NIS2 a zákon o kybernetické bezpečnosti

Modul 9: Pravidla a organizace · Doba čtení: 11 minut

Cíl lekce: Po této lekci dokážete vysvětlit, co upravuje zákon o kybernetické bezpečnosti (česká transpozice NIS2), pro koho platí a co může prostřednictvím dodavatelského řetězce znamenat pro malé firmy.
Klíčové pojmy: NIS2, zákon o kybernetické bezpečnosti, regulovaná osoba, sektor, velikost, povinnost řízení rizik, ohlašovací povinnost (24 hodin, 72 hodin, 1 měsíc), registrační povinnost, dodavatelský řetězec, sebehodnocení

Od evropské směrnice k národnímu zákonu

NIS2 je evropská směrnice z roku 2022 (směrnice (EU) 2022/2555), jejímž cílem je zvýšit digitální odolnost důležitých organizací v celé EU. Směrnice neplatí přímo: každý stát ji musí převést do vlastního zákona. V Česku je to zákon č. 264/2025 Sb., o kybernetické bezpečnosti, který je účinný od 1. listopadu 2025. Kdo pod zákon spadá, musí jeho požadavky plnit.

Podle nizozemského NCSC spadá v Nizozemsku pod tamní obdobu zákona (nizozemský Cyberbeveiligingswet) přes 8 000 organizací. To je malá část všech firem. Pro většinu malých podniků proto není nejdůležitější otázkou „co musím udělat kvůli zákonu?“, ale „co po mně budou chtít moji zákazníci, protože oni sami pod zákon spadají?“. K tomu se dostaneme dál v textu.

V Česku je ústředním orgánem pro oblast kybernetické bezpečnosti NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost), https://nukib.gov.cz/; národním týmem pro řešení kybernetických incidentů je CSIRT.CZ, https://csirt.cz/.

Spadáte pod zákon? Sektor a velikost

Zda organizace pod zákon o kybernetické bezpečnosti spadá, závisí na dvou otázkách. Následující příklad ukazuje, jak se tato otázka obvykle posuzuje podle logiky směrnice NIS2 (v Nizozemsku platí obdobná kritéria v tamním Cyberbeveiligingswet).

1. Působíte v sektoru, který zákon vyjmenovává? Zákon má dvě přílohy.

Pro některé sektory platí další podmínky, které stanovuje příslušný resort. Ne každá organizace, která má něco společného s „potravinami“, pod zákon tedy automaticky spadá.

2. Jste dostatečně velcí? Organizace se počítá, pokud:

• má 50 nebo více zaměstnanců (přepočtených úvazků), nebo
• má méně než 50 zaměstnanců, ale její roční obrat i bilanční suma rozvahy jsou obě vyšší než 10 milionů eur.

Započítávají se i propojené a partnerské podniky. Firma s 20 zaměstnanci, která patří do skupiny s 200 zaměstnanci, tak může přesto pod zákon spadat.

Výjimky: bez ohledu na velikost. Několik typů organizací spadá pod zákon vždy, bez ohledu na velikost: poskytovatelé DNS služeb, registry domén nejvyšší úrovně, poskytovatelé veřejných elektronických komunikačních sítí a služeb, poskytovatelé důvěryhodných služeb a orgány veřejné správy. Registrovat se musí i poskytovatelé služeb registrace doménových jmen.

Regulovaná osoba: vyšší nebo nižší úroveň povinností

Organizace spadající pod zákon se zařazují do kategorií podle míry povinností a dohledu. Zjednodušeně: velké organizace v sektorech z přílohy 1 a několik typů organizací vyjmenovaných bez ohledu na velikost mají přísnější režim; ostatní mají mírnější. Rozdíl spočívá hlavně v dohledu: u přísnějšího režimu může orgán dohledu kontrolovat i z vlastní iniciativy, například formou inspekcí a auditů; u mírnějšího režimu zasahuje především dodatečně, pokud existují náznaky, že něco není v pořádku. Samotné povinnosti jsou z velké části stejné. Do které kategorie patříte, zjistíte pomocí sebehodnocení popsaného níže.

Jak si to ověřit

Podrobné informace a nástroje pro posouzení, zda Vaše organizace spadá pod zákon o kybernetické bezpečnosti, najdete na stránkách NÚKIB, https://nukib.gov.cz/. Pokud si nejste jisti, například protože Vaše firma patří do skupiny nebo působí ve více zemích, obraťte se přímo na NÚKIB nebo na odborného poradce.

Co zákon vyžaduje

Pokud Vaše organizace pod zákon spadá, platí tři povinnosti. Jejich podobu si ukážeme na příkladu nizozemské úpravy (Cyberbeveiligingswet), která vychází ze stejné evropské směrnice NIS2 jako český zákon.

