

Článek 21(2) navíc vyžaduje tzv. přístup zohledňující všechna rizika (all-hazards approach), který chrání nejen systémy, ale i jejich fyzické prostředí.

V Česku tato pravidla přebírá Zákon o kybernetické bezpečnosti (zákon č. 264/2025 Sb.). Podle § 13 platí, že poskytovatel začne plnit povinnost zavádět a provádět bezpečnostní opatření nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby. To znamená, že po registraci máte konkrétní časové okno na dosažení souladu.

Deset opatření podle čl. 21(2) jako kontrolní seznam

Článek 21(2) NIS2 stanoví, že opatření zahrnují alespoň následujících deset oblastí, písmena (a) až (j). Použijte je jako výchozí kontrolní seznam:

Seznam je minimem — nikoli stropem. Konkrétní technická podoba se odvíjí od míry rizika a velikosti vaší organizace.

Jak český zákon opatření strukturuje

Zákon č. 264/2025 Sb. rozlišuje režim vyšších povinností a režim nižších povinností (§ 8). Poskytovatel v režimu vyšších povinností je „značně ekonomicky, společensky nebo bezpečnostně významný pro Českou republiku"; ostatní jsou v režimu nižších povinností.

Kategorie subjektů podle § 18 odpovídají terminologii směrnice (čl. 3 směrnice (EU) 2022/2555):

• režim vyšších povinností → základní subjekt (essential),
• režim nižších povinností → důležitý subjekt (important).

Pro odvětví digitální infrastruktury a služeb § 18 výslovně jmenuje minimální rozsah opatření, který zahrnuje mimo jiné: řízení rizik, řízení bezpečnostní politiky, zvládání incidentů, řízení kontinuity činností, řízení dodavatelů, bezpečnou akvizici, aplikační bezpečnost, bezpečnost lidských zdrojů, kryptografické algoritmy a řízení přístupu a správu identit — podle prováděcího předpisu Komise (EU) 2022/2555.

Oblast dodavatelského řetězce [písm. (d)] rozvíjejí § 29 a § 31: Úřad může opatřením obecné povahy omezit nebo zakázat využití plnění dodavatele bezpečnostně významné dodávky (§ 29), a poskytovatel strategicky významné služby je povinen hlásit Úřadu informace o dodavatelích do 10 dnů ode dne jejich zjištění (§ 31 odst. 1 písm. c).

Vazba na hlášení incidentů a odpovědnost vedení

Opatření pro zvládání incidentů [písm. (b)] jsou úzce spojena s ohlašovací povinností. Podle § 16 zákona č. 264/2025 Sb. poskytovatel regulované služby:

• předloží prvotní hlášení bez zbytečného odkladu, nejpozději do 24 hodin po zjištění incidentu,
• podá oznámení nejpozději do 72 hodin,
• předloží závěrečnou zprávu nejpozději do 30 dnů.

Ústředním správním úřadem pro oblast kybernetické bezpečnosti je Úřad — Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) se sídlem v Brně, který přijímá ohlášení, rozhoduje o registraci a provozuje Portál Úřadu (§ 42). Národní CERT je kontaktním místem pro poskytovatele regulovaných služeb v režimu nižších povinností (§ 43).

Na opatření se nemá dívat jen IT oddělení. Podle čl. 20(1) NIS2 řídicí orgány základních a důležitých subjektů schvalují opatření řízení rizik, dohlížejí na jejich zavádění a mohou nést odpovědnost za porušení. Pokud subjekt zjistí, že opatření nesplňuje, musí podle čl. 21(4) bez zbytečného odkladu přijmout nezbytná nápravná opatření.

Přesný elektronický kanál Portálu Úřadu pro registraci a hlášení [TÄPSUSTAB PARTNER-JURIST].

Sankce a další postup

Nedodržení povinností může být sankcionováno. Podle § 59 zákona č. 264/2025 Sb. lze uložit pokutu například:

• do 250 000 000 Kč nebo až 2 % čistého celosvětového ročního obratu (podle toho, která částka je vyšší) — u vybraných přestupků poskytovatele v režimu vyšších povinností,
• do 175 000 000 Kč nebo až 1,4 % čistého celosvětového ročního obratu (podle toho, která částka je vyšší) — u vybraných přestupků poskytovatele v režimu nižších povinností.

Další sazby dosahují 100, 50 a 35 milionů Kč podle konkrétního přestupku (§ 59 odst. 4).

Praktický další krok: ověřte, zda vaše služba spadá do některého z 15 odvětví podle § 4 a zda jste střední nebo velký podnik, poté proveďte analýzu rozdílů (gap analýzu) oproti deseti oblastem čl. 21(2). Náš bezplatný scoping/gap nástroj vám pomůže rychle zjistit, kterých opatření se vaše organizace týká a kde máte mezery.