Směrnice (EU) 2022/2555 (NIS2) · Kapitola IV · Řízení rizik a oznamovací povinnosti
Čl. 20 · Řízení
Znění
- Členské státy zajistí, aby řídící orgány základních a důležitých subjektů schválily opatření k řízení kybernetických bezpečnostních rizik přijatá těmito subjekty za účelem dosažení souladu s článkem 21, dohlížely nad jeho uplatňováním a mohly nést odpovědnost, poruší-li subjekty uvedený článek.
Uplatňováním tohoto odstavce není dotčeno vnitrostátní právo, pokud jde o pravidla odpovědnosti vztahující se na veřejné orgány, odpovědnost úředníků veřejné správy a odpovědnost volených veřejných činitelů nebo jmenovaných úředníků.
- Členské státy zajistí, aby členové řídících orgánů základních a důležitých subjektů museli absolvovat školení, a vybízí základní a důležité subjekty, aby pravidelně nabízely podobné školení svým zaměstnancům, aby tak získali dostatečné znalosti a dovednosti, aby mohli identifikovat rizika a posoudit postupy řízení kybernetických bezpečnostních rizik a jejich dopad na služby poskytované subjektem.
Znění: Úřední věstník EU, L 333 z 27. 12. 2022. Směrnice není přímo použitelná, povinnost nese zákon č. 264/2025 Sb.
Komentář
Odpovědnost vedení. Řídící orgán opatření schvaluje, dohlíží na ně a může nést odpovědnost za porušení. Členové vedení musí absolvovat školení. Nejostřejší ustanovení celé směrnice.
Související ustanovení: čl. 21; čl. 32 odst. 5 a 6; čl. 34
Obsah výkladu
I.Tři povinnosti, které nejdou delegovat1 II.Povinné školení vedení4 III.Odpovědnost a její meze6I. Tři povinnosti, které nejdou delegovat
1 Řídící orgán musí opatření k řízení rizik schválit, dohlížet na jejich uplatňování a může nést odpovědnost za porušení čl. 21. Tři slovesa, tři samostatné povinnosti.
2 Formu schválení čl. 20 nepředepisuje a povinný zápis z něj přímo neplyne. Doložitelný akt, typicky usnesení statutárního orgánu s datem a s vymezením toho, co se schvaluje, je ale zdaleka nejjistější způsob, jak schválení prokázat; samotná absence zápisu naopak neprokazuje, že ke schválení nedošlo. Konkrétní dokumentační povinnosti pro daný režim navíc ukládají české vyhlášky, takže se u nich odpověď hledá dřív než v samotném čl. 20. Dohled pak znamená pravidelnou zprávu, ne jednorázový podpis při zavedení.
3 Tohle je ustanovení, které NIS2 nejvíc odlišuje od předchozí úpravy a zároveň to, co bývá při kontrole nejsnáz vyvráceno: kdo nemá zápis, nedoloží schválení, a bez schválení je porušen sám čl. 20 nezávisle na tom, jak dobrá jsou samotná opatření.
II. Povinné školení vedení
4 Členové řídícího orgánu musí absolvovat školení. U zaměstnanců se stát omezuje na to, že subjekty k podobnému školení „vybízí”; u vedení jde o povinnost.
5 Cílem je, aby vedení dokázalo identifikovat rizika, posoudit postupy řízení rizik a jejich dopad na poskytované služby. Formát ani rozsah stanoven není, ale doklad o absolvování je jediné, čím se to při kontrole prokáže.
III. Odpovědnost a její meze
6 Odpovědnost vedení je nejostřejším nástrojem směrnice. Doplňuje ji čl. 32 odst. 5 písm. b), podle kterého lze u základního subjektu uložit dočasný zákaz výkonu řídící funkce konkrétní fyzické osobě na úrovni výkonného ředitele nebo zákonného zástupce, a to do doby, než se nedostatky napraví.
7 Meze jsou dvě. Zaprvé, uplatňováním čl. 20 odst. 1 není dotčeno vnitrostátní právo o odpovědnosti veřejných orgánů a jejich úředníků. Zadruhé, zákaz podle čl. 32 odst. 5 se nevztahuje na subjekty veřejné správy a podléhá procesním zárukám včetně práva na účinnou právní ochranu.
8 Souběh s obecnou péčí řádného hospodáře podle § 159 občanského zákoníku a § 51 a násl. zákona o obchodních korporacích je nasnadě, ale nejde o totéž. NIS2 zakládá veřejnoprávní odpovědnost vůči dozoru; péče řádného hospodáře soukromoprávní odpovědnost vůči společnosti. Doložené schválení opatření prospívá v obou rovinách.