Jak NIS2Europe vytváří a ověřuje vaše dokumenty

Zákonný zdroj: podle čeho se dokumentace píše

Směrnice NIS2 sama o sobě není textem, proti kterému se česká firma poměřuje. Rozhodující je vnitrostátní předpis, kterým je Zákon o kybernetické bezpečnosti (zákon č. 264/2025 Sb.). Dokumentace, která odkazuje pouze na směrnici (EU) 2022/2555, tedy míjí předpis, podle nějž se v Česku posuzuje plnění povinností.

Obsah dokumentace se odvíjí od seznamu bezpečnostních opatření v § 14. Pro poskytovatele v režimu vyšších povinností zákon vyjmenovává organizační opatření (mimo jiné systém řízení bezpečnosti informací, požadavky na vrcholné vedení, stanovení bezpečnostních rolí, řízení bezpečnostní politiky a bezpečnostní dokumentace, řízení aktiv, řízení rizik, řízení dodavatelů, bezpečnost lidských zdrojů, řízení změn, akvizice, vývoj a údržba, řízení přístupu, zvládání kybernetických bezpečnostních událostí a incidentů, řízení kontinuity činností a provádění auditu kybernetické bezpečnosti) a opatření technická (například fyzická bezpečnost, bezpečnost komunikačních sítí, správa a ověřování identit, detekce a zaznamenávání událostí, aplikační bezpečnost, kryptografické algoritmy).

Pro režim nižších povinností § 14 odst. 2 uvádí kratší výčet — systém zajišťování minimální kybernetické bezpečnosti, požadavky na vrcholné vedení, řízení aktiv, řízení rizik, bezpečnost lidských zdrojů, řízení kontinuity činností, řízení přístupu, řízení identit a jejich oprávnění, detekce a zaznamenávání událostí, řešení incidentů, bezpečnost komunikačních sítí, aplikační bezpečnost a kryptografické algoritmy. Struktura dokumentu se proto odvozuje od tohoto výčtu, ne od obecné osnovy.

Lhůtu pro zavedení určuje § 13 odst. 4: povinnost zavádět a provádět bezpečnostní opatření se plní nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby.

Příslušný úřad a lhůty pro hlášení incidentů

Dozorovou a správní roli plní Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB), v zákoně označovaný jako „Úřad“. Zákon k tomu uvádí doslova:

> „Úřad je ústředním správním úřadem pro oblast kybernetické bezpečnosti. Sídlem Úřadu je Brno.“ — zákon č. 264/2025 Sb., § 42 odst. 1

Úřad podle § 42 odst. 3 přijímá ohlášení, rozhoduje o registraci a jejím zrušení, stanovuje bezpečnostní opatření, provozuje Portál Úřadu, vede evidence, provádí kontrolu plnění povinností a ukládá správní tresty. Národní CERT je podle § 43 kontaktním místem pro poskytovatele regulovaných služeb v režimu nižších povinností.

Lhůty pro hlášení stanoví § 16. První z nich zákon formuluje takto:

> „Poskytovatel regulované služby bez zbytečného odkladu, nejpozději do 24 hodin po zjištění kybernetického bezpečnostního incidentu, předloží prvotní hlášení, v němž uvede své identifikační údaje, základní údaje o kybernetickém bezpečnostním incidentu, a zda se domnívá, že byl kybernetický bezpečnostní incident způsoben nezákonným zásahem nebo že by mohl mít přeshraniční dopad.“ — zákon č. 264/2025 Sb., § 16 odst. 1

Navazující lhůty podle § 16 odst. 3: oznámení bez zbytečného odkladu, nejpozději do 72 hodin po zjištění incidentu (u poskytovatelů služeb vytvářejících důvěru toto oznámení do 24 hodin po zjištění incidentu), a nejpozději do 30 dnů ode dne předložení oznámení závěrečná zpráva o vyřešení incidentu. Průběžná zpráva se předkládá na výzvu Úřadu nebo Národního CERT.

Pokud jde o konkrétní elektronický kanál Portálu Úřadu, řiďte se zveřejněnými pokyny Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB) jako oficiálním zdrojem.

