Je váš NIS2 dokument v Česku právně podložený? Pět kroků, jak to ověřit

1. Dohledatelnost: každá povinnost potřebuje konkrétní paragraf

První test je mechanický a zvládne ho i netechnický čtenář. Vezměte dokument a projděte věty, které něco přikazují („musíme“, „je povinen“, „nejpozději do“). U každé takové věty se ptejte: z jakého ustanovení kterého předpisu to plyne?

V Česku je rozhodným předpisem Zákon o kybernetické bezpečnosti (zákon č. 264/2025 Sb.). Odkaz na směrnici (EU) 2022/2555 sám o sobě nestačí — směrnice se na firmu neaplikuje přímo, povinnosti stanoví český zákon. Dokument, který cituje jen směrnici nebo neuvádí nic, se nedá zkontrolovat: nemáte kam nahlédnout a porovnat.

Takto vypadá dohledatelný odkaz — doslovná citace se zdrojem:

„Poskytovatel začne plnit povinnost zavádět a provádět bezpečnostní opatření nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby.“ — zákon č. 264/2025 Sb., § 13 odst. 4

Čtenář si větu najde v úředním znění a ověří ji. To je standard, který má splňovat každé právní tvrzení v dokumentu.

Praktická zkouška: náhodně vyberte tři povinnosti a zkuste je dohledat. Pokud u dvou z nich odkaz chybí nebo míří jinam, není to detail — je to signál, že dokument vznikl bez vazby na české znění.

2. Pokrytí: odpovídá dokument seznamu bezpečnostních opatření?

Českým protějškem výčtu opatření k řízení rizik je § 14 zákona č. 264/2025 Sb. (Seznam bezpečnostních opatření). Obsah se liší podle režimu poskytovatele.

Pro režim vyšších povinností (§ 14 odst. 1) jsou organizačními opatřeními: systém řízení bezpečnosti informací, požadavky na vrcholné vedení, stanovení bezpečnostních rolí, řízení bezpečnostní politiky a bezpečnostní dokumentace, řízení aktiv, řízení rizik, řízení dodavatelů, bezpečnost lidských zdrojů, řízení změn, akvizice, vývoj a údržba, řízení přístupu, zvládání kybernetických bezpečnostních událostí a incidentů, řízení kontinuity činností a provádění auditu kybernetické bezpečnosti. Technickými opatřeními jsou fyzická bezpečnost, bezpečnost komunikačních sítí, správa a ověřování identit, řízení přístupových práv a oprávnění, detekce kybernetických bezpečnostních událostí, zaznamenávání událostí, vyhodnocování kybernetických bezpečnostních událostí, aplikační bezpečnost, kryptografické algoritmy, zajišťování dostupnosti regulované služby a zabezpečení průmyslových, řídicích a obdobných specifických technických aktiv.

Pro režim nižších povinností (§ 14 odst. 2) jde o: systém zajišťování minimální kybernetické bezpečnosti, požadavky na vrcholné vedení, řízení aktiv, řízení rizik, bezpečnost lidských zdrojů, řízení kontinuity činností, řízení přístupu, řízení identit a jejich oprávnění, detekci a zaznamenávání kybernetických bezpečnostních událostí, řešení kybernetických bezpečnostních incidentů, bezpečnost komunikačních sítí, aplikační bezpečnost a kryptografické algoritmy.

Udělejte si jednoduchou tabulku: v levém sloupci položky ze zákona pro váš režim, v pravém kapitola dokumentu, která je pokrývá. Prázdné řádky ukazují, kde dokument mlčí.

Pozor i na kategorie subjektu: podle § 18 se poskytovatel v režimu vyšších povinností řídí ustanoveními pro základní subjekt, poskytovatel v režimu nižších povinností ustanoveními pro důležitý subjekt. Dokument, který tento rozdíl vůbec nezmiňuje, patrně nebyl psán na váš profil.

3. Znění: povinnost musí sedět na text zákona, ne na volnou parafrázi

Volný převyprávěný text bývá zdrojem tichých chyb — posune lhůtu, adresáta nebo podmínku. Postup porovnání je jednoduchý:

1. Vyberte v dokumentu větu s povinností.
2. Otevřete úřední znění zákona č. 264/2025 Sb. u uvedeného paragrafu.
3. Porovnejte čtyři prvky: kdo (koho se povinnost týká), co (co se má udělat), komu (adresát podání) a do kdy (lhůta).

