Směrnice (EU) 2022/2555 (NIS2) · Kapitola IV · Řízení rizik a oznamovací povinnosti
Čl. 21 · Opatření k řízení kybernetických bezpečnostních rizik
Znění
- Členské státy zajistí, aby základní a důležité subjekty přijaly vhodná a přiměřená technická, provozní a organizační opatření k řízení bezpečnostních rizik, jimž čelí sítě a informační systémy, jež tyto subjekty používají pro svůj provoz nebo poskytování svých služeb, a k předcházení incidentům nebo minimalizaci jejich dopadů na příjemce jejich služeb a na další služby.
S ohledem na nejnovější technický vývoj a případně na příslušné evropské a mezinárodní normy a na náklady na provádění musí opatření uvedená v prvním pododstavci zajišťovat úroveň bezpečnosti sítí a informačních systémů odpovídající existující míře rizika. Při posuzování přiměřenosti těchto opatření je třeba náležitě zohlednit míru vystavení subjektu rizikům, jeho velikost a pravděpodobnost výskytu incidentů, jejich závažnost a společenský a ekonomický dopad.
- Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
a) politiku analýzy rizik a politiku bezpečnosti informačních systémů;
b) řešení incidentů;
c) řízení kontinuity provozu, jako je například správa zálohování a obnova provozu po havárii, a krizové řízení;
d) bezpečnost dodavatelského řetězce včetně bezpečnostních aspektů týkajících se vztahů mezi každým subjektem a jeho přímými dodavateli nebo poskytovateli služeb;
e) zabezpečení pořizování, vývoje a údržby sítí a informačních systémů, včetně zveřejňování zranitelností a jejich řešení;
f) politiky a postupy za účelem posouzení účinnosti opatření k řízení kybernetických bezpečnostních rizik;
g) základní postupy kybernetické hygieny a školení v oblasti kybernetické bezpečnosti;
h) politiky a postupy týkající se používání kryptografie a případně šifrování;
i) bezpečnost lidských zdrojů, postupy kontroly přístupu a správa aktiv;
j) v příslušných případech používání vícefaktorových autentizačních řešení nebo trvalých autentizačních řešení, zabezpečené hlasové, obrazové a textové komunikace a zabezpečených systémů nouzové komunikace v rámci subjektu.
-
Členské státy zajistí, aby při zvažování vhodných opatření uvedených v odst. 2 písm. d) tohoto článku subjekty zohlednily zranitelnosti specifické pro každého přímého dodavatele a poskytovatele služeb a celkovou kvalitu produktů a postupů v oblasti kybernetické bezpečnosti svých dodavatelů a poskytovatelů služeb, včetně jejich postupů bezpečného vývoje. Členské státy rovněž zajistí, aby při zvažování vhodných opatření podle uvedeného písmene subjekty měly povinnost zohlednit výsledky koordinovaného posouzení bezpečnostních rizik kritických dodavatelských řetězců, které bylo provedeno v souladu s čl. 22 odst. 1.
-
Členské státy zajistí, aby v případě, že subjekt zjistí, že neodpovídá požadavkům stanoveným v odstavci 2, přijal bez zbytečného odkladu všechna nezbytná, vhodná a přiměřená nápravná opatření.
-
Do 17. října 2024 přijme Komise prováděcí akty, kterými stanoví technické a metodické požadavky opatření uvedených v odstavci 2, pokud jde o provozovatele DNS, registry domén nejvyšší úrovně, poskytovatele služeb cloud computingu, poskytovatele služeb datových center, poskytovatele sítí pro doručování obsahu, poskytovatele řízených služeb, poskytovatele řízených bezpečnostních služeb, poskytovatele on-line tržišť, internetových vyhledávačů a služeb platforem sociálních sítí a poskytovatele služeb vytvářejících důvěru.
Komise může přijmout prováděcí akty, kterými stanoví technické, metodické a případně odvětvové požadavky, pokud jde o opatření uvedená v odstavci 2, přičemž tyto požadavky se týkají jiných základních a důležitých subjektů než těch, které jsou uvedeny v prvním pododstavci tohoto odstavce.
Při přípravě prováděcích aktů uvedených v prvním a druhém pododstavci tohoto odstavce se Komise pokud možno řídí evropskými a mezinárodními normami, jakož i příslušnými technickými specifikacemi. Komise si v souladu s čl. 14 odst. 4 písm. e) poskytuje se skupinou pro spolupráci a agenturou ENISA vzájemné poradenství a spolupracuje s nimi, pokud jde o návrhy prováděcích aktů.
Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 39 odst. 2.
