Přeskočit na obsah

Určení rozsahu

Průvodce pro určení, zda vaše organizace spadá pod NIS2 a v jaké kategorii.

Postup rozhodnutí

  1. Určete právní osobu a přesnou službu podle příloh I/II a českých definic regulovaných služeb.
  2. Posuďte velikost podle doporučení 2003/361/ES včetně partnerských/propojených podniků. Čl. 3 odst. 4 přílohy doporučení se pro NIS2 nepoužije (čl. 2 odst. 1). Malý podnik kombinuje méně než 50 pracovníků s obratem nebo bilanční sumou nepřesahující 10 mil. EUR; nejde o test „překročen kterýkoli finanční ukazatel“. Na skutečnou organizaci použijte definice středního/velkého podniku.
  3. Ověřte výjimky čl. 2 a národní pravidla určení. Zvláštní pravidla mají DNS, registry TLD a vymezení poskytovatelé služeb důvěry/komunikací. Cloud, datové centrum ani CDN samy neodstraňují velikostní test. Samotná dodávka essential entity automaticky nečiní dodavatele regulovaným.
  4. Samostatně určete essential/important podle čl. 3. Velké subjekty přílohy I jsou zpravidla essential; střední subjekt přílohy I není automaticky essential. Platí konkrétní výjimky.
  5. V ČR určete regulovanou službu a režim vyšších/nižších povinností podle zákona č. 264/2025 Sb. a prováděcích vyhlášek, výsledek zdokumentujte a případně ohlaste.

Pro český výpočet velikosti použijte § 7 zákona č. 264/2025 Sb.: organizační složky státu, územní samosprávné celky a ČNB nejsou podnikem; jako partnerské či propojené se nezapočítají osoby, jejichž technická aktiva jsou zcela oddělena od aktiv používaných pro posuzovanou regulovanou službu. U poskytovatelů v odvětví věda, výzkum a vzdělávání, kteří nejsou podnikem, se velikostní pravidla použijí obdobně. Eurové částky přepočítejte podle § 2 odst. 2 vyhlášky č. 408/2025 Sb..

Příloha I — vysoce kritická odvětví

Energetika; doprava; bankovnictví; infrastruktura finančních trhů; zdravotnictví; pitná voda; odpadní voda; digitální infrastruktura; řízení služeb IKT mezi podniky; veřejná správa; vesmír.

Příloha II — další kritická odvětví

Poštovní a kurýrní služby; nakládání s odpady; výroba, produkce a distribuce chemických látek; výroba, zpracování a distribuce potravin; vymezené druhy výroby; digitální poskytovatelé; výzkum.

Samotný název odvětví nestačí

Přílohy I a II určují konkrétní druhy subjektů. Při posouzení například rozlište:

  • Finanční infrastruktura: příloha I uvádí provozovatele obchodních systémů a ústřední protistrany. Nelze sem automaticky zařadit všechny firmy z finančního sektoru. Vztah k DORA řeší čl. 4 NIS2.
  • Zdravotnické prostředky: příloha I zahrnuje výrobce prostředků na seznamu kriticky důležitých prostředků pro mimořádné situace v oblasti veřejného zdraví. Ostatní vymezené výrobce prostředků a diagnostiky in vitro řeší příloha II.
  • Veřejná správa: ústřední a regionální subjekty vymezuje členský stát; u regionálních subjektů rozhoduje i posouzení podle čl. 2 odst. 2 písm. f). Rozšíření na místní správu podle čl. 2 odst. 5 je možností státu, nikoli automatickým zahrnutím všech obcí.
  • Vesmír: příloha I se týká provozovatelů vymezené pozemní infrastruktury podporující služby využívající kosmický prostor, s výjimkou poskytovatelů veřejných sítí elektronických komunikací.
  • Potraviny a odpady: příloha II vymezuje velkoobchodní distribuci a průmyslovou výrobu či zpracování potravin; u odpadů vylučuje podniky, pro něž nakládání s odpady není hlavní hospodářskou činností.
  • Výroba: příloha II vymezuje zdravotnické prostředky a diagnostiku in vitro a oddíly NACE 26–30: elektroniku a optiku, elektrická zařízení, stroje, motorová vozidla a ostatní dopravní prostředky.

