NIS2 v českém výrobním průmyslu krok za krokem: sedm kroků podle zákona o kybernetické bezpečnosti

1. Ověření, zda zákon na podnik dopadá

Zákon č. 264/2025 Sb. řadí v § 4 odst. 1 písm. a) výrobní průmysl mezi odvětví, v nichž může jít o regulovanou službu. Podmínky registrace jsou podle § 4 odst. 1 písm. b) vázány na to, že poskytovatel je podle doporučení Komise 2003/361/ES středním nebo velkým podnikem, případně je významný pro zabezpečení důležitých společenských nebo ekonomických činností, přičemž odchylky při určování velikosti upravuje § 7. Podle § 8 je poskytovatel buď v režimu vyšších povinností, nebo v režimu nižších povinností, a § 18 s těmito režimy spojuje kategorie základní subjekt a důležitý subjekt. Ohlášení služby Úřadu se podle § 6 odst. 1 podává nejpozději do 60 dnů ode dne, kdy ke splnění podmínek došlo.

CZ-NACE 26110 — Výroba elektronických součástekCZ-NACE 26120 — Výroba osazených elektronických desekCZ-NACE 26200 — Výroba počítačů a periferních zařízeníCZ-NACE 26300 — Výroba komunikačních zařízeníCZ-NACE 26400 — Výroba spotřební elektronikyCZ-NACE 26510 — Výroba měřicích, zkušebních a navigačních přístrojů

Viz také stránku sektoru: Výroba · Kategorie subjektů NIS2 — Česko

Spustit bezplatný test působnosti NIS2

2. Odpovědnost vrcholného vedení a školení

Směrnice (EU) 2022/2555 v čl. 20 odst. 1 stanoví, že vedení základních a důležitých subjektů schvaluje opatření k řízení kybernetických bezpečnostních rizik, dohlíží na jejich zavádění a může nést odpovědnost za porušení povinností subjektu. V českém zákoně se tento prvek projevuje v seznamu bezpečnostních opatření, kde § 14 odst. 1 písm. a) bod 2 i § 14 odst. 2 písm. b) uvádějí požadavky na vrcholné vedení pro oba režimy. Mezi opatření podle čl. 21 odst. 2 písm. g) směrnice patří rovněž základní postupy kybernetické hygieny a školení v oblasti kybernetické bezpečnosti. Bezpečnost lidských zdrojů je v § 14 uvedena jako opatření v režimu vyšších i nižších povinností.

Povinnost školení řídících orgánů podle NIS2 v jednotlivých zemích

3. Řízení rizik jako základ opatření

Čl. 21 odst. 2 písm. a) směrnice (EU) 2022/2555 počítá s politikou analýzy rizik a politikou bezpečnosti informačních systémů. Zákon č. 264/2025 Sb. uvádí řízení rizik jako organizační opatření v § 14 odst. 1 písm. a) bodu 6 pro režim vyšších povinností a v § 14 odst. 2 písm. d) pro režim nižších povinností. Podkladem pro posouzení rizik je řízení aktiv, které § 14 zařazuje mezi opatření v obou režimech. Podle § 13 odst. 4 začíná poskytovatel plnit povinnost zavádět a provádět bezpečnostní opatření nejpozději do 1 roku ode dne doručení rozhodnutí o registraci regulované služby.

Platforma tento dokument generuje automaticky — je součástí balíčku dokumentů. Služby

4. Katalog bezpečnostních opatření

Pro režim vyšších povinností vymezuje § 14 odst. 1 organizační opatření, mezi něž patří systém řízení bezpečnosti informací, řízení dodavatelů, řízení změn nebo audit kybernetické bezpečnosti, a technická opatření jako fyzická bezpečnost, detekce a vyhodnocování událostí, kryptografické algoritmy či zajišťování dostupnosti regulované služby. Pro výrobní provozy je podstatné technické opatření podle § 14 odst. 1 písm. b) bodu 11, které se týká zabezpečení průmyslových, řídicích a obdobných specifických technických aktiv. Pro režim nižších povinností stanoví § 14 odst. 2 užší okruh opatření, například systém zajišťování minimální kybernetické bezpečnosti, řízení rizik, řízení kontinuity činností, řízení přístupu a aplikační bezpečnost. Rozsah opatření tedy zákon odvozuje od režimu poskytovatele, nikoli od odvětví, s výjimkou zvláštní úpravy pro odvětví digitální infrastruktury a služeb v § 18.

