NIS2 pro odvětví pitné vody v Česku: cesta zákonem v sedmi krocích

1. Kdy zákon dopadá na poskytovatele služby

Zákon o kybernetické bezpečnosti (zákon č. 264/2025 Sb.) dopadá na službu významnou v některém z patnácti vyjmenovaných odvětví, mezi nimiž je uvedeno vodní hospodářství, jejíž poskytovatel dosahuje velikosti středního nebo velkého podniku podle doporučení Komise 2003/361/ES (§ 4 odst. 1). Podmínky registrace jsou splněny také tehdy, pokud narušení služby může vážně zasáhnout život více než 125 000 osob (§ 5 písm. b)). Poskytovatel, u něhož jsou podmínky naplněny, ohlašuje službu Úřadu nejpozději do 60 dnů ode dne, kdy ke splnění došlo (§ 6 odst. 1). Zákon dále dělí poskytovatele na režim vyšších povinností a režim nižších povinností a spojuje je s kategoriemi základní subjekt a důležitý subjekt (§ 8, § 18).

CZ-NACE 36000 — Shromažďování, úprava a distribuce vody

Viz také stránku sektoru: Pitná voda · Kategorie subjektů NIS2 — Česko

Spustit bezplatný test působnosti NIS2

2. Odpovědnost vrcholného vedení a školení

Směrnice (EU) 2022/2555 v čl. 20 odst. 1 stanoví, že vedení základních i důležitých subjektů schvaluje opatření k řízení kybernetických bezpečnostních rizik, dohlíží na jejich zavádění a může nést odpovědnost za porušení povinností subjektu. Český zákon zařazuje požadavky na vrcholné vedení mezi organizační opatření, a to pro režim vyšších povinností i pro režim nižších povinností (§ 14 odst. 1 písm. a) bod 2 a § 14 odst. 2 písm. b)). Katalog opatření podle směrnice zahrnuje také základní postupy kybernetické hygieny a školení v oblasti kybernetické bezpečnosti (čl. 21 odst. 2 písm. g)).

Povinnost školení řídících orgánů podle NIS2 v jednotlivých zemích

3. Řízení rizik jako základ opatření

Řízení rizik zákon výslovně uvádí mezi opatřeními pro oba režimy (§ 14 odst. 1 písm. a) bod 6 a § 14 odst. 2 písm. d)). Směrnice k tomu v čl. 21 odst. 2 písm. a) uvádí politiku analýzy rizik a politiku bezpečnosti informačních systémů. Povinnost zavádět a provádět bezpečnostní opatření nastupuje nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby (§ 13 odst. 4). Podle čl. 21 odst. 1 směrnice se u přiměřenosti opatření zohledňuje míra vystavení rizikům, velikost subjektu i pravděpodobnost a závažnost incidentů.

Platforma tento dokument generuje automaticky — je součástí balíčku dokumentů. Služby

4. Katalog bezpečnostních opatření

Pro režim vyšších povinností zákon vyjmenovává organizační opatření, mezi něž patří například systém řízení bezpečnosti informací, řízení aktiv, řízení dodavatelů, zvládání kybernetických bezpečnostních událostí a incidentů, řízení kontinuity činností a provádění auditu kybernetické bezpečnosti (§ 14 odst. 1 písm. a)). Ve stejném ustanovení jsou uvedena technická opatření od fyzické bezpečnosti a bezpečnosti komunikačních sítí přes detekci a vyhodnocování událostí až po zabezpečení průmyslových a řídicích aktiv (§ 14 odst. 1 písm. b)). Pro režim nižších povinností platí kratší výčet, který zahrnuje mimo jiné systém zajišťování minimální kybernetické bezpečnosti, řízení rizik, řízení kontinuity činností, řízení přístupu a kryptografické algoritmy (§ 14 odst. 2). Samostatný výčet opatření zákon váže jen na odvětví digitální infrastruktury a služeb (§ 18), takže pro odvětví vodní hospodářství se uplatní obecný katalog podle režimu poskytovatele.

Opatření NIS2 k řízení rizik vs. ISO 27001, DORA a GDPR

5. Hlášení incidentů a jeho lhůty

Poskytovatel v režimu vyšších povinností hlásí kybernetické bezpečnostní incidenty Úřadu, poskytovatel v režimu nižších povinností Národnímu CERT (§ 15 odst. 1 a 2). Prvotní hlášení se předkládá bez zbytečného odkladu, nejpozději do 24 hodin po zjištění incidentu (§ 16 odst. 1). Oznámení s prvotním posouzením incidentu následuje nejpozději do 72 hodin po jeho zjištění (§ 16 odst. 3 písm. a)). Závěrečná zpráva o vyřešení incidentu se předkládá nejpozději do 30 dnů ode dne předložení oznámení (§ 16 odst. 3 písm. c)).

Lhůty pro hlášení incidentů podle NIS2 v zemích EU · Platforma tento dokument generuje automaticky — je součástí balíčku dokumentů. Služby

6. Bezpečnostní dokumentace a evidence

Mezi organizační opatření zákon řadí řízení bezpečnostní politiky a bezpečnostní dokumentace a provádění auditu kybernetické bezpečnosti (§ 14 odst. 1 písm. a) body 4 a 14). Obsahové náležitosti, formát a způsob hlášení incidentů, průběžných zpráv i závěrečné zprávy stanoví Úřad vyhláškou (§ 16 odst. 5). Hlášení se podávají prostřednictvím Portálu Úřadu, a není-li to možné, zákon určuje náhradní cestu elektronickou poštou nebo datovou schránkou (§ 16 odst. 4). Poskytovatel strategicky významné služby hlásí Úřadu informace o dodavatelích do 10 dnů ode dne jejich zjištění (§ 31 odst. 1 písm. c)).

Balíček zahrnuje:

• Politika řízení kybernetických bezpečnostních rizik
• Plán řešení bezpečnostních incidentů
• Plán kontinuity provozu
• Politika bezpečnosti dodavatelského řetězce
• Prohlášení o odpovědnosti vedení a koncepce školení
• Průvodce vyplněním v portálu

Údržba (měsíčně) — re-sign dokumentů podle platného práva — 290 EUR/měsíc — Služby

7. Horní hranice pokut

Za přestupek poskytovatele v režimu vyšších povinností lze uložit pokutu do 250 000 000 Kč nebo do 2 % čistého celosvětového ročního obratu za bezprostředně předcházející účetní období, přičemž se uplatní vyšší z obou částek (§ 59 odst. 4 písm. a)). U poskytovatele v režimu nižších povinností činí horní hranice 175 000 000 Kč nebo 1,4 % obratu vypočteného stejným způsobem (§ 59 odst. 4 písm. b)). Pro další vymezené přestupky zákon stanoví pevné horní hranice 100 000 000 Kč, 50 000 000 Kč a 35 000 000 Kč (§ 59 odst. 4 písm. c) až e)). Správní tresty za nedodržení povinností ukládá Úřad (§ 42 odst. 3).

Správní pokuty podle NIS2 podle zemí