Registrační povinnost

V Nizozemsku se organizace zapisuje do rejstříku regulovaných subjektů prostřednictvím portálu MijnNCSC. Díky tomu stát ví, kdo pod zákon spadá, a může dotyčnou organizaci kontaktovat v případě hrozby. V Česku se registrace provádí prostřednictvím Portálu NÚKIB (registrace).

Povinnost řízení rizik

Organizace provádí analýzu rizik a na jejím základě přijímá přiměřená a odpovídající opatření k zabezpečení svých sítí a informačních systémů. Nizozemský NCSC uvádí nejméně deset oblastí, se kterými jste se v tomto kurzu již setkali:

1. analýza rizik (lekce 1.1 a 9.3);
2. řešení incidentů s plánem pro řešení incidentů (lekce 8.1);
3. příprava na výpadek: zálohy, plány obnovy, krizové řízení (modul 6);
4. zabezpečení dodavatelského řetězce, včetně rizik u dodavatelů (lekce 7.2);
5. kybernetická hygiena a školení (lekce 9.2);
6. bezpečné pořizování, vývoj a údržba systémů, včetně aktualizací (lekce 5.1);
7. personální zabezpečení, řízení přístupu a správa zařízení a softwaru (lekce 7.1);
8. passkeys nebo vícefaktorové ověření a zabezpečená komunikace (modul 2);
9. politika pro kryptografii (šifrování);
10. posuzování účinnosti opatření, například pravidelným testováním (lekce 6.3 a 9.3).

Odpovědnost nese statutární orgán: schvaluje opatření a dohlíží na jejich provádění. Podle evropské směrnice musí vedoucí pracovníci také absolvovat školení o kybernetických rizicích. Kybernetická bezpečnost už tedy není úkol, který lze jen přenechat „IT člověku“.

Ohlašovací povinnost

Významný incident se v nizozemské úpravě hlásí nizozemskému NCSC prostřednictvím portálu MijnNCSC; v Česku se významné kybernetické bezpečnostní incidenty hlásí NÚKIB. Jde o incident, který vážně narušuje poskytování služeb, způsobuje finanční škodu nebo může způsobit velkou škodu jiným subjektům; přesné prahové hodnoty se liší podle sektoru. Lhůty se počítají od okamžiku, kdy se o incidentu dozvíte:

V nizozemském systému jedno oznámení přes MijnNCSC zároveň zasáhne CSIRT (tým, který s incidentem pomáhá) i orgán dohledu. Obdobně i podle české úpravy a směrnice NIS2 musíte podle potřeby informovat odběratele svých služeb o významných incidentech, které by je mohly zasáhnout.

Hlášení podle zákona o kybernetické bezpečnosti a hlášení podle GDPR: dvě různé věci

Může to připomínat ohlašovací povinnost při úniku osobních údajů podle GDPR (lekce 8.2), a lhůta „72 hodin“ se objevuje v obou případech. Přesto jde o dvě samostatné povinnosti.

Ransomwarový útok na regulovanou organizaci, při kterém jsou zároveň odcizeny i údaje zákazníků, je proto třeba nahlásit oběma místům. A malá firma, která pod zákon o kybernetické bezpečnosti nespadá, má přesto ohlašovací povinnost podle GDPR, pokud dojde k úniku osobních údajů.

Pokud pod zákon nespadáte: dodavatelský řetězec

Pro většinu čtenářů tohoto kurzu zní odpověď na první otázku: ne, moje firma pod zákon o kybernetické bezpečnosti nespadá. Pekařství s dvanácti zaměstnanci, účetní kancelář s pěti, webový vývojář pracující sám. V takovém případě nemáte žádné zákonné povinnosti plynoucí přímo z tohoto zákona: žádnou registraci, žádnou ohlašovací povinnost vůči NÚKIB, žádný přímý dohled.

Zákon Vás ale může zasáhnout prostřednictvím Vašich zákazníků. Regulované organizace musí zabezpečit svůj dodavatelský řetězec: musí brát v úvahu zranitelnosti svých přímých dodavatelů a poskytovatelů služeb. Nizozemský NCSC k tomu uvádí, že zákon sám o sobě neukládá dodavatelům žádné přímé povinnosti, ale že regulované organizace mohou na digitální bezpečnost svých dodavatelů klást vlastní požadavky. Tyto požadavky se pak objeví ve smlouvě nebo v dotazníku.

Příklad. Malá IT firma se šesti zaměstnanci spravuje notebooky a síť středně velké dopravní firmy se 140 zaměstnanci. Dopravní firma pod zákon o kybernetické bezpečnosti spadá (doprava, dostatečná velikost). Samotná IT firma nespadá: „správa ICT služeb“ sice patří mezi vyjmenované sektory, ale firma je příliš malá. Přesto dostane dotazník: máte na nástrojích pro správu zapnuté dvoufázové ověření, kdo má přístup k našim systémům, jak rychle nám nahlásíte incident, kde se nacházejí zálohy?

