Body odůvodnění

Směrnici (EU) 2022/2555 (NIS2) předchází preambule o 144 bodech odůvodnění (recitálech). Tahle stať s nimi zachází jako se samostatnou výkladovou vrstvou. Nejprve vymezuje jejich povahu a výkladovou váhu, která je u směrnice jiná než u nařízení (oddíl I), pak z nich tematicky vytahuje důvody a výkladová pravidla pro jednotlivé části normativního textu (oddíly II až X) a nakonec nabízí orientační mapu, která hlavní shluky recitálů přiřazuje ke konkrétním článkům (oddíl XI). Znění recitálů se přebírá z autentického českého vyhlášení v Úředním věstníku Evropské unie ze dne 27. 12. 2022 (Úř. věst. L 333); odkazuji na ně číslem bodu.

I. Povaha a výkladová váha bodů odůvodnění u směrnice

1 Body odůvodnění nejsou normativní. Nezakládají práva ani povinnosti a nelze z nich přímo vyvodit závazné pravidlo chování. To platí u směrnice stejně jako u nařízení.

2 U směrnice k tomu ale přistupuje druhá vrstva. Závazný obsah nese u nás zákon č. 264/2025 Sb., ne směrnice, a mezi recitálem a čtenářem tak stojí dva kroky, ne jeden: recitál vykládá směrnici, směrnice vykládá zákon. Argument opřený o recitál je proto slabší než u nařízení a nikdy nepřebije znění zákona.

3 Zároveň mají recitály u směrnice jednu funkci, kterou u nařízení nemají: ukazují, kam až smí transpozice zajít. Kde recitál výslovně nabízí státu volbu (a takových míst je tu hodně), je zákonná úprava jednou z povolených variant. Kde naopak recitál cíl vymezuje úzce, je výklad zákona proti tomu cíli napadnutelný jako neeurokonformní.

4 Výkladová váha má tutéž mez jako jinde. Je-li znění článku jasné, rozhoduje článek; je-li víceznačné, je recitál silným argumentem pro to čtení, které odpovídá vyjádřenému účelu; je-li mezi nimi rozpor, přednost má článek.

5 Čtyři body mají v praxi zvláštní postavení, protože bez nich se příslušné ustanovení nedá rozumně použít: bod 16 (kdy se nezapočítá partnerský podnik), bod 89 (co je kybernetická hygiena), bod 102 (jak funguje vícefázové oznamování) a bod 121 (na jakém titulu stojí zpracování osobních údajů při zajišťování bezpečnosti). Vracejí se v celém komentáři.

II. Proč směrnice vznikla a co má řešit

6 Body 1 až 5 nesou důvodovou zprávu. Bod 1 připomíná cíl staré směrnice NIS z roku 2016 a bod 2 konstatuje, že sice posloužila jako katalyzátor, ale odhalila nedostatky. Bod 5 je pak jádro: rozdíly mezi státy vedly k roztříštěnosti vnitřního trhu, což je právní základ celé revize podle článku 114 Smlouvy o fungování EU (bod 4).

7 Bod 6 vysvětluje, proč se rozsah tak rozšířil: zrušením staré směrnice se působnost rozšiřuje na větší část ekonomiky, aby pokrytí odvětví a služeb zásadního významu bylo komplexní.

8 Bod 7 pojmenovává druhou zásadní změnu. Podle staré směrnice určovaly provozovatele základních služeb státy samy, což vedlo ke značným rozdílům. NIS2 proto nahrazuje individuální určování objektivními kritérii velikosti a odvětví. Odtud pramení celá konstrukce čl. 2 a 3 a s ní i to, že se subjekty musejí samy identifikovat.

III. Působnost, velikost a vynětí

9 Bod 15 vysvětluje dělení na základní a důležité subjekty a bod 17 umožňuje státu převzít dosavadní provozovatele základních služeb určené podle staré směrnice.

10 Bod 16 obsahuje výkladové pravidlo, které se v přehledech téměř neobjevuje a přitom rozhoduje o působnosti u celých skupin. Aby subjekty s partnerskými nebo přidruženými podniky nebyly považovány za regulované tam, kde by to bylo nepřiměřené, může stát zohlednit míru nezávislosti subjektu, zejména je-li nezávislý z hlediska sítí a informačních systémů, které používá při poskytování svých služeb. Dceřiná společnost s vlastní, oddělenou infrastrukturou tedy nemusí být automaticky vtažena velikostí skupiny; záleží na tom, jak s touhle možností naložil zákon.

