NIS2 krok za krokem pro veřejnou správu v Česku

1. Ověření, zda zákon na službu dopadá

Zákon č. 264/2025 Sb. řadí v § 4 odst. 1 písm. a) veřejnou správu na první místo mezi patnáct odvětví, v nichž může být služba registrována jako regulovaná. Vedle odvětví zákon vyžaduje, aby poskytovatel naplňoval kritéria středního nebo velkého podniku podle doporučení Komise 2003/361/ES, anebo aby byl významný pro zabezpečení důležitých společenských či ekonomických činností nebo pro bezpečnost České republiky. Podle § 7 písm. b) se za podnik nepovažují organizační složky státu, územní samosprávné celky a Česká národní banka, zvláštní důvod registrace pak podle § 5 písm. b) nastává u služby, jejíž narušení může závažně zasáhnout do života více než 125 000 osob. Jsou-li podmínky podle § 4 odst. 1 naplněny, § 6 odst. 1 stanoví lhůtu 60 dnů pro ohlášení služby Úřadu ode dne, kdy ke splnění podmínek došlo.

CZ-NACE 84110 — Všeobecné činnosti veřejné správyCZ-NACE 84121 — Regulace činností souvisejících s poskytováním zdravotní péčeCZ-NACE 84122 — Regulace činností souvisejících se vzdělávánímCZ-NACE 84123 — Regulace činností souvisejících s kulturouCZ-NACE 84124 — Regulace činností souvisejících se sportemCZ-NACE 84125 — Regulace činností souvisejících s poskytováním sociální péče, kromě povinného sociálního zabezpečení

Viz také stránku sektoru: Veřejná správa · Kategorie subjektů NIS2 — Česko

Spustit bezplatný test působnosti NIS2

2. Odpovědnost vrcholného vedení a školení

Podle čl. 20 odst. 1 směrnice (EU) 2022/2555 schvaluje vedení základního subjektu i důležitého subjektu opatření k řízení kybernetických bezpečnostních rizik, dohlíží na jejich zavádění a může nést odpovědnost za jejich porušení. Totéž ustanovení ponechává nedotčena vnitrostátní pravidla odpovědnosti veřejných institucí i úředních a volených nebo jmenovaných osob, což má pro odvětví veřejné správy zvláštní význam. Zákon č. 264/2025 Sb. zařazuje požadavky na vrcholné vedení mezi bezpečnostní opatření pro režim vyšších povinností i pro režim nižších povinností, a to v § 14 odst. 1 písm. a) bodě 2 a v § 14 odst. 2 písm. b). Školení zaměstnanců v oblasti kybernetické bezpečnosti patří podle čl. 21 odst. 2 písm. g) směrnice k minimálnímu obsahu opatření.

Povinnost školení řídících orgánů podle NIS2 v jednotlivých zemích

3. Řízení rizik jako základ opatření

Základem celého systému je podle čl. 21 odst. 2 písm. a) směrnice (EU) 2022/2555 politika analýzy rizik a politika bezpečnosti informačních systémů. V českém zákoně odpovídá tomuto základu organizační opatření řízení rizik, které je pro režim vyšších povinností uvedeno v § 14 odst. 1 písm. a) bodě 6 a doplněno řízením aktiv v bodě 5. Pro režim nižších povinností zákon uvádí řízení aktiv a řízení rizik v § 14 odst. 2 písm. c) a d). Povinnost zavádět a provádět bezpečnostní opatření začíná podle § 13 odst. 4 nejpozději do 1 roku od doručení rozhodnutí o registraci regulované služby.