Opatření NIS2 k řízení rizik vs. ISO 27001, DORA a GDPR

5. Hlášení incidentů a jeho lhůty

Poskytovatel v režimu vyšších povinností hlásí kybernetické bezpečnostní incidenty Úřadu a poskytovatel v režimu nižších povinností Národnímu CERT, jak vyplývá z § 15 odst. 1 a 2 ve spojení s § 43. Prvotní hlášení se podle § 16 odst. 1 předkládá bez zbytečného odkladu, nejpozději do 24 hodin po zjištění incidentu. Oznámení s aktualizovanými údaji, prvotním posouzením a případnými indikátory kompromitace následuje podle § 16 odst. 3 písm. a) nejpozději do 72 hodin po zjištění incidentu. Závěrečná zpráva o vyřešení incidentu se podle § 16 odst. 3 písm. c) předkládá nejpozději do 30 dnů ode dne předložení oznámení a hlášení se podle § 16 odst. 4 podávají prostřednictvím Portálu Úřadu.

Lhůty pro hlášení incidentů podle NIS2 v zemích EU · Platforma tento dokument generuje automaticky — je součástí balíčku dokumentů. Služby

6. Písemné podklady a záznamy

Písemný rozměr povinností plyne z § 14 odst. 1 písm. a) bodu 4, který mezi organizační opatření řadí řízení bezpečnostní politiky a bezpečnostní dokumentace. Doložitelnost zavedených opatření podporuje audit kybernetické bezpečnosti podle § 14 odst. 1 písm. a) bodu 14 a zaznamenávání událostí podle § 14 odst. 1 písm. b) bodu 6. Obsahové náležitosti, formát a způsob hlášení incidentu i průběžných a závěrečných zpráv stanoví podle § 16 odst. 5 Úřad vyhláškou. Poskytovatel strategicky významné služby hlásí podle § 31 odst. 1 písm. c) informace o dodavatelích Úřadu do 10 dnů ode dne jejich zjištění.

Balíček zahrnuje:

• Politika řízení kybernetických bezpečnostních rizik
• Plán řešení bezpečnostních incidentů
• Plán kontinuity provozu
• Politika bezpečnosti dodavatelského řetězce
• Prohlášení o odpovědnosti vedení a koncepce školení
• Průvodce vyplněním v portálu

Údržba (měsíčně) — re-sign dokumentů podle platného práva — 290 EUR/měsíc — Služby

7. Horní hranice pokut

Za přestupek poskytovatele v režimu vyšších povinností, tedy v kategorii základní subjekt, uvádí § 59 odst. 4 písm. a) pokutu do 250 000 000 Kč nebo až do výše 2 % čistého celosvětového ročního obratu za bezprostředně předcházející účetní období podle toho, která z částek je vyšší. Pro režim nižších povinností, tedy kategorii důležitý subjekt, uvádí § 59 odst. 4 písm. b) pokutu do 175 000 000 Kč nebo až do výše 1,4 % obratu vymezeného stejným způsobem. Další sazby jsou podle § 59 odst. 4 písm. c) až e) stanoveny do 100 000 000 Kč, do 50 000 000 Kč a do 35 000 000 Kč podle konkrétního přestupku. Jde o zákonné horní hranice správních trestů, které podle § 42 odst. 3 ukládá Úřad.

Správní pokuty podle NIS2 podle zemí