NIS2 v Česku: co po firmě zákon o kybernetické bezpečnosti skutečně chce

Zákon, který v Česku NIS2 provádí, a koho se týká

Směrnici NIS2 v Česku provádí Zákon o kybernetické bezpečnosti (zákon č. 264/2025 Sb.). Nepracuje s pojmem „firma pod NIS2", ale s pojmem regulovaná služba: podmínky pro její registraci jsou podle § 4 odst. 1 splněny, jde-li o službu významnou v některém z 15 odvětví (veřejná správa, energetika, výrobní průmysl, potravinářský průmysl, chemický průmysl, vodní hospodářství, odpadové hospodářství, doprava, digitální infrastruktura a služby, finanční trh, zdravotnictví, věda, výzkum a vzdělávání, poštovní a kurýrní služby, obranný průmysl, vesmírný průmysl) a poskytovatel je středním nebo velkým podnikem ve smyslu doporučení Komise 2003/361/ES. Registrace může vzniknout i podle § 5 — například u služby, jejíž narušení může způsobit závažný zásah do života více než 125 000 osob.

Podle § 8 je poskytovatel buď v režimu vyšších povinností, nebo v režimu nižších povinností. Na tyto režimy navazuje i statutární kategorizace podle § 18 odst. 4: režim vyšších povinností odpovídá kategorii základní subjekt, režim nižších povinností kategorii důležitý subjekt.

Dvě lhůty, které rozhodují o tempu práce:

• ohlášení služby Úřadu nejpozději do 60 dnů ode dne, kdy ke splnění podmínek došlo (§ 6 odst. 1);
• zavádění opatření: *„Poskytovatel začne plnit povinnost zavádět a provádět bezpečnostní opatření nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby."* (§ 13 odst. 4). Obdobná roční lhůta platí i pro povinnost hlásit incidenty (§ 15 odst. 4).

Bezpečnostní opatření jako jeden celek: pět jader

Seznam bezpečnostních opatření je v § 14 — pro režim vyšších povinností jako organizační a technická opatření v odstavci 1, pro režim nižších povinností v odstavci 2. Nejsou to samostatné projekty, ale jedna provázaná dokumentační sada.

1. Řízení rizik a bezpečnostní politika. Pro režim vyšších povinností jsou mezi organizačními opatřeními výslovně uvedeny „řízení rizik" (§ 14 odst. 1 písm. a) bod 6) a „řízení bezpečnostní politiky a bezpečnostní dokumentace" (bod 4), doplněné o systém řízení bezpečnosti informací a řízení aktiv. V režimu nižších povinností odpovídá řízení rizik § 14 odst. 2 písm. d) a rámec tvoří systém zajišťování minimální kybernetické bezpečnosti (písm. a). Směrnice (EU) 2022/2555 tomu v čl. 21 odst. 2 písm. a) říká politika analýzy rizik a politika bezpečnosti informačních systémů.

2. Zvládání incidentů. Organizačním opatřením je „zvládání kybernetických bezpečnostních událostí a incidentů" (§ 14 odst. 1 písm. a) bod 12), v nižším režimu „řešení kybernetických bezpečnostních incidentů" (§ 14 odst. 2 písm. j). Technicky na to navazuje detekce, zaznamenávání a vyhodnocování událostí (§ 14 odst. 1 písm. b) body 5 až 7). Bez zapsaného postupu se ohlašovací lhůty v praxi neudrží.

3. Řízení kontinuity činností. Uvedeno v § 14 odst. 1 písm. a) bodu 13 a v § 14 odst. 2 písm. f); technickou stranou je zajišťování dostupnosti regulované služby (§ 14 odst. 1 písm. b) bod 10). Čl. 21 odst. 2 písm. c) směrnice sem řadí správu zálohování, obnovu provozu po havárii a krizové řízení.

4. Bezpečnost dodavatelského řetězce. Pro režim vyšších povinností je „řízení dodavatelů" samostatným organizačním opatřením (§ 14 odst. 1 písm. a) bod 7). Odpovídá čl. 21 odst. 2 písm. d) směrnice, který požaduje bezpečnost dodavatelského řetězce včetně bezpečnostních aspektů vztahů mezi subjektem a jeho přímými dodavateli nebo poskytovateli služeb.

5. Odpovědnost vrcholného vedení. „Požadavky na vrcholné vedení" jsou opatřením v obou režimech — § 14 odst. 1 písm. a) bod 2 i § 14 odst. 2 písm. b). Čl. 20 odst. 1 směrnice k tomu doplňuje, že řídicí orgány opatření k řízení kybernetických bezpečnostních rizik schvalují, dohlížejí na jejich zavádění a mohou nést odpovědnost za porušení.

