NIS2 v bankovnictví v Česku: cestovní mapa v sedmi krocích

1. Zda a kdy zákon na banku dopadá

Zákon č. 264/2025 Sb. uvádí v § 4 odst. 1 patnáct odvětví, mezi nimiž je pod bodem 10 uveden finanční trh, kam spadají i bankovní služby významné pro zabezpečení důležitých ekonomických a společenských činností. Druhou podmínkou je, že poskytovatel je podle doporučení Komise 2003/361/ES středním nebo velkým podnikem, anebo má význam pro zajištění takových činností či pro bezpečnost státu. Podle § 5 mohou být podmínky registrace splněny i tehdy, může-li narušení služby vážně zasáhnout život více než 125 000 osob nebo jde-li o subjekt kritické infrastruktury. Ohlášení služby Úřadu se podle § 6 odst. 1 podává nejpozději do 60 dnů ode dne, kdy byly podmínky splněny, a o samotné registraci pak rozhoduje Úřad.

CZ-NACE 64190 — Ostatní peněžní zprostředkování

Viz také stránku sektoru: Bankovnictví · Kategorie subjektů NIS2 — Česko

Spustit bezplatný test působnosti NIS2

2. Odpovědnost vrcholného vedení

Zákon řadí požadavky na vrcholné vedení mezi bezpečnostní opatření, a to jak pro režim vyšších povinností podle § 14 odst. 1 písm. a) bodu 2, tak pro režim nižších povinností podle § 14 odst. 2 písm. b). Směrnice (EU) 2022/2555 v čl. 20 odst. 1 stanoví, že vedoucí orgány základních a důležitých subjektů schvalují opatření k řízení kybernetických bezpečnostních rizik a dohlížejí na jejich zavádění. Táž úprava počítá s tím, že vedoucí orgány mohou nést odpovědnost za porušení těchto povinností subjektem. Mezi opatření podle čl. 21 odst. 2 písm. g) směrnice patří rovněž základní kybernetická hygiena a školení v oblasti kybernetické bezpečnosti.

Povinnost školení řídících orgánů podle NIS2 v jednotlivých zemích

3. Řízení a analýza rizik

Řízení rizik uvádí zákon mezi organizačními opatřeními pro režim vyšších povinností v § 14 odst. 1 písm. a) bodě 6 a pro režim nižších povinností v § 14 odst. 2 písm. d). Směrnice (EU) 2022/2555 k tomu v čl. 21 odst. 2 písm. a) řadí politiku analýzy rizik a bezpečnosti informačních systémů. Podle čl. 21 odst. 1 směrnice má úroveň opatření odpovídat míře vystavení rizikům, velikosti subjektu i pravděpodobnosti a závažnosti incidentů. Povinnost zavádět a provádět bezpečnostní opatření nastupuje podle § 13 odst. 4 nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby.

Platforma tento dokument generuje automaticky — je součástí balíčku dokumentů. Služby

4. Katalog bezpečnostních opatření

Pro režim vyšších povinností vypočítává § 14 odst. 1 organizační opatření, například řízení aktiv, řízení dodavatelů, bezpečnost lidských zdrojů, zvládání incidentů, řízení kontinuity činností či audit kybernetické bezpečnosti, a vedle nich technická opatření od fyzické bezpečnosti a bezpečnosti komunikačních sítí přes detekci a vyhodnocování událostí až po kryptografické algoritmy. Pro režim nižších povinností vymezuje § 14 odst. 2 užší okruh, do něhož patří mimo jiné systém zajišťování minimální kybernetické bezpečnosti, řízení aktiv, řízení přístupu, detekce a zaznamenávání událostí a aplikační bezpečnost. Zvláštní katalog opatření podle § 18 se váže na odvětví digitální infrastruktury a služeb, takže pro poskytovatele v odvětví finanční trh platí obecný výčet podle § 14 podle jejich režimu. Vedle toho může Úřad podle § 29 odst. 1 opatřením obecné povahy stanovit podmínky pro využití plnění dodavatele bezpečnostně významné dodávky v kritické části stanoveného rozsahu, případně je zakázat.

Opatření NIS2 k řízení rizik vs. ISO 27001, DORA a GDPR

5. Hlášení incidentů a lhůty

Poskytovatel v režimu vyšších povinností hlásí kybernetické bezpečnostní incidenty Úřadu podle § 15 odst. 1, zatímco poskytovatel v režimu nižších povinností je podle § 15 odst. 2 hlásí Národnímu CERT. Prvotní hlášení se podle § 16 odst. 1 předkládá bez zbytečného odkladu a nejpozději do 24 hodin od zjištění incidentu. Oznámení s prvotním posouzením incidentu, jeho dopadem a případnými indikátory kompromitace následuje podle § 16 odst. 3 písm. a) nejpozději do 72 hodin od zjištění incidentu. Závěrečnou zprávu o vyřešení incidentu předkládá poskytovatel podle § 16 odst. 3 písm. c) do 30 dnů ode dne, kdy bylo oznámení předloženo.

Lhůty pro hlášení incidentů podle NIS2 v zemích EU · Platforma tento dokument generuje automaticky — je součástí balíčku dokumentů. Služby

6. Bezpečnostní dokumentace

Mezi organizačními opatřeními pro režim vyšších povinností uvádí § 14 odst. 1 písm. a) bod 4 řízení bezpečnostní politiky a bezpečnostní dokumentace, což předpokládá písemně vedené a udržované dokumenty. Písemný podklad předpokládají svou povahou i další opatření téhož výčtu, zejména řízení rizik, řízení aktiv a řízení dodavatelů, jejichž plnění Úřad podle § 42 odst. 3 kontroluje. Obsahové náležitosti, formát a způsob hlášení incidentů, průběžných zpráv i závěrečné zprávy stanoví Úřad vyhláškou podle § 16 odst. 5. Poskytovatel strategicky významné služby navíc podle § 31 odst. 1 písm. c) hlásí Úřadu informace o dodavatelích do 10 dnů ode dne jejich zjištění.

Balíček zahrnuje:

• Politika řízení kybernetických bezpečnostních rizik
• Plán řešení bezpečnostních incidentů
• Plán kontinuity provozu
• Politika bezpečnosti dodavatelského řetězce
• Prohlášení o odpovědnosti vedení a koncepce školení
• Průvodce vyplněním v portálu

Údržba (měsíčně) — re-sign dokumentů podle platného práva — 290 EUR/měsíc — Služby

7. Pokuty za přestupky

Za vyjmenované přestupky poskytovatele v režimu vyšších povinností lze podle § 59 odst. 4 písm. a) uložit pokutu do 250 000 000 Kč, a je-li vyšší, až 2 % čistého celosvětového ročního obratu za bezprostředně předcházející účetní období. Pro poskytovatele v režimu nižších povinností stanoví § 59 odst. 4 písm. b) horní hranici 175 000 000 Kč, případně 1,4 % takového obratu, uplatní-li se vyšší z obou částek. Další sazby zákon stanoví ve výši 100 000 000 Kč, 50 000 000 Kč a 35 000 000 Kč podle druhu přestupku. Správní tresty za nedodržení povinností ukládá podle § 42 odst. 3 Úřad.

Správní pokuty podle NIS2 podle zemí