NIS2 v Česku: kdo spadá do působnosti (základní a důležité subjekty)

Nový zákon o kybernetické bezpečnosti a proč se ho týkat

Směrnice NIS2 (směrnice (EU) 2022/2555) byla do českého právního řádu převzata zákonem o kybernetické bezpečnosti (zákon č. 264/2025 Sb.). Zákon výrazně rozšiřuje okruh organizací, na které dopadají povinnosti v oblasti kybernetické bezpečnosti.

Ústředním správním úřadem pro oblast kybernetické bezpečnosti je Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB), v zákoně označovaný jako „Úřad“, se sídlem v Brně. Úřad přijímá ohlášení, rozhoduje o registraci regulované služby, stanovuje bezpečnostní opatření, provozuje Portál Úřadu a ukládá správní tresty (§ 42). Národní CERT působí jako kontaktní místo pro poskytovatele regulovaných služeb v režimu nižších povinností (§ 43).

Pro každou střední i větší firmu je proto klíčové zjistit, zda do působnosti zákona spadá — a pokud ano, do jaké kategorie.

Test působnosti: odvětví + velikost podniku

Podmínky pro registraci regulované služby jsou upraveny v § 4 zákona. Působnost je založena na dvou souběžných kritériích:

1. Odvětví. Musí jít o službu významnou v některém z 15 odvětví uvedených v § 4 odst. 1:

• veřejná správa
• energetika
• výrobní průmysl
• potravinářský průmysl
• chemický průmysl
• vodní hospodářství
• odpadové hospodářství
• doprava
• digitální infrastruktura a služby
• finanční trh
• zdravotnictví
• věda, výzkum a vzdělávání
• poštovní a kurýrní služby
• obranný průmysl
• vesmírný průmysl

2. Velikost podniku. Poskytovatel musí být středním nebo velkým podnikem ve smyslu doporučení Komise 2003/361/ES (§ 4 odst. 1).

Zjednodušeně: pokud vaše organizace působí v jednom z uvedených 15 odvětví a zároveň je střední nebo velký podnik, je velmi pravděpodobné, že do působnosti zákona spadáte.

Základní subjekt vs. důležitý subjekt: dvě kategorie povinností

Zákon rozlišuje poskytovatele podle režimu povinností (§ 8):

• Režim vyšších povinností — poskytovatel, který je značně ekonomicky, společensky nebo bezpečnostně významný pro Českou republiku.
• Režim nižších povinností — poskytovatel, který není v režimu vyšších povinností.

Tyto režimy odpovídají kategoriím subjektů podle čl. 3 směrnice (EU) 2022/2555. Podle § 18 platí, že poskytovatel v režimu vyšších povinností se řídí ustanoveními platnými pro základní subjekt (essential entity), zatímco poskytovatel v režimu nižších povinností se řídí ustanoveními platnými pro důležitý subjekt (important entity).

Obě kategorie mají povinnost zavádět vhodná a přiměřená bezpečnostní opatření — rozsah a intenzita se však liší podle přílohy prováděcího předpisu Komise (§ 18).

Práh významnosti a zvláštní odvětví digitální infrastruktury

Vedle odvětví a velikosti stanovuje zákon také práh významnosti služby. Podle § 5 písm. b) jde o službu, jejíž narušení může způsobit závažný zásah do života více než 125 000 osob.

Pro odvětví digitální infrastruktury a služeb platí zvláštní ustanovení § 18. Vztahuje se mimo jiné na poskytovatele:

• služby DNS a registru TLD
• služby vytvářející důvěru
• cloud computingu a datového centra
• sítě pro doručování obsahu (CDN)
• on-line tržiště a internetového vyhledávače
• platformy sociální sítě
• řízené služby a řízené bezpečnostní služby

Tito poskytovatelé musí zavést minimálně řízení rizik, bezpečnostní politiku, zvládání incidentů, řízení kontinuity, řízení dodavatelů, aplikační bezpečnost, kryptografické algoritmy a správu identit — v rozsahu podle prováděcího předpisu Komise (§ 18 odst. 1).

Co znamená být v působnosti: hlavní povinnosti a sankce

Pokud spadáte do působnosti, po registraci regulované služby vás čekají zejména:

• Bezpečnostní opatření — povinnost začít je zavádět a provádět nejpozději do 1 roku ode dne doručení rozhodnutí o registraci (§ 13 odst. 4).
• Hlášení incidentů — prvotní hlášení bez zbytečného odkladu, nejpozději do 24 hodin po zjištění incidentu, oznámení do 72 hodin a závěrečnou zprávu do 30 dnů (§ 16).
• Bezpečnost dodavatelského řetězce — poskytovatel strategicky významné služby hlásí Úřadu informace o dodavatelích do 10 dnů ode dne jejich zjištění (§ 31).

Sankce za přestupky mohou být citelné (§ 59). Například u poskytovatele v režimu vyšších povinností lze uložit pokutu až do 250 000 000 Kč nebo až do 2 % čistého celosvětového ročního obratu, podle toho, která částka je vyšší; u režimu nižších povinností až 175 000 000 Kč nebo 1,4 % obratu.

Přesný elektronický kanál Portálu Úřadu pro registraci a hlášení potvrdí Úřad (NÚKIB).