Hlášení incidentů: komu, co a v jakých lhůtách

Podle § 15 hlásí poskytovatel v režimu vyšších povinností kybernetické bezpečnostní incidenty Úřadu, poskytovatel v režimu nižších povinností Národnímu CERT. Významný dopad na poskytování regulované služby má podle § 15 odst. 3 incident, který způsobil nebo může způsobit závažné provozní narušení služeb nebo finanční ztráty, případně jiným osobám značnou újmu.

Postup a lhůty stanoví § 16:

Hlášení se podávají prostřednictvím Portálu Úřadu; § 16 odst. 4 upravuje i náhradní cestu, není-li Portál Úřadu dostupný. Aktuální technické podrobnosti kanálu ověřte podle zveřejněných pokynů Národního úřadu pro kybernetickou a informační bezpečnost (oficiální zdroj).

Schválení vedením a proškolení lidí nejsou dobrovolné

Vrcholné vedení není v zákoně jen adresátem informací. „Požadavky na vrcholné vedení" jsou vyjmenovaným bezpečnostním opatřením v § 14 odst. 1 písm. a) bodu 2 (režim vyšších povinností) i v § 14 odst. 2 písm. b) (režim nižších povinností). Podle čl. 20 odst. 1 směrnice (EU) 2022/2555 řídicí orgány základních i důležitých subjektů opatření schvalují a dohlížejí na jejich zavádění.

Lidská stránka je pokryta opatřením „bezpečnost lidských zdrojů" (§ 14 odst. 1 písm. a) bod 8 a § 14 odst. 2 písm. e). Čl. 21 odst. 2 písm. g) směrnice do opatření řadí základní postupy kybernetické hygieny a školení v oblasti kybernetické bezpečnosti. Pro auditovatelnost to znamená jediné: schválení i školení musí být doložitelné záznamem, ne ústní dohodou.

Dodavatelský řetězec dopadá i na firmy mimo působnost zákona

Toto je nejpodceňovanější důsledek. Zákazník, který je poskytovatelem regulované služby, má „řízení dodavatelů" jako vlastní bezpečnostní opatření (§ 14 odst. 1 písm. a) bod 7) a čl. 21 odst. 2 písm. d) směrnice po něm chce řešit bezpečnostní aspekty vztahů se svými přímými dodavateli a poskytovateli služeb. Tuto povinnost nemůže splnit jinak než tak, že se zeptá vás — a vyžádá si doklady.

Proto dotazníky o zabezpečení, přílohy ke smlouvám a žádosti o doložení postupů dostávají i firmy, které samy podmínky registrace regulované služby nesplňují. Nejde o formalitu ze strany zákazníka: je to plnění jeho vlastní zákonné povinnosti.

U poskytovatele strategicky významné služby jde zákon dál — podle § 31 odst. 1 písm. c) je povinen hlásit Úřadu informace o dodavatelích do 10 dnů ode dne jejich zjištění. Podle § 29 odst. 1 může Úřad vydat opatření obecné povahy, kterým stanoví podmínky nebo zakáže využití plnění dodavatele bezpečnostně významné dodávky v kritické části stanoveného rozsahu.

Dozor se dívá na dokumentaci jako na celek — začněte politikou řízení rizik

Dozorovým orgánem je Úřad: *„Úřad je ústředním správním úřadem pro oblast kybernetické bezpečnosti."* (§ 42 odst. 1). Podle § 42 odst. 3 přijímá ohlášení, rozhoduje o registraci a jejím zrušení, stanovuje bezpečnostní opatření, provozuje Portál Úřadu, vede evidence, provádí kontrolu plnění povinností a ukládá nápravná opatření a ukládá správní tresty za nedodržení povinností. Kontrola a žádosti o informace tedy nemíří na jeden izolovaný dokument, ale na sadu jako celek — proto je samostatným opatřením „řízení bezpečnostní politiky a bezpečnostní dokumentace" (§ 14 odst. 1 písm. a) bod 4) a u režimu vyšších povinností i „provádění auditu kybernetické bezpečnosti" (bod 14). Sankční rámec pro přestupky poskytovatele je v § 59.

První krok z pěti je proto vždy stejný: politika řízení rizik. Je to dokument, na kterém stojí ostatní — postup zvládání incidentů z něj bere kritéria závažnosti, plán kontinuity z něj bere prioritu služeb, řízení dodavatelů z něj bere požadavky kladené na dodavatele a vrcholné vedení podle něj schvaluje a přezkoumává. Bez ní ostatní dokumenty popisují činnosti, které nikdo neodvodil z rizik konkrétní firmy.

Začněte ověřením, zda vaše služba splňuje podmínky registrace podle § 4 nebo § 5 a v jakém režimu byste byli podle § 8. Závazné je vždy oficiální znění zákona a zveřejněné pokyny Národního úřadu pro kybernetickou a informační bezpečnost.