Platforma tento dokument generuje automaticky — je součástí balíčku dokumentů. Služby

4. Katalog bezpečnostních opatření

Seznam bezpečnostních opatření obsahuje § 14 zákona č. 264/2025 Sb. a je odstupňován podle režimu poskytovatele, nikoli podle odvětví. Pro režim vyšších povinností zákon vypočítává organizační opatření od systému řízení bezpečnosti informací přes řízení dodavatelů, bezpečnost lidských zdrojů, řízení přístupu a zvládání incidentů až po audit kybernetické bezpečnosti, a k tomu technická opatření zahrnující mimo jiné fyzickou bezpečnost, bezpečnost komunikačních sítí, detekci a vyhodnocování událostí, kryptografické algoritmy a zajišťování dostupnosti služby. Pro režim nižších povinností § 14 odst. 2 uvádí užší společný výčet organizačních a technických opatření, který začíná systémem zajišťování minimální kybernetické bezpečnosti. Odvětvově zvláštní katalog podle prováděcího předpisu Komise váže zákon v § 18 na digitální infrastrukturu a služby, u veřejné správy se tedy rozsah opatření odvíjí od zařazení do režimu podle § 8.

Opatření NIS2 k řízení rizik vs. ISO 27001, DORA a GDPR

5. Hlášení kybernetických bezpečnostních incidentů

Poskytovatel v režimu vyšších povinností hlásí incidenty Úřadu, poskytovatel v režimu nižších povinností je hlásí Národnímu CERT, jak vyplývá z § 15 odst. 1 a 2 ve spojení s § 43. Prvotní hlášení se podle § 16 odst. 1 předkládá bez zbytečného odkladu, nejpozději do 24 hodin po zjištění incidentu. Oznámení s aktualizací údajů a prvotním posouzením následuje podle § 16 odst. 3 písm. a) nejpozději do 72 hodin po zjištění incidentu. Závěrečnou zprávu o vyřešení incidentu zákon v § 16 odst. 3 písm. c) váže na lhůtu nejpozději do 30 dnů ode dne předložení oznámení, přičemž hlášení se podává prostřednictvím Portálu Úřadu (§ 16 odst. 4).

Lhůty pro hlášení incidentů podle NIS2 v zemích EU · Platforma tento dokument generuje automaticky — je součástí balíčku dokumentů. Služby

6. Bezpečnostní dokumentace a evidence

Písemný a udržovaný charakter povinností plyne přímo z katalogu opatření, kde § 14 odst. 1 písm. a) bod 4 uvádí řízení bezpečnostní politiky a bezpečnostní dokumentace a bod 1 systém řízení bezpečnosti informací. Obsahové náležitosti, formát a způsob hlášení incidentů, průběžných zpráv i závěrečné zprávy stanoví podle § 16 odst. 5 Úřad vyhláškou, stejně jako formát ohlášení služby podle § 6 odst. 1. Pro poskytovatele strategicky významné služby zákon v § 31 odst. 1 písm. c) stanoví hlášení informací o dodavatelích Úřadu do 10 dnů ode dne jejich zjištění. Úřad podle § 42 odst. 3 vede evidence, provádí kontrolu plnění povinností a ukládá nápravná opatření.

Balíček zahrnuje:

• Politika řízení kybernetických bezpečnostních rizik
• Plán řešení bezpečnostních incidentů
• Plán kontinuity provozu
• Politika bezpečnosti dodavatelského řetězce
• Prohlášení o odpovědnosti vedení a koncepce školení
• Průvodce vyplněním v portálu

Údržba (měsíčně) — re-sign dokumentů podle platného práva — 290 EUR/měsíc — Služby

7. Horní hranice pokut

Přestupky poskytovatele regulované služby a jejich sankce upravuje § 59 zákona č. 264/2025 Sb. U vyjmenovaných přestupků poskytovatele v režimu vyšších povinností, jemuž odpovídá kategorie základní subjekt, lze podle § 59 odst. 4 písm. a) uložit pokutu do 250 000 000 Kč nebo až do výše 2 % čistého celosvětového ročního obratu za předcházející účetní období, podle toho, která částka je vyšší. U vyjmenovaných přestupků poskytovatele v režimu nižších povinností, jemuž odpovídá kategorie důležitý subjekt, činí horní hranice podle § 59 odst. 4 písm. b) 175 000 000 Kč nebo až 1,4 % takového obratu, opět podle vyšší z obou částek. Další sazby zákon stanoví ve výši 100 000 000 Kč, 50 000 000 Kč a 35 000 000 Kč pro přestupky uvedené v § 59 odst. 4 písm. c) až e).

Správní pokuty podle NIS2 podle zemí