Směrnice (EU) 2022/2555 (NIS2) · Kapitola IX · Závěrečná ustanovení
Čl. 41 · Provedení ve vnitrostátním právu
Znění
- Členské státy do 17. října 2024 přijmou a zveřejní opatření nezbytná pro dosažení souladu s touto směrnicí. Neprodleně o nich uvědomí Komisi.
Použijí tato opatření ode dne 18. října 2024.
- Opatření uvedená v odst. 1 přijatá členskými státy musí obsahovat odkaz na tuto směrnici nebo musí být takový odkaz učiněn při jejich úředním vyhlášení. Způsob odkazu si stanoví členské státy.
Znění: Úřední věstník EU, L 333 z 27. 12. 2022. Směrnice není přímo použitelná, povinnost nese zákon č. 264/2025 Sb.
Komentář
Transpoziční lhůta. Státy měly opatření přijmout a zveřejnit do 17. října 2024 a používat je od 18. října 2024. Česko lhůtu nedodrželo, zákon č. 264/2025 Sb. je účinný až od 1. listopadu 2025.
Související ustanovení: čl. 1; čl. 5; čl. 44
Související předpisy: zákon č. 264/2025 Sb., o kybernetické bezpečnosti; zákon č. 181/2014 Sb. (zrušený)
Obsah výkladu
I.Lhůta a její zmeškání1 II.Co ze zpoždění plyne5I. Lhůta a její zmeškání
1 Členské státy měly opatření nezbytná pro dosažení souladu přijmout a zveřejnit do 17. října 2024 a používat je od 18. října 2024.
2 Česko lhůtu nedodrželo. Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, byl vyhlášen ve Sbírce 4. srpna 2025 a je účinný od 1. listopadu 2025; týmž dnem nahradil zákon č. 181/2014 Sb. Roční prodleva je fakt, se kterým se pracuje při výkladu i při posuzování očekávání, která na regulované subjekty dopadala v mezidobí.
3 Transpozice není jen ten zákon. Doplňují ho čtyři vyhlášky, všechny účinné od 1. listopadu 2025: č. 334/2025 Sb., o Portálu NÚKIB a požadavcích na některé úkony (vydána 27. srpna 2025), č. 409/2025 Sb. a č. 410/2025 Sb. o bezpečnostních opatřeních ve vyšším a v nižším režimu (obě 26. září 2025) a č. 408/2025 Sb., o regulovaných službách (2. října 2025). Teprve jimi je provedení zákona o kybernetické bezpečnosti úplné.
4 Týmž dnem nabyly účinnosti ještě vyhlášky č. 411/2025 Sb. o bezpečnostních úrovních informačních systémů veřejné správy a č. 412/2025 Sb. o bezpečnostních pravidlech pro orgány veřejné správy využívající cloud computing. Ty ale stojí mimo zákon o kybernetické bezpečnosti; 411/2025 je vydána podle zákona č. 365/2000 Sb. Pro orgán veřejné správy tvoří s vyhláškami k ZKB jeden provozní celek, právně jde ale o dva režimy.
II. Co ze zpoždění plyne
5 Po marném uplynutí transpoziční lhůty se lze za určitých podmínek dovolávat přímého účinku ustanovení směrnice, je-li dostatečně určité a bezpodmínečné, ale jen vertikálně, tedy vůči státu, a nikdy k tíži jednotlivce. Směrnice sama tedy nemohla v mezidobí založit povinnost podniku ani ho vystavit sankci.
6 Prakticky se to promítá do sporů o období od října 2024 do listopadu 2025. Argument, že subjekt měl povinnosti už podle směrnice, neobstojí; argument, že stát měl jednat dřív, obstojí lépe.
7 Od 1. listopadu 2025 je otázka teoretická a rozhodné je znění zákona. Směrnice zůstává výkladovým vodítkem tam, kde je zákon nejednoznačný, a mezí tam, kde by výklad zákona vedl proti jejímu účelu.