Znění: Úřední věstník EU, L 333 z 27. 12. 2022. Směrnice není přímo použitelná, povinnost nese zákon č. 264/2025 Sb.
Komentář
Deset povinných opatření k řízení rizik: analýza rizik, řešení incidentů, kontinuita provozu, bezpečnost dodavatelského řetězce, bezpečný vývoj, hodnocení účinnosti, kybernetická hygiena a školení, kryptografie, personální bezpečnost a řízení přístupu, vícefaktorové ověřování. Přiměřenost se poměřuje rizikem, velikostí a dopadem. U poskytovatelů digitálních služeb je rozvádí prováděcí nařízení (EU) 2024/2690.
Související ustanovení: čl. 20; čl. 22; čl. 24; čl. 25; čl. 32 a 33; čl. 34
Související předpisy EU: nařízení (EU) 2019/881; nařízení (EU) 2024/2847 (CRA)
Obsah výkladu
I.Přiměřenost jako měřítko1 II.Deset opatření4 III.Dodavatelský řetězec10 IV.Prováděcí akty a náprava14I. Přiměřenost jako měřítko
1 Subjekt přijme vhodná a přiměřená technická, provozní a organizační opatření k řízení rizik sítí a informačních systémů, které používá pro svůj provoz nebo poskytování služeb, a k předcházení incidentům nebo minimalizaci jejich dopadů.
2 Přiměřenost se poměřuje pěti hledisky: mírou vystavení subjektu rizikům, jeho velikostí, pravděpodobností výskytu incidentů, jejich závažností a společenským a ekonomickým dopadem. K tomu přistupuje stav techniky, evropské a mezinárodní normy a náklady na provedení.
3 Z toho plyne odpověď na nejčastější otázku, tedy „co konkrétně máme udělat”. Směrnice ji záměrně nedává. Dává měřítko a s ním doložitelnost: subjekt musí umět prokázat, proč právě takový rozsah opatření odpovídá jeho riziku. Analýza rizik proto není první z deseti položek náhodou, je to podklad pro všechny ostatní.
II. Deset opatření
4 Odstavec 2 stanoví minimum, tedy alespoň těchto deset oblastí: politika analýzy rizik a bezpečnosti informačních systémů, řešení incidentů, řízení kontinuity provozu (zálohování, obnova po havárii, krizové řízení), bezpečnost dodavatelského řetězce, zabezpečení pořizování, vývoje a údržby včetně zveřejňování a řešení zranitelností, politiky a postupy k posouzení účinnosti opatření, základní postupy kybernetické hygieny a školení, kryptografie a případně šifrování, bezpečnost lidských zdrojů, kontrola přístupu a správa aktiv, a v příslušných případech vícefaktorové nebo trvalé ověřování a zabezpečená komunikace.
5 Slovo alespoň znamená, že je to podlaha, ne strop. Analýza rizik může vést k dalším opatřením a jejich absence je pak porušením odstavce 1, i když deset položek odstavce 2 formálně splněno bylo.
6 Písmeno f), tedy posouzení účinnosti opatření, bývá v praxi nejopomíjenější. Nestačí opatření zavést; je nutné mít postup, jak se ověří, že fungují, a doklad, že se ověřování dělo.
7 Písmeno g) spojuje kybernetickou hygienu se školením, ale koho školit, samo neurčuje. Že jde o zaměstnance, plyne z bodu 89 odůvodnění („měly by pořádat školení pro své zaměstnance”); čl. 20 odst. 2 státy u zaměstnanců pouze „vybízí”, kdežto školení členů řídících orgánů ukládá. Vedle povinného školení vedení je tohle druhá vzdělávací povinnost a míří jinam.
8 Písmeno j) jmenuje vícefaktorové ověřování nebo trvalá autentizační řešení, a to „v příslušných případech”. Není ale jediné, kde se objevuje konkrétní technologie: písm. h) jmenuje kryptografii a případně šifrování a písm. c) zálohování. Zbytek je záměrně technologicky neutrální.
9 K písmenu h) (kryptografie) se váže doporučení Komise (EU) 2024/1101 ze dne 11. dubna 2024 o koordinovaném přechodu na postkvantovou kryptografii. Na ně navázal koordinovaný implementační plán přechodu na postkvantovou kryptografii, který členské státy s podporou Komise vydaly 23. června 2025 a který k doporučení doplňuje harmonogram. Ani jedno není závazné, ale při posuzování přiměřenosti opatření podle písmene h) je to dnes nejbližší dostupné měřítko a je namístě na ně odkázat.
