Směrnice (EU) 2022/2555 (NIS2) · Kapitola I · Obecná ustanovení
Čl. 1 · Předmět
Znění
-
Touto směrnicí se stanoví opatření, jejichž účelem je dosáhnout vysoké společné úrovně kybernetické bezpečnosti v rámci Unie s cílem zlepšit fungování vnitřního trhu.
-
Za tímto účelem tato směrnice stanoví:
a) povinnosti, jež vyžadují, aby členské státy přijaly národní strategie kybernetické bezpečnosti, určily nebo zřídily příslušné orgány, orgány pro řešení kybernetických krizí, jednotná kontaktní místa pro kybernetickou bezpečnost (dále jen „jednotná kontaktní místa“) a týmy pro reakce na počítačové bezpečnostní incidenty (dále jen „týmy CSIRT“);
b) opatření k řízení kybernetických bezpečnostních rizik a oznamovací povinnosti pro subjekty, jejichž druhy jsou uvedeny v příloze I nebo II, jakož i pro subjekty, jež jsou určeny jakožto kritické subjekty podle směrnice (EU) 2022/2022/2557;
c) pravidla a povinnosti týkající se sdílení informací o kybernetické bezpečnosti;
d) povinnosti členských států v oblasti dohledu a vymáhání.
Znění: Úřední věstník EU, L 333 z 27. 12. 2022. Směrnice není přímo použitelná, povinnost nese zákon č. 264/2025 Sb.
Komentář
Předmět: vysoká společná úroveň kybernetické bezpečnosti v Unii. Vyjmenovává, co směrnice ukládá státům: strategii, orgány, opatření pro subjekty, sdílení informací a dohled.
Související ustanovení: čl. 2 (působnost); čl. 5 (minimální harmonizace); čl. 41 (provedení)
Související předpisy: zákon č. 264/2025 Sb., o kybernetické bezpečnosti; směrnice (EU) 2022/2557 (kritické subjekty); nařízení (EU) 2022/2554 (DORA)
Obsah výkladu
I.Co směrnice upravuje1 II.Komu to ukládá3I. Co směrnice upravuje
1 Cílem je vysoká společná úroveň kybernetické bezpečnosti v Unii a zlepšení fungování vnitřního trhu. Směrnice k tomu ukládá čtyři vrstvy povinností: národní strategii a orgány (kapitola II), spolupráci na unijní úrovni (kapitola III), opatření k řízení rizik a oznamování pro subjekty (kapitola IV) a dohled a vymáhání (kapitola VII).
2 Praktický důsledek pro čtenáře z podniku je ten, že jen jedna z těch vrstev je jeho. Kapitoly II a III popisují, co si musí postavit stát, a čtou se spíš proto, aby bylo jasné, komu se hlásí a odkud přijdou pokyny.
II. Komu to ukládá
3 Adresátem směrnice je členský stát, ne podnik. Formulace „členské státy zajistí, aby…” se v textu opakuje desítky krát a je to podstatný rozdíl proti nařízení. Podnik nemůže být za porušení směrnice postižen; může být postižen za porušení zákona, který ji provedl.
4 Přesto se směrnice čte i v podniku, a to ze tří důvodů. Zaprvé, kde je zákon nejednoznačný, hledá se odpověď v tom, co měl provést (eurokonformní výklad). Zadruhé, jde-li stát nad rámec směrnice, je dobré to vědět, protože takový požadavek z NIS2 neplyne a výkladové pokyny k ní na něj nedopadají; přísnější národní úpravu ale směrnice připouští. Čl. 5 (minimální harmonizace) státům výslovně nebrání přijmout nebo ponechat ustanovení zajišťující vyšší úroveň kybernetické bezpečnosti, jsou-li v souladu s jejich povinnostmi podle práva Unie. Argument „tohle po nás Unie nechce, tedy to platit nemusí” tedy sám o sobě neobstojí. Zatřetí, výkladové pokyny skupiny pro spolupráci a prováděcí akty Komise míří na text směrnice, ne na český zákon.