Směrnice (EU) 2022/2555 (NIS2) · Kapitola VI · Sdílení informací
Čl. 30 · Dobrovolné oznamování relevantních informací
Znění
- Členské státy zajistí, aby vedle oznamovací povinnosti stanovené v článku 23 mohla být oznámení dobrovolně předkládána týmům CSIRT nebo případně příslušným orgánům ze strany:
a) základních a důležitých subjektů, pokud jde o incidenty, kybernetické hrozby a významné události;
b) subjektů, které nejsou uvedeny v písmeni a), bez ohledu na to, zda se na ně vztahuje oblast působnosti této směrnice, pokud jde o významné incidenty, kybernetické hrozby a významné události.
- Při zpracování oznámení uvedených v odstavci 1 tohoto článku postupují členské státy v souladu s postupem stanoveným v článku 23. Členské státy mohou dát přednost zpracování povinných oznámení před dobrovolnými oznámeními.
V případě potřeby poskytnou týmy CSIRT a případně příslušné orgány jednotným kontaktním místům informace o oznámeních obdržených podle tohoto článku, přičemž zajistí důvěrnost a náležitou ochranu informací, jež poskytl oznamující subjekt. Aniž je dotčena prevence, vyšetřování, odhalování a stíhání trestných činů, nesmí dobrovolné oznámení vést k tomu, že oznamujícímu subjektu budou uloženy další povinnosti, které by neměl, kdyby toto oznámení neučinil.
Znění: Úřední věstník EU, L 333 z 27. 12. 2022. Směrnice není přímo použitelná, povinnost nese zákon č. 264/2025 Sb.
Komentář
Dobrovolné oznamování. Otevřené i tomu, kdo do působnosti nespadá, a pro incidenty, které významné nejsou. Nezakládá dodatečné povinnosti.
Související ustanovení: čl. 23; čl. 29
Obsah výkladu
I.Dvě otevřené cesty1I. Dvě otevřené cesty
1 Dobrovolně lze oznámit dvě věci, ale rozsah není u obou skupin stejný a rozdíl je snadné přehlédnout. Základní a důležitý subjekt může podle písm. a) oznámit incidenty (tedy i nevýznamné), kybernetické hrozby a významné události. Subjekt mimo působnost směrnice může podle písm. b) oznámit jen významné incidenty, kybernetické hrozby a významné události. Nevýznamný incident tedy dobrovolně oznámit nemůže.
2 Dobrovolné oznámení nezakládá žádnou dodatečnou povinnost, přičemž tím není dotčena prevence, vyšetřování, odhalování a stíhání trestných činů. Členské státy mohou dát přednost zpracování povinných oznámení před dobrovolnými; není to automatické pořadí. Pro subjekt mimo působnost je to jediná cesta, jak se dostat k pomoci týmu CSIRT, a stojí za to o ní vědět dřív, než k incidentu dojde.
3 Malý podnik, který do NIS2 nespadá, tedy není bez opory. Nemá povinnosti, ale má otevřený kanál. Právě tohle bývá pro menší dodavatele regulovaných subjektů užitečnější než celý zbytek směrnice.