III. Dodavatelský řetězec
10 Písmeno d) ukládá řešit bezpečnost dodavatelského řetězce včetně bezpečnostních aspektů vztahů s přímými dodavateli a poskytovateli služeb. Slovo přímými vymezuje, kam míří konkrétní posouzení podle odstavce 3.
11 Mez celé povinnosti to ale není. Odstavec 1 ukládá rizikově založený přístup a výčet v odstavci 2 je výslovně minimum („alespoň”). U subjektů v působnosti prováděcího nařízení (EU) 2024/2690 jde text ještě dál: bod 5.1.4 písm. g) jeho přílohy žádá smluvní pravidla pro subdodávky a kybernetické požadavky na subdodavatele. Riziko ve druhém článku řetězce proto nelze odbýt tím, že nejde o přímého dodavatele.
12 Odstavec 3 upřesňuje, co se má zohlednit: zranitelnosti specifické pro každého přímého dodavatele, celková kvalita jeho produktů a postupů včetně postupů bezpečného vývoje, a výsledky koordinovaného posouzení podle čl. 22.
13 Praktický důsledek je smluvní. Auditní právo, závazek hlásit incidenty a povinnost poskytnout součinnost jsou tři klauzule, bez kterých se povinnost plní velmi obtížně, a doplnit je do už uzavřených smluv bývá drahé. Univerzální podmínkou podle čl. 21 to ovšem nejsou: u subjektů v působnosti prováděcího nařízení (EU) 2024/2690 je oznamování incidentů a právo na audit či na auditorské zprávy mezi smluvními prvky bodu 5.1.4, a to podle rizika a tam, kde jsou relevantní; u ostatních rozhodují české vyhlášky a konkrétní riziko. Vazba na CRA je tu přímá: produkt s označením CE podle nařízení (EU) 2024/2847 usnadňuje doložení kvality dodávané komponenty.
IV. Prováděcí akty a náprava
14 Odstavec 5 zmocnil Komisi stanovit do 17. října 2024 technické a metodické požadavky pro digitální služby, tedy pro provozovatele DNS, registry domén nejvyšší úrovně, poskytovatele cloudu, datových center, sítí pro doručování obsahu, řízených a řízených bezpečnostních služeb, on-line tržišť, vyhledávačů, platforem sociálních sítí a služeb vytvářejících důvěru. Komise to udělala: prováděcí nařízení (EU) 2024/2690 z 17. října 2024 má v příloze podrobné požadavky ve třinácti oblastech, ne v deseti podle písmen odstavce 2, a mapování není jedna ku jedné. Oblasti 1 (Politika bezpečnosti) i 2 (Politika řízení rizik) míří k písm. a), oblast 11 (Kontrola přístupu) k písm. i) i j), oblast 12 (Správa aktiv) k písm. i) a oblast 13 (Environmentální a fyzická bezpečnost) k písm. c), e) a i) současně; samostatné písmeno jí neodpovídá. Kdo hledá požadavky podle struktury čl. 21 odst. 2, část z nich přehlédne.
15 Kdo pod ten akt spadá, nečte odstavec 2 jako obecné zadání, ale příslušný bod přílohy prováděcího nařízení. Přiměřenost přitom nemizí: podle jeho čl. 2 odst. 2 se i tam zohledňuje expozice rizikům, velikost a pravděpodobnost a závažnost incidentů. Stojí-li navíc v příloze, že se požadavek použije „v případě potřeby”, „v příslušných případech” nebo „v proveditelném rozsahu”, a subjekt jej použít nehodlá, musí své odůvodnění srozumitelně zdokumentovat. To je tentýž mechanismus jako u odstavce 4, jen o patro níž.
16 U ostatních subjektů takové akty Komise přijmout může, ale nemusí. Tam se tedy vykládá jen podle měřítka přiměřenosti a pokynů skupiny pro spolupráci.
17 Odstavec 4 přidává vlastní povinnost: zjistí-li subjekt, že požadavkům neodpovídá, přijme bez zbytečného odkladu nezbytná a přiměřená nápravná opatření. Zjištěný a neřešený nedostatek je proto porušením sám o sobě, i kdyby se nikdy neprojevil incidentem.
18 Pro český subjekt je nakonec podstatnější než celý tenhle článek to, co z něj udělaly vyhlášky. Konkrétní opatření stanoví vyhláška č. 409/2025 Sb. pro vyšší režim a vyhláška č. 410/2025 Sb. pro nižší, obě účinné od
- listopadu 2025. Čl. 21 dává okruhy, vyhláška podrobnosti, a v případě rozdílu se řídíte vyhláškou. Text směrnice slouží k tomu, aby se poznalo, jestli vyhláška nejde nad její rámec, což smí (viz čl. 5), anebo pod něj, což nesmí.