NIS2 a dopravní firmy v Česku: kdy spadáte pod zákon o kybernetické bezpečnosti

Spadá doprava pod českou úpravu NIS2? Stručná odpověď

Ano, doprava je jedním z odvětví, na která česká úprava NIS2 dopadá. Zákon o kybernetické bezpečnosti (zákon č. 264/2025 Sb.) uvádí dopravu v § 4 odst. 1 písm. a) mezi patnácti odvětvími, v nichž může být služba registrována jako regulovaná. Samotné zařazení do odvětví ale nestačí — podmínky pro registraci jsou splněny až tehdy, jde-li o službu významnou pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice a zároveň je poskytovatel středním nebo velkým podnikem ve smyslu doporučení Komise 2003/361/ES (§ 4 odst. 1).

Co udělat jako první: ověřte, zda vaše konkrétní služba patří mezi služby, jejichž seznam podle § 4 odst. 2 stanoví Úřad vyhláškou, a posuďte velikost svého podniku podle pravidel doporučení Komise 2003/361/ES se zvláštními odchylkami podle § 7. Pokud podmínky splňujete, máte podle § 6 odst. 1 povinnost službu ohlásit Úřadu nejpozději do 60 dnů ode dne, kdy ke splnění podmínek došlo.

Jak zákon pojmenovává odvětví dopravy

Zákon nepracuje s obchodním označením firmy, ale s odvětvím a s regulovanou službou. Výčet odvětví v § 4 odst. 1 písm. a) zákona č. 264/2025 Sb. zní doslovně mimo jiné takto:

> „7. odpadové hospodářství, 8. doprava, 9. digitální infrastruktura a služby, 10. finanční trh, 11. zdravotnictví, 12. věda, výzkum a vzdělávání, 13. poštovní a kurýrní služby, 14. obranný průmysl, 15. vesmírný průmysl; a poskytovatel je středním nebo velkým podnikem ve smyslu doporučení Komise 2003/361/ES.“

Odvětví je tedy v zákoně pojmenováno jednoslovně jako „doprava“. Zákon v tomto ustanovení dopravu dále nečlení na jednotlivé druhy; podrobnější seznam služeb podle § 4 odst. 1 písm. a) a vymezení podmínek významnosti poskytovatele podle § 4 odst. 1 písm. b) stanoví Úřad vyhláškou (§ 4 odst. 2). Aktuální znění této vyhlášky si ověřte podle pokynů zveřejněných Národním úřadem pro kybernetickou a informační bezpečnost (NÚKIB) jako oficiálního zdroje.

Pro dopravní firmy z toho plyne praktický závěr: rozhodující není, jestli se sami označujete za dopravce, provozovatele infrastruktury nebo správce provozu, ale zda konkrétní služba, kterou poskytujete, odpovídá službě uvedené v seznamu.

Kdo je základní subjekt a kdo důležitý subjekt

Zákon zavádí dva režimy poskytovatele. Podle § 8 odst. 1 je v režimu vyšších povinností poskytovatel regulované služby, který je z důvodu své velikosti, počtu uživatelů, geografického rozšíření služby, dopadu na fungování odvětví nebo jiného poskytovatele regulované služby nebo rizikovosti provozu značně ekonomicky, společensky nebo bezpečnostně významný pro Českou republiku. V režimu nižších povinností je poskytovatel, který v režimu vyšších povinností není. Rozdělení poskytovatelů do režimů podle poskytovaných regulovaných služeb stanoví Úřad vyhláškou (§ 8 odst. 2).

Na evropskou terminologii se režimy váží takto: poskytovatel v režimu vyšších povinností se řídí ustanoveními platnými pro osoby zařazené do kategorie základních subjektů, poskytovatel v režimu nižších povinností pro osoby zařazené do kategorie důležitých subjektů (§ 18 odst. 4).

Prahy, které rozhodují:

• Velikost podniku — střední nebo velký podnik ve smyslu doporučení Komise 2003/361/ES (§ 4 odst. 1 písm. b); alternativně poskytovatel významný pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v ČR.
• Odchylky při určování velikosti — čl. 3 odst. 4 doporučení Komise 2003/361/ES se neuplatní; za podnik se nepovažují organizační složky státu, územní samosprávné celky a Česká národní banka; za partnerský nebo propojený podnik se nepovažují osoby, jejichž technická aktiva jsou zcela oddělena od technických aktiv používaných při poskytování regulované služby (§ 7).
• Registrace i bez splnění velikostního prahu — podle § 5 mohou být podmínky splněny například tehdy, jde-li o službu, jejíž narušení může způsobit závažný zásah do života více než 125 000 osob, nebo jejíž poskytovatel je jediným poskytovatelem této služby v ČR, případně je subjektem kritické infrastruktury. Řízení podle § 5 lze zahájit pouze z moci úřední (§ 6 odst. 3) a poskytovatel takto registrované služby je v režimu vyšších povinností (§ 8 odst. 3).

Hlavní povinnosti: registrace, bezpečnostní opatření, vrcholné vedení

Zákon neukládá dopravním firmám žádné zvláštní odvětvové povinnosti navíc — na všechny poskytovatele regulovaných služeb dopadají stejná pravidla podle příslušného režimu.

Ohlášení a registrace. Poskytovatel splňující podmínky podle § 4 odst. 1 ohlásí službu Úřadu nejpozději do 60 dnů ode dne, kdy ke splnění podmínek došlo; formát a způsob ohlášení stanoví Úřad vyhláškou (§ 6 odst. 1).