11 Body 8 až 10 vymezují vynětí veřejné správy. Podle bodu 8 se týká subjektů, jež vykonávají činnost převážně v oblasti národní bezpečnosti, veřejné bezpečnosti, obrany nebo vymáhání práva, a nedopadá na ty, u nichž je souvislost jen okrajová. Bod 9 pak řeší subjekty, které takové činnosti vykonávají jen zčásti: vynětí z určitých povinností se vztahuje jen na tuto část.

12 Bod 11 patří jinam a říká pravý opak vynětí: poskytovatelé služeb vytvářejících důvěru podle nařízení (EU) č. 910/2014 mají do působnosti NIS2 spadat. Souběh s eIDAS je tedy zamýšlený, ne vyloučený.

13 Bod 13 je doporučení, které stojí za citaci v zadávacích podmínkách: státy se mají snažit zajistit, aby vysoké úrovně kybernetické bezpečnosti dosáhly i subjekty vyňaté z působnosti. Není to povinnost, ale odůvodňuje smluvní požadavek na dodavatele mimo režim směrnice.

14 Bod 20 ukládá Komisi vydat pokyny k posuzování kritérií pro mikropodniky a malé podniky. Bod 21 pak pokyny k působnosti a k přiměřenosti opatření obecně. Tyhle pokyny jsou v praxi to první, po čem se sahá u hraničních případů.

IV. Vztah k odvětvovým předpisům

15 Body 22 až 27 tvoří výkladový rámec k čl. 4. Rovnocennost se posuzuje zvlášť u oznamování a zvlášť u řízení rizik, takže odvětvový akt může vyloučit jen jednu z obou vrstev; plyne to z čl. 4 odst. 2 písm. a) a b), ne z některého recitálu. To bývá v praxi zdroj omylů.

16 Bod 24 přidává provozní podmínku, na které se rovnocennost láme: ustanovení odvětvového aktu o oznamování incidentů mají týmům CSIRT poskytnout k oznámením okamžitý přístup. Odvětvový režim, který orgány kybernetické bezpečnosti obchází, tedy rovnocenný není.

17 Bod 28 pojmenovává hlavní případ výslovně: nařízení DORA se považuje za odvětvový akt ve vztahu k finančním subjektům. Bod 29 řeší letectví a bod 30 soudržnost se směrnicí (EU) 2022/2557 o odolnosti kritických subjektů.

18 Bod 27 obsahuje pokyn pro budoucnost: budoucí odvětvové akty mají náležitě zohledňovat definice a rámec dohledu podle NIS2. Kdo se orientuje podle NIS2, měl by tedy zůstat kompatibilní i s tím, co teprve přijde.

V. Digitální infrastruktura a domény

19 Bod 31 vysvětluje, proč jsou subjekty z odvětví digitální infrastruktury regulovány komplexně: jejich činnost je na sítích a informačních systémech založena. Bod 32 přidává důraz na systém jmen domén jako podmínku integrity internetu.

20 Body 33 až 35 vymezují cloud a datová centra. Bod 33 popisuje služby cloud computingu jako digitální služby umožňující správu na vyžádání a široký dálkový přístup ke sdíleným výpočetním zdrojům, bod 35 pak upozorňuje, že služby datových center nemusí být poskytovány jako cloud a že datové centrum není vždy součástí cloudové infrastruktury. Tohle rozlišení rozhoduje o zařazení do přílohy I.

21 Body 109 až 112 stojí za čl. 28. Bod 111 ukládá shromažďovat přesné údaje o registraci a bod 112 zveřejňovat ty, které nejsou osobními údaji. Bod 110 zdůvodňuje přístup oprávněných žadatelů. Celý shluk je psán s ohledem na GDPR a je to nejcitlivější místo průniku obou režimů.

VI. Řízení rizik a opatření

22 Body 77 až 83 vykládají čl. 21. Bod 79 zakotvuje přístup zohledňující všechny druhy rizik, tedy že se nechrání jen před kybernetickým útokem, ale i před fyzickými událostmi a selháním. Body 81 a 82 rozvíjejí přiměřenost: opatření mají být úměrná riziku, míře vystavení, velikosti a společenskému a ekonomickému dopadu incidentu.