Příklad, na čem se dá parafráze přistihnout: § 16 odst. 1 ukládá předložit prvotní hlášení bez zbytečného odkladu, nejpozději do 24 hodin po zjištění incidentu; oznámení podle § 16 odst. 3 písm. a) se předkládá nejpozději do 72 hodin; závěrečná zpráva podle § 16 odst. 3 písm. c) nejpozději do 30 dnů. Rovněž ohlášení služby má vlastní lhůtu — do 60 dnů ode dne, kdy došlo ke splnění podmínek (§ 6 odst. 1). Pokud dokument slučuje lhůty do jedné věty, zaokrouhluje je nebo je připisuje jinému adresátovi, neodpovídá zákonu.

Stejně ověřte i podmínky působnosti: odvětví a velikost podniku podle § 4, další podmínky podle § 5 (například služba, jejíž narušení může způsobit závažný zásah do života více než 125 000 osob), zvláštní pravidla pro určování velikosti podniku podle § 7 a rozdělení režimů podle § 8.

4. Schválení vedením: nepodepsaný dokument je nedokončený

Směrnice (EU) 2022/2555 v čl. 20 odst. 1 požaduje, aby řídící orgány základních a důležitých subjektů opatření k řízení kybernetických bezpečnostních rizik schválily, dohlížely nad jejich uplatňováním a mohly nést odpovědnost při porušení. České provedení se promítá do seznamu opatření: „požadavky na vrcholné vedení“ jsou samostatnou položkou jak v § 14 odst. 1 písm. a) bodě 2, tak v § 14 odst. 2 písm. b) zákona č. 264/2025 Sb.

Z toho plyne praktický test dokumentu:

• Je v něm uvedeno, kdo opatření schválil a kdy?
• Je z něj patrné, jak vedení uplatňování opatření průběžně sleduje (například pravidelný bod jednání, přehled o incidentech, revize po změnách)?
• Existuje záznam o schválení — zápis, podpis, evidovaná verze?

Sada dokonale napsaných kapitol bez data, verze a schválení je z pohledu kontroly nedokončená práce. Verzování a záznamy jsou přitom levné: stačí, aby každý dokument nesl číslo verze, datum, jméno schvalovatele a datum příští revize.

5. Co si ověřuje dozorový úřad a co odběratel

Podle § 42 zákona č. 264/2025 Sb. platí: „Úřad je ústředním správním úřadem pro oblast kybernetické bezpečnosti.“ — zákon č. 264/2025 Sb., § 42 odst. 1. Úřad podle § 42 odst. 3 přijímá ohlášení, rozhoduje o registraci a jejím zrušení, stanovuje bezpečnostní opatření, provozuje Portál Úřadu, vede evidence, provádí kontrolu plnění povinností a ukládá nápravná opatření a ukládá správní tresty za nedodržení povinností. Národní CERT podle § 43 odst. 1 působí jako kontaktní místo pro poskytovatele regulovaných služeb v režimu nižších povinností a plní roli CSIRT týmu.

Pro dokumentaci to znamená, že musí obstát jako doklad, ne jako prezentace: dohledatelné odkazy, jasné role, záznamy o schválení a o provedených krocích.

Druhým tlakem je dodavatelský řetězec. Řízení dodavatelů je samostatným opatřením podle § 14 odst. 1 písm. a) bodu 7. Podle § 31 odst. 1 písm. c) je poskytovatel strategicky významné služby povinen hlásit Úřadu informace o dodavatelích do 10 dnů ode dne jejich zjištění; § 29 odst. 1 dále umožňuje Úřadu vydat opatření obecné povahy, kterým stanoví podmínky nebo zakáže využití plnění dodavatele bezpečnostně významné dodávky v kritické části stanoveného rozsahu. Proto se firmy stále častěji ptají svých dodavatelů na dokumentaci — i těch, které samy registrovanou službu neposkytují.

Pokud si u konkrétní věty nejste jisti výkladem, vycházejte z úředního znění předpisu a ze zveřejněných pokynů Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB) jako oficiálního zdroje. Žádný dokument sám o sobě neznamená splnění zákonných povinností — rozhoduje to, co je skutečně zavedeno, schváleno a doloženo.