Posuďte službu, právní osobu, velikost a výjimky podle čl. 2–3. V ČR určete regulovanou službu a režim vyšších nebo nižších povinností podle českého práva. Zařazení do přílohy I samo o sobě neznamená status základního subjektu (essential entity).

Otázky k posouzení působnosti

  • Zapsat službu, právní osobu, stát a přesnou zákonnou definici služby.
  • Zapsat pracovníky, obrat, bilanci a partnerské/propojené podniky včetně rozhodného účetního období.
  • Doložit výpočet velikosti a případnou výjimku či individuální určení.
  • Určit essential/important podle čl. 3; pro ČR samostatně režim vyšších/nižších povinností.
  • Zapsat právní základ, důkazy, posuzovatele, schválení a spouštěč revize; nerozhodovat jen podle názvu odvětví.
AspektEssentialImportant
DohledPravomoci ex-ante i ex-post dle čl. 32Ex-post dle čl. 33 při důkazech/indiciích nesouladu
Riziková opatření a incidentyČl. 20–23 v příslušném rozsahuČl. 20–23 v příslušném rozsahu; nikoli odlišná „standardní“ timeline pouze 72 hodin
SankceNárodní stropy provádějící čl. 34 odst. 4Národní stropy provádějící čl. 34 odst. 5

Ohlášení, registrace a zavedení opatření v ČR

Zákon č. 264/2025 Sb. je účinný od 1. listopadu 2025. Poskytovatel služby splňující podmínky registrace podle § 4 odst. 1 ji musí ohlásit NÚKIB do 60 dnů od splnění těchto podmínek (§ 6 odst. 1); subjektům splňujícím podmínky již při účinnosti zákona první lhůta uplynula 31. prosince 2025. NÚKIB rozhoduje o registraci. Registraci podle § 5 zahajuje pouze z moci úřední; tato ohlašovací povinnost se na ni nevztahuje (§ 6 odst. 3). Použijte Portál NÚKIB.

Kontaktní a doplňující údaje se hlásí do 30 dnů od doručení rozhodnutí o registraci (§ 11 odst. 1). U povinností podle § 13 odst. 2 a § 15 odst. 1–2 stanoví § 13 odst. 4 a § 15 odst. 4 začátek plnění pro každou regulovanou službu nejpozději do jednoho roku od doručení jejího rozhodnutí o registraci. Nejde o novou lhůtu k prvnímu ohlášení služby. Při změně z nižšího na vyšší režim běží nové lhůty pouze pro povinnosti uvedené v § 9 odst. 2.

Digitální služby vyjmenované v § 18 odst. 1 mají zvláštní režim: opatření se řídí § 18 odst. 1 a prováděcím předpisem Komise a § 13 odst. 2 se nepoužije. § 18 odst. 2 vymezuje hlášené incidenty s výjimkou služeb vytvářejících důvěru; § 18 odst. 3 za stanovených podmínek omezuje české zákonné povinnosti při hlavní provozovně či zástupci v jiném státě EU/EHP. Povinnosti a lhůty určete podle těchto zvláštních ustanovení; obecná roční lhůta nezakládá plošný odklad povinností podle § 18.

U dříve regulovaných služeb a systémů § 71 odst. 1 zachovává vymezené dosavadní povinnosti během přechodu; nový způsob hlášení incidentů se použije již od doručení rozhodnutí o registraci. Ověřte režim, přechodná pravidla a skutečné rozhodnutí. Zákon č. 264/2025 Sb., § 6, 9, 11, 13, 15, 18 a 71.

Dokumentace scope rozhodnutí

Scope Determination Record

Další kroky

  1. ✅ Scope určen
  2. → ISMS požadavky
  3. → Otázky k posouzení povinností
  4. → Ohlášení služby NÚKIB (při splnění § 4 odst. 1 zákona č. 264/2025 Sb.)

Věcná revize: 20. září 2026. Primární zdroje: NIS2 — Arts. 2–3; Annexes I–II, NÚKIB — Czech law, NÚKIB — reporting, SME definition.