NIS2 a odpovědnost vedení firmy v Česku: co musí manažeři vědět

Kybernetická bezpečnost je povinností vedení, ne jen IT

Mnoho manažerů dosud vnímá kybernetickou bezpečnost jako čistě technickou záležitost, kterou lze delegovat na IT oddělení nebo externího dodavatele. Směrnice NIS2 a její český protějšek, zákon o kybernetické bezpečnosti (zákon č. 264/2025 Sb.), ale tento pohled zásadně mění.

Podle čl. 20(1) směrnice (EU) 2022/2555 členské státy zajistí, aby řídící orgány (management bodies) základních a důležitých subjektů:

• schvalovaly opatření k řízení rizik kybernetické bezpečnosti přijatá k naplnění čl. 21,
• dohlížely na jejich zavádění,
• mohly nést odpovědnost za porušení tohoto článku ze strany subjektu.

Jinými slovy: odpovědnost za kybernetickou bezpečnost je výslovně přiřazena vedení. Statutární orgán nemůže tuto povinnost zcela „odsunout" na IT. Rozhodnutí o rozsahu a přiměřenosti opatření, o rozpočtu a o kontrole jejich fungování patří do rozhodovací pravomoci — a odpovědnosti — vedení.

Co konkrétně musí vedení schválit a nad čím dohlížet

Řídící orgán schvaluje a dohlíží na opatření k řízení rizik kybernetické bezpečnosti. Podle čl. 21(1) směrnice (EU) 2022/2555 jde o vhodná a přiměřená technická, provozní a organizační opatření odpovídající míře rizika, velikosti subjektu a pravděpodobnosti a závažnosti incidentů.

Čl. 21(2) směrnice vyjmenovává minimální oblasti, které musí opatření pokrývat:

• politiky analýzy rizik a bezpečnosti informačních systémů,
• zvládání incidentů,
• kontinuitu činností (zálohování, obnova po havárii, krizové řízení),
• bezpečnost dodavatelského řetězce,
• bezpečnost při pořizování, vývoji a údržbě systémů, včetně řešení zranitelností,
• postupy k hodnocení účinnosti opatření,
• základní kybernetickou hygienu a školení v oblasti kybernetické bezpečnosti,
• používání kryptografie a případně šifrování,
• bezpečnost lidských zdrojů, řízení přístupu a správu aktiv,
• vícefaktorové ověřování a zabezpečenou komunikaci, kde je to vhodné.

Zjistí-li subjekt, že opatřením podle čl. 21(2) nevyhovuje, musí podle čl. 21(4) směrnice bez zbytečného odkladu přijmout veškerá potřebná, vhodná a přiměřená nápravná opatření.

Z pohledu vedení to znamená, že nestačí jednorázové schválení dokumentu. Je nutný průběžný dohled — pravidelné informace o stavu rizik, o zjištěných nedostatcích a o postupu nápravy.

Povinnost školení: vedení se musí vzdělávat i vzdělávat ostatní

Školení je v NIS2 zdůrazněno hned na dvou úrovních.

Čl. 21(2) písm. g) směrnice (EU) 2022/2555 řadí „základní postupy kybernetické hygieny a školení v oblasti kybernetické bezpečnosti" mezi minimální povinná opatření. Vedení tedy odpovídá za to, aby zaměstnanci procházeli školením.

Současně z povahy čl. 20(1) vyplývá, že samotné vedení musí opatřením rozumět natolik, aby je mohlo schválit a dohlížet na jejich zavádění. Bez odpovídajících znalostí nelze fakticky vykonávat dohled, který zákon požaduje.

Praktický závěr: kybernetická bezpečnost patří na jednání statutárního orgánu jako pravidelný bod, ne jako výjimečná agenda IT.

Sankce, registrace a lhůty podle zákona č. 264/2025 Sb.

Dozor v oblasti kybernetické bezpečnosti vykonává Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB, v zákoně „Úřad", sídlo Brno), který podle § 42 rozhoduje o registraci, stanovuje bezpečnostní opatření, provádí kontrolu a ukládá správní tresty za nedodržení povinností. Národní CERT je podle § 43 kontaktním místem pro poskytovatele v režimu nižších povinností.

Zákon rozlišuje dvě kategorie: poskytovatel v režimu vyšších povinností je základním subjektem, poskytovatel v režimu nižších povinností je důležitým subjektem (§ 18).

Pokuty za přestupky (§ 59) dosahují mimo jiné:

Rozsah osobní či manažerské odpovědnosti a případné sankce mířené konkrétně na členy vedení nad rámec výše uvedeného ověřte u Úřadu (NÚKIB).

Důležité lhůty pro vedení, které je třeba plánovat:

• Bezpečnostní opatření je nutné začít zavádět nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby (§ 13 odst. 4).
• Hlášení incidentů: prvotní hlášení do 24 hodin, oznámení do 72 hodin, závěrečná zpráva do 30 dnů (§ 16).

Do působnosti zákona spadají poskytovatelé významné služby v některém z 15 odvětví (§ 4), kteří jsou středním nebo velkým podnikem ve smyslu doporučení Komise 2003/361/ES.

Jak zjistit, zda se vás povinnosti týkají

Prvním krokem každého vedení by mělo být ověření, zda firma vůbec spadá do působnosti zákona č. 264/2025 Sb. a v jakém režimu — vyšších (základní subjekt), nebo nižších (důležitý subjekt) povinností.

Pro rychlou orientaci využijte náš bezplatný nástroj pro posouzení působnosti a sebehodnocení, který vám pomůže:

• odhadnout, zda vaše činnost patří do některého z 15 regulovaných odvětví (§ 4),
• předběžně identifikovat pravděpodobný režim povinností,
• zmapovat mezery vůči oblastem opatření podle čl. 21(2) směrnice.

Výstup je ideálním podkladem pro jednání statutárního orgánu a pro následné ověření sporných či nejednoznačných otázek podle zveřejněných pokynů příslušného dozorového orgánu.