NIS2: Přehled

Regulace: Směrnice (EU) 2022/2555 / Zákon o kybernetické bezpečnosti (ČR) Termíny: transpoziční lhůta EU 17. října 2024; český zákon č. 264/2025 Sb. účinný od 1. listopadu 2025 Oblast: Kybernetická bezpečnost vymezených služeb a organizací

Co je NIS2?

NIS2 je směrnice EU o bezpečnosti sítí a informačních systémů. V České republice je implementována prostřednictvím Zákona o kybernetické bezpečnosti. Působnost určuje podle poskytovaných služeb, typu a velikosti organizace a dalších zákonných podmínek.

Kdo spadá pod NIS2?

Příloha I — vysoce kritická odvětví

Energetika; doprava; bankovnictví; infrastruktura finančních trhů; zdravotnictví; pitná voda; odpadní voda; digitální infrastruktura; řízení služeb IKT mezi podniky; veřejná správa; vesmír.

Příloha II — další kritická odvětví

Poštovní a kurýrní služby; nakládání s odpady; výroba, produkce a distribuce chemických látek; výroba, zpracování a distribuce potravin; vymezené druhy výroby; digitální poskytovatelé; výzkum.

Samotný název odvětví nestačí

Přílohy I a II určují konkrétní druhy subjektů. Při posouzení například rozlište:

Finanční infrastruktura: příloha I uvádí provozovatele obchodních systémů a ústřední protistrany. Nelze sem automaticky zařadit všechny firmy z finančního sektoru. Vztah k DORA řeší čl. 4 NIS2.
Zdravotnické prostředky: příloha I zahrnuje výrobce prostředků na seznamu kriticky důležitých prostředků pro mimořádné situace v oblasti veřejného zdraví. Ostatní vymezené výrobce prostředků a diagnostiky in vitro řeší příloha II.
Veřejná správa: ústřední a regionální subjekty vymezuje členský stát; u regionálních subjektů rozhoduje i posouzení podle čl. 2 odst. 2 písm. f). Rozšíření na místní správu podle čl. 2 odst. 5 je možností státu, nikoli automatickým zahrnutím všech obcí.
Vesmír: příloha I se týká provozovatelů vymezené pozemní infrastruktury podporující služby využívající kosmický prostor, s výjimkou poskytovatelů veřejných sítí elektronických komunikací.
Potraviny a odpady: příloha II vymezuje velkoobchodní distribuci a průmyslovou výrobu či zpracování potravin; u odpadů vylučuje podniky, pro něž nakládání s odpady není hlavní hospodářskou činností.
Výroba: příloha II vymezuje zdravotnické prostředky a diagnostiku in vitro a oddíly NACE 26–30: elektroniku a optiku, elektrická zařízení, stroje, motorová vozidla a ostatní dopravní prostředky.

Posuďte službu, právní osobu, velikost a výjimky podle čl. 2–3. V ČR určete regulovanou službu a režim vyšších nebo nižších povinností podle českého práva. Zařazení do přílohy I samo o sobě neznamená status základního subjektu (essential entity).

Klíčové povinnosti

Řízení bezpečnostních rizik — čl. 20–21

Zaveďte přiměřená technická, provozní a organizační opatření: analýzu rizik, řešení incidentů, kontinuitu a zálohy, bezpečnost dodavatelů, bezpečné pořizování/vývoj, řešení zranitelností, hodnocení účinnosti, hygienu a školení, kryptografii, bezpečnost přístupů/aktiv/lidí a vhodné vícefaktorové ověřování. Vedení opatření schvaluje, dohlíží na ně a absolvuje přípravu.

V obecném českém vyšším režimu je ISMS povinný (§ 14 ZoKB, § 3 vyhlášky 409); nižší režim vyžaduje systém minimální kybernetické bezpečnosti (§ 3 vyhlášky 410). Služby § 18 odst. 1 mají zvláštní režim nařízení 2690. Samotný čl. 21 NIS2 nepředepisuje AES-256, TLS 1.3, produkt SIEM, roční retenci logů, měsíční interní ani pololetní externí audit. Konkrétní požadavky určete podle českého režimu či použitelného prováděcího nařízení EU a hodnocení rizik; odlište je od zvolených implementačních cílů.

Incident Reporting

Fáze čl. 23 se týkají téhož významného incidentu, nikoli oddělených kategorií „kritický = 24 h“ a „významný = 72 h“.

Fáze	Lhůta a spouštěč
Včasné varování	Bez zbytečného odkladu, do 24 hodin od zjištění významného incidentu
Oznámení incidentu	Bez zbytečného odkladu, do 72 hodin od zjištění; pro poskytovatele služeb vytvářejících důvěru platí zvláštní 24hodinové pravidlo
Průběžná zpráva	Na žádost týmu CSIRT nebo příslušného orgánu (čl. 23 odst. 4 písm. c))
Závěrečná zpráva	Do jednoho měsíce po oznámení incidentu; u trvajícího incidentu zpráva o pokroku v této lhůtě a závěrečná zpráva do měsíce od vyřešení