Co o obsahu rozhoduje profil samotné firmy

Do dokumentace nevstupují všechny povinnosti zákona, ale ty, které odpovídají profilu poskytovatele. Rozhodují tři vrstvy:

• Odvětví. § 4 odst. 1 písm. a) uvádí 15 odvětví: veřejná správa, energetika, výrobní průmysl, potravinářský průmysl, chemický průmysl, vodní hospodářství, odpadové hospodářství, doprava, digitální infrastruktura a služby, finanční trh, zdravotnictví, věda, výzkum a vzdělávání, poštovní a kurýrní služby, obranný průmysl a vesmírný průmysl.
• Velikost podniku. Podle § 4 odst. 1 písm. b) jde o středního nebo velkého podniku ve smyslu doporučení Komise 2003/361/ES; § 7 k tomu stanoví odchylky (například se neuplatní čl. 3 odst. 4 doporučení a za podnik se nepovažují organizační složky státu, územní samosprávné celky a Česká národní banka). Registrace může nastat i podle § 5 — třeba u služby, jejíž narušení může způsobit závažný zásah do života více než 125 000 osob.
• Režim a kategorie subjektu. § 8 dělí poskytovatele na režim vyšších a nižších povinností. V odvětví digitální infrastruktury a služeb § 18 odst. 4 tuto dvojici napojuje na kategorie subjektů: poskytovatel v režimu vyšších povinností se řídí ustanoveními prováděcího předpisu Komise platnými pro základní subjekt, poskytovatel v režimu nižších povinností ustanoveními platnými pro důležitý subjekt.

Teprve z těchto tří údajů plyne, který výčet z § 14 je pro dokument závazný a zda se uplatní i povinnosti dodavatelského řetězce podle § 29 a § 31 — například hlášení informací o dodavatelích do 10 dnů ode dne jejich zjištění u poskytovatele strategicky významné služby.

Jak se každý požadavek ověřuje zpět proti zákonnému textu

Ověření je krok oddělený od psaní. Každá věta, která tvrdí právní povinnost, se postaví vedle ustanovení, jež má provádět, a porovná se s jeho zněním.

Postup má tři kroky:

1. Přiřazení. Ke každému tvrzení se doplní konkrétní ustanovení — § 13, § 14, § 16, § 18, § 42 nebo jiné. 2. Porovnání. Ověří se, zda ustanovení obsahuje přesně to, co dokument tvrdí: stejnou lhůtu, stejného adresáta hlášení, stejný okruh opatření pro daný režim. 3. Oprava. Tvrzení, které v žádném ustanovení oporu nemá — vymyšlená lhůta, opatření z jiného režimu, odkaz jen na směrnici — se před použitím dokumentu opraví nebo vypustí.

Typické nálezy: dokument uvádí opatření podle § 14 odst. 1, přestože poskytovatel je v režimu nižších povinností; lhůty jsou popsány zjednodušeně, ačkoli § 16 rozlišuje prvotní hlášení, oznámení a závěrečnou zprávu; hlášení je směrováno Úřadu, ačkoli podle § 15 odst. 2 a § 43 je pro režim nižších povinností kontaktním místem Národní CERT.

Směrnice (EU) 2022/2555 přitom v čl. 21 odst. 4 sama počítá s tím, že subjekt, který zjistí nesoulad s požadavky, přijme bez zbytečného odkladu nezbytná, vhodná a přiměřená nápravná opatření. Oprava chybného tvrzení je tedy součástí normálního životního cyklu dokumentu, ne selháním.

Co zůstává ověřitelné i po dokončení

Hodnota dokumentace se pozná podle toho, zda si kdokoli zvenčí může ověřit jednotlivé tvrzení bez důvěry v autora. To znamená, že u každého požadavku zůstává:

Díky tomu může kontrolní pracovník Úřadu, auditor nebo odběratel v dodavatelském řetězci vzít libovolnou větu, otevřít úřední znění zákona a porovnat ji. Sankční rámec zůstává skutečností nezávislou na kvalitě dokumentu: § 59 odst. 4 uvádí pokuty do 250 000 000 Kč nebo až do výše 2 % čistého celosvětového ročního obratu (podle toho, která částka je vyšší) u vyjmenovaných přestupků poskytovatele v režimu vyšších povinností a do 175 000 000 Kč nebo až do výše 1,4 % obratu u vyjmenovaných přestupků v režimu nižších povinností, dále 100 000 000 Kč, 50 000 000 Kč a 35 000 000 Kč u dalších skupin přestupků.

Žádný dokument sám o sobě nerozhoduje o výsledku kontroly. Rozhoduje skutečný stav opatření a úřední znění předpisu — dokumentace pouze umožňuje oba porovnat.