Lhůta na zavedení opatření. Povinnost zavádět a provádět bezpečnostní opatření začíná poskytovatel plnit nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby (§ 13 odst. 4).

Seznam opatření (§ 14). Pro režim vyšších povinností jde o organizační opatření, mimo jiné systém řízení bezpečnosti informací, požadavky na vrcholné vedení, stanovení bezpečnostních rolí, řízení aktiv, řízení rizik, řízení dodavatelů, bezpečnost lidských zdrojů, řízení změn, řízení přístupu, zvládání kybernetických bezpečnostních událostí a incidentů, řízení kontinuity činností a provádění auditu kybernetické bezpečnosti; a o technická opatření, například fyzickou bezpečnost, bezpečnost komunikačních sítí, správu a ověřování identit, detekci a zaznamenávání událostí, aplikační bezpečnost, kryptografické algoritmy, zajišťování dostupnosti regulované služby a zabezpečení průmyslových, řídicích a obdobných specifických technických aktiv. Pro režim nižších povinností je rozsah užší: systém zajišťování minimální kybernetické bezpečnosti, požadavky na vrcholné vedení, řízení aktiv, řízení rizik, bezpečnost lidských zdrojů, řízení kontinuity činností, řízení přístupu, řízení identit a jejich oprávnění, detekce a zaznamenávání událostí, řešení incidentů, bezpečnost komunikačních sítí, aplikační bezpečnost a kryptografické algoritmy (§ 14 odst. 2).

Evropský základ. Směrnice (EU) 2022/2555 v čl. 21 odst. 2 vyžaduje přístup zohledňující všechny druhy rizik zahrnující alespoň politiku analýzy rizik a bezpečnosti informačních systémů, řešení incidentů, řízení kontinuity provozu, bezpečnost dodavatelského řetězce, zabezpečení pořizování a údržby systémů, posuzování účinnosti opatření, kybernetickou hygienu a školení, kryptografii, bezpečnost lidských zdrojů a kontrolu přístupu a v příslušných případech vícefaktorové autentizační řešení. Podle čl. 20 odst. 1 směrnice vedoucí orgány subjektů opatření schvalují, dohlížejí na jejich zavádění a mohou nést odpovědnost za porušení.

Dodavatelský řetězec. Poskytovatel strategicky významné služby je povinen hlásit Úřadu informace o dodavatelích do 10 dnů ode dne jejich zjištění (§ 31 odst. 1 písm. c). Úřad může vydat opatření obecné povahy stanovící podmínky nebo zakazující využití plnění dodavatele bezpečnostně významné dodávky v kritické části stanoveného rozsahu (§ 29 odst. 1).

Hlášení incidentů: komu a v jakých lhůtách

Poskytovatel v režimu vyšších povinností hlásí kybernetické bezpečnostní incidenty Úřadu (§ 15 odst. 1). Poskytovatel v režimu nižších povinností je hlásí Národnímu CERT, a to incidenty s významným dopadem na poskytování regulované služby (§ 15 odst. 2). Významný dopad má incident, který způsobil nebo může způsobit závažné provozní narušení služeb nebo finanční ztráty nebo způsobil či může způsobit jiným osobám značnou újmu (§ 15 odst. 3).

Lhůty podle § 16:

Hlášení se podává prostřednictvím Portálu Úřadu; nelze-li jej využít, zasílá poskytovatel v režimu vyšších povinností hlášení na určenou e-mailovou adresu nebo do datové schránky Úřadu a poskytovatel v režimu nižších povinností na určenou e-mailovou adresu nebo do datové schránky Národního CERT (§ 16 odst. 4). Povinnost hlásit incidenty začíná poskytovatel plnit pro každou regulovanou službu nejpozději do 1 roku ode dne doručení rozhodnutí o registraci (§ 15 odst. 4). Konkrétní elektronický kanál Portálu Úřadu si ověřte podle pokynů zveřejněných NÚKIB (oficiální zdroj).

Dozorový orgán: ústředním správním úřadem pro oblast kybernetické bezpečnosti je Úřad — Národní úřad pro kybernetickou a informační bezpečnost se sídlem v Brně. Přijímá ohlášení, rozhoduje o registraci a jejím zrušení, provozuje Portál Úřadu, provádí kontrolu plnění povinností a ukládá správní tresty (§ 42). Národní CERT působí jako kontaktní místo pro poskytovatele v režimu nižších povinností a plní roli CSIRT týmu (§ 43).

Pokuty za porušení povinností

Sankce upravuje § 59 odst. 4 zákona č. 264/2025 Sb. Za přestupek lze uložit pokutu do:

• 250 000 000 Kč nebo až do výše 2 % čistého celosvětového ročního obratu dosaženého podnikem za bezprostředně předcházející účetní období, podle toho, která z částek je vyšší — u vyjmenovaných přestupků poskytovatele v režimu vyšších povinností;
• 175 000 000 Kč nebo až do výše 1,4 % čistého celosvětového ročního obratu, podle toho, která z částek je vyšší — u vyjmenovaných přestupků poskytovatele v režimu nižších povinností;
• 100 000 000 Kč, 50 000 000 Kč nebo 35 000 000 Kč u dalších přestupků vymezených v § 59 odst. 4 písm. c) až e).

Přesné přiřazení konkrétního jednání k jednotlivým sazbám vychází z odstavců § 59, na které dané písmeno odkazuje. Vedle pokut může Úřad provádět kontrolu plnění povinností a ukládat nápravná opatření (§ 42 odst. 3).