České hlášení (§§ 15–16 ZoKB): V obecném vyšším režimu se NÚKIB hlásí incidenty, které se projevily ve stanoveném rozsahu, mají původ v kybernetickém prostoru a nelze u nich v prvotní 24hodinové lhůtě vyloučit úmyslné zavinění, i bez významného dopadu. V nižším režimu platí stejné podmínky a navíc významný dopad na regulovanou službu; příjemcem je Národní CERT (§ 15 odst. 1–3, § 14 vyhlášky 410). Prvotní hlášení je bez zbytečného odkladu, nejpozději do 24 hodin od zjištění. Další fáze podle § 16 odst. 3 se vážou na významný dopad na službu podle § 15 odst. 2 nebo na kybernetický prostor státu podle § 16 odst. 2: oznámení bez zbytečného odkladu do 72 hodin od zjištění (služby vytvářející důvěru do 24 hodin), průběžná zpráva na výzvu a závěrečná zpráva do 30 dnů od oznámení. Trvá-li incident po této lhůtě, následuje bez zbytečného odkladu průběžná zpráva a závěrečná zpráva do 30 dnů od vyřešení. Hlášení jde přes Portál NÚKIB; při jeho nedostupnosti na určený e-mail nebo do datové schránky NÚKIB či Národního CERT podle režimu (§ 16 odst. 4).

Digitální služby: § 18 odst. 2 nahrazuje vymezení hlášených incidentů u vyjmenovaných služeb s výjimkou služeb vytvářejících důvěru; významnost určuje nařízení 2024/2690 (čl. 3–4 a příslušný sektorový článek). Obecný postup § 15–16 se zachovává, pokud EU předpis nestanoví zvláštní postup. Zohledněte také hlavní provozovnu nebo zástupce v jiném EU/EHP státě (§ 18 odst. 3). Tato výjimka pro služby důvěry neznamená osvobození od hlášení; čl. 1 nařízení 2690 je zahrnuje. Ostatní incidenty evidujte; dobrovolné hlášení umožňuje § 15 odst. 5. Vedle hlášení orgánu posuďte informování uživatelů o incidentu a významné hrozbě podle § 19.

Ohlášení, registrace a zavedení opatření v ČR

Zákon č. 264/2025 Sb. je účinný od 1. listopadu 2025. Regulovanou službu ohlaste NÚKIB do 60 dnů od splnění podmínek pro ohlášení; organizacím splňujícím podmínky již při účinnosti zákona první lhůta uplynula na konci roku 2025. NÚKIB poté rozhoduje o registraci. V obecném režimu začněte plnit povinnost zavádět a provádět opatření podle § 13 odst. 2 a hlásit incidenty podle § 15 odst. 1–2 nejpozději do jednoho roku od doručení rozhodnutí o registraci každé regulované služby (§ 13 odst. 4 a § 15 odst. 4). Kontaktní a doplňující údaje hlaste do 30 dnů od doručení (§ 11 odst. 1); změny údajů mimo referenční údaje základních registrů do 14 dnů od změny (§ 11 odst. 2). U služeb § 18 odst. 1 se § 13 odst. 2 nepoužije, a proto na jejich opatření nelze automaticky přenést roční lhůtu; hlášení posuďte podle § 18 odst. 2–3 a § 15–16. Dříve regulované osoby mají přechodné povinnosti podle § 71, včetně nového způsobu hlášení již od doručení registrace. Při přechodu z nižšího do vyššího režimu běží nové lhůty podle § 9 odst. 2. Nejde o nový termín prvního ohlášení služby ani o obecné oprávnění odkládat již platné povinnosti. Použijte Portál NÚKIB.

Timeline

Datum/spouštěč	Význam
17. října 2024	Transpoziční lhůta EU
1. listopadu 2025	Účinnost českého zákona
Splnění podmínek regulované služby	Začíná 60denní lhůta k ohlášení
Doručení rozhodnutí o registraci	Obecný režim: opatření a hlášení nejpozději do roka; údaje do 30 dnů. Zohlednit § 18, § 71 a § 9 odst. 2

Sankce

Čl. 34 požaduje pro příslušná porušení čl. 21/23 národní maximální pokuty alespoň 10 mil. EUR nebo 2 % celkového celosvětového ročního obratu podniku, k němuž subjekt patří, v předchozím rozpočtovém roce, podle toho, co je vyšší, u essential entities; u important entities alespoň 7 mil. EUR nebo 1,4 %, podle toho, co je vyšší. Jde o požadavek na národní sankční stropy, nikoli jednotnou pokutu za každé porušení.

Nový český zákon stanoví u příslušných přestupků stropy 250 mil. Kč nebo 2 % v režimu vyšších povinností a 175 mil. Kč nebo 1,4 % v režimu nižších povinností, vždy vyšší hodnotu. Procenta se počítají z čistého celosvětového ročního obratu podniku ve smyslu čl. 101–102 SFEU, jehož je obviněný součástí, za bezprostředně předcházející účetní období (§ 59 odst. 4). Rozhoduje konkrétní přestupek, režim a zákonné podmínky. Nápravná opatření a případná omezení výkonu řídicí funkce mají vlastní podmínky; neplatí univerzální 30–60denní lhůta k nápravě.

Další kroky

Zdroje

Věcná revize: 20. září 2026. Primární zdroje: NIS2 — Arts. 2, 3, 20, 21, 23, 34, NÚKIB — Czech law, NÚKIB — reporting and registration.

Právní základ českého režimu: 264/2025, 408/2025, 409/2025, 410/2025, 2024/2690.