Co k tomu uvádí nizozemský NCSC a co to pro Vás znamená:

• Požadavky musí být přiměřené. Zákazník by se měl dívat na riziko, které pro něj Vaše služba představuje. Dodavatel s přístupem k systémům dostane přísnější požadavky než pekař, který dováží oběd.
• Jde o přímé dodavatele. Dodavatelé Vašich dodavatelů pod tento rámec nespadají.
• Certifikát není povinný. Zákon žádnou konkrétní certifikaci nepředepisuje. Certifikát může jednání usnadnit, ale není zárukou ani zákonným požadavkem.
• Začněte s rozhovorem včas. Zmapujte, jaká opatření už máte zavedená v místech, kde se stýkáte se zákazníkem, a dohodnuté body si zapište.

Nepřehánějte to tedy. Zákon o kybernetické bezpečnosti neudělá z malé firmy „regulovaný subjekt NIS2“, a poradce, který Vám něco takového tvrdí, aby Vám prodal drahou certifikaci, Vám říká jen část příběhu. Zároveň to ale nepodceňujte: kdo dodává větším organizacím, musí stále častěji umět doložit, že má základy v pořádku. Základní opatření z tohoto kurzu jsou přesně to, co takový dotazník obvykle vyžaduje.

Tato lekce poskytuje obecné vysvětlení a není právním poradenstvím. Aktuální pravidla pro Česko najdete na stránkách NÚKIB, https://nukib.gov.cz/. Informace o nizozemské úpravě (uváděné zde jako příklad) najdete na https://www.ncsc.nl/cyberbeveiligingswet-nis2 (nizozemský zdroj) a v nizozemském znění zákona na https://wetten.overheid.nl/BWBR0052872/2026-08-15/0 (nizozemský zdroj).

Shrnutí

• Český zákon o kybernetické bezpečnosti (zákon č. 264/2025 Sb.) je národní transpozicí směrnice NIS2 a je účinný od 1. listopadu 2025.
• Pod zákon spadáte při sektoru z přílohy 1 nebo 2 a zároveň 50 nebo více zaměstnanců, nebo ročním obratu a bilanční sumě rozvahy vyšších než 10 milionů eur; některé typy organizací (například poskytovatelé DNS služeb a orgány veřejné správy) bez ohledu na velikost.
• Povinnosti: registrace přes Portál NÚKIB, povinnost řízení rizik s analýzou rizik a přiměřenými opatřeními pod odpovědností statutárního orgánu a hlášení významných incidentů do 24 hodin, 72 hodin a 1 měsíce NÚKIB.
• Hlášení podle zákona o kybernetické bezpečnosti je samostatné od hlášení úniku osobních údajů podle GDPR Úřadu pro ochranu osobních údajů; někdy je nutné nahlásit obojí.
• Malá firma pod zákon sama obvykle nespadá, ale prostřednictvím zákazníků, kteří pod něj spadají, může dostat přiměřené bezpečnostní požadavky.

Kvíz

Úkol

Úkol A9.1: Spadá to pod zákon o kybernetické bezpečnosti? Dostanete šest krátkých popisů organizací (sektor, počet zaměstnanců, obrat, bilanční suma rozvahy, případně skupina nebo velký zákazník). U každé organizace určete: spadá pod zákon, nespadá, ale pravděpodobně dostane požadavky od zákazníka, nebo nespadá vůbec. Program odpovědi vyhodnotí a u každé organizace zobrazí kroky rozhodovacího stromu.

Další čtení

O zákonu o kybernetické bezpečnosti zatím v znalostní databázi WebOké není samostatný článek; využijte oficiální zdroje.

• NCSC (nizozemský zdroj), Cyberbeveiligingswet (NIS2): https://www.ncsc.nl/cyberbeveiligingswet-nis2
• NCSC (nizozemský zdroj), Valt mijn organisatie onder de Cyberbeveiligingswet?: https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
• NCSC (nizozemský zdroj), Zorgplicht: https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
• NCSC (nizozemský zdroj), Meldplicht: https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
• NCSC (nizozemský zdroj), De Cyberbeveiligingswet en toeleveranciers: https://www.ncsc.nl/cyberbeveiligingswet-nis2/de-cyberbeveiligingswet-en-toeleveranciers
• NÚKIB, oficiální informace k české transpozici NIS2: https://nukib.gov.cz/
• Nizozemské znění zákona Cyberbeveiligingswet (nizozemský zdroj): https://wetten.overheid.nl/BWBR0052872/2026-08-15/0
• NIS2 a nizozemský zákon o kybernetické bezpečnosti (Cyberbeveiligingswet): vztahuje se na mou firmu?