23 Bod 83 upřesňuje, co se chrání: především soukromé sítě a informační systémy spravované interním personálem nebo externě zajištěné. Není to tedy jen to, co je „na internetu”.

24 Bod 89 je nejužitečnější recitál celé preambule, protože vypočítává, co se rozumí kybernetickou hygienou: architektura nulové důvěry, aktualizace softwaru, konfigurace zařízení, segmentace sítě, řízení identity a přístupu a povědomí uživatelů, k tomu školení zaměstnanců a zvyšování povědomí o hrozbách, phishingu a sociálním inženýrství. Bod 49 doplňuje aktualizace hardwaru, změny hesel, řízení nových instalací, omezení účtů s oprávněním správce a zálohování.

25 Body 85 až 88 vykládají dodavatelský řetězec. Bod 86 vyzdvihuje úlohu poskytovatelů řízených bezpečnostních služeb a bod 88 rozšiřuje pohled i na rizika z interakcí s dalšími účastníky ekosystému, včetně průmyslové špionáže.

26 Bod 80 řeší doložení souladu: dokud nejsou vhodná evropská schémata certifikace, mají státy podporovat používání evropských a mezinárodních norem, případně požadovat certifikované produkty a služby. Právě proto je čl. 25 formulován jako podpora, ne jako povinnost.

27 Bod 51 vybízí státy k podpoře inovativních technologií včetně umělé inteligence pro odhalování útoků a bod 52 zdůrazňuje přínos nástrojů s otevřeným zdrojovým kódem. Bod 54 pak ukládá státům věnovat se v národní strategii zvlášť ransomwaru, a bod 56 potřebám malých a středních podniků.

VII. Oznamování incidentů

28 Body 101 až 108 vykládají čl. 23. Bod 101 vysvětluje smysl vícefázového přístupu: rovnováha mezi rychlým oznámením, které omezí šíření a umožní požádat o podporu, a podrobným oznámením, ze kterého se dá poučit.

29 Tentýž bod vypočítává, co se má vzít v úvahu při prvotním posouzení významnosti: dotčené sítě a informační systémy a jejich význam pro poskytování služby, závažnost a technické charakteristiky hrozby, využívané zranitelnosti a zkušenosti subjektu s podobnými incidenty. Kdo dokumentuje rozhodnutí neoznamovat, měl by projít právě tenhle výčet.

30 Bod 102 popisuje tři kroky a vysvětluje smysl prvního: včasné varování má obsahovat jen to, co je nutné, aby se tým CSIRT o incidentu dozvěděl a subjekt mohl požádat o pomoc. Není to tedy zpráva o incidentu, a snaha naplnit ji vším známým jen zdržuje.

31 Bod 103 se týká informování příjemců služby a bod 104 ukládá poskytovatelům sítí a služeb elektronických komunikací zavádět bezpečnostní prvky standardně a záměrně.

32 Bod 106 doporučuje státům zřídit jednotné vstupní místo pro oznamování, aby se snížila administrativní zátěž. Bod 107 pak vybízí, aby subjekty oznamovaly incidenty se znaky závažné trestné činnosti orgánům činným v trestním řízení; oznámení podle čl. 23 trestní oznámení nenahrazuje.

33 Bod 108 konstatuje, že incidenty často ohrožují i ochranu osobních údajů, a ukládá orgánům spolupracovat s dozorovými úřady. Je to zdroj čl. 35 a zároveň důvod, proč se dokumentace k incidentu vede s vědomím, že ji uvidí víc než jeden úřad.

VIII. Osobní údaje a sdílení informací

34 Bod 121 je pro praxi nejcennější recitál celé preambule. Zpracování osobních údajů v rozsahu nutném a přiměřeném pro zajištění bezpečnosti sítí a informačních systémů může být zákonné podle čl. 6 odst. 1 písm. c) GDPR (plnění právní povinnosti) a rovněž podle čl. 6 odst. 1 písm. f) (oprávněný zájem), a to i pro poskytovatele bezpečnostních technologií jednajících jménem subjektu a pro sdílení informací a dobrovolné oznamování.

35 To je odpověď na nejčastější námitku proti sdílení indikátorů kompromitace, které bývají osobními údaji. Titul existuje, ale je nutné ho zvolit a doložit; recitál sám titulem není.

36 Body 119 a 120 vykládají čl. 29 a vyzývají k dobrovolnému sdílení znalostí na strategické, taktické i operativní úrovni. Bod 118 pak řeší utajované informace: sdílejí se podle odpovídajících pravidel, ne v obecném režimu směrnice.

IX. Dohled, vymáhání a odpovědnost

37 Bod 122 zdůvodňuje minimální seznam dohledových nástrojů a bod 123 jejich mez: dohled nemá zbytečně omezovat obchodní činnost subjektu. Bod 124 dovoluje orgánům stanovit u dohledu předem priority, tedy nekontrolovat všechny stejně.

38 Bod 125 žádá, aby dohled vykonávali vyškolení odborníci, a bod 126 umožňuje orgánu v odůvodněných případech, ví-li o podstatné hrozbě nebo bezprostředním riziku, rozhodnout okamžitě.

39 Bod 133 je nejdůležitější pro obranu proti nejtvrdším nástrojům. Pozastavení certifikace a dočasný zákaz výkonu řídící funkce mají být uplatněny jen jako krajní prostředek, tedy po vyčerpání ostatních opatření, a úměrně závažnosti porušení, jeho úmyslné nebo nedbalostní povaze a opatřením přijatým ke zmírnění újmy. Kdo takové opatření napadá, argumentuje především tímhle bodem.

40 Bod 130 vysvětluje pojem podniku pro účely pokuty: chápe se ve smyslu článků 101 a 102 Smlouvy o fungování EU, tedy soutěžně, včetně skupiny. Odtud plyne, že se procento počítá z obratu celé skupiny, ne jen regulované společnosti. Tentýž bod řeší pokutu osobě, která podnikem není, a ponechává na státu, zda pokutovat orgány veřejné správy.

41 Bod 128 je věta, kterou stojí za to znát doslova: směrnice nevyžaduje, aby státy stanovily trestní nebo občanskoprávní odpovědnost fyzických osob za újmu, kterou v důsledku porušení utrpěly třetí strany. Odpovědnost vedení podle čl. 20 je tedy veřejnoprávní, ne odpovědnostní titul pro poškozené.

42 Bod 137 naopak potvrzuje jádro čl. 20: řídící orgány mají opatření schválit a dohlížet na jejich provádění. Bod 131 ponechává na státu trestní sankce, bod 132 pak konstatuje, že správní sankce nejsou harmonizovány a že povahu sankce, tedy zda je trestní či správní, určuje vnitrostátní právo. Situaci států, kde správní pokutu ukládá soud, řeší čl. 34 odst. 8, ne recitál.

43 Bod 143 zavazuje k výkladu v souladu s Listinou, jmenovitě s právem na respektování soukromého života a komunikace, ochranou osobních údajů, svobodou podnikání, právem na vlastnictví, účinnou právní ochranou a spravedlivým procesem, presumpcí neviny a právem na obhajobu. Právo na účinnou právní ochranu se přitom vztahuje i na příjemce služeb.

X. Instituce, spolupráce a zdroje

44 Body 38 až 47 popisují národní institucionální rámec. Bod 39 zdůvodňuje jednotné kontaktní místo, body 42 až 44 postavení týmů CSIRT. Bod 43 a 44 přitom otevírají možnost, aby tým CSIRT na žádost subjektu aktivně skenoval jeho sítě a sledoval aktiva orientovaná na internet; je to služba, o kterou lze požádat a která se využívá málo.

45 Bod 46 upozorňuje na zdroje: cílů směrnice nelze dosáhnout bez odpovídajícího vybavení orgánů a týmů. Bod 141 totéž říká o agentuře ENISA.

46 Body 64 až 67 vykládají skupinu pro spolupráci a bod 65 popisuje, jak má postupovat při tvorbě pokynů. Body 68 až 72 se týkají krizového rámce a sítě EU-CyCLONe; bod 69 vymezuje rozsáhlý incident jako takový, který způsobuje narušení přesahující schopnost jednoho státu na něj reagovat.

47 Body 58 až 63 stojí za čl. 12: koordinované zveřejňování zranitelností, role koordinátora a evropská databáze zranitelností. Bod 63 přitom uvádí důvod, proč databázi vede ENISA, totiž že dosavadní podobné registry spravují subjekty mimo Unii.

XI. Orientační mapa recitál → článek

Následující mapa přiřazuje hlavní shluky bodů odůvodnění ke konkrétním článkům nebo kapitolám normativní části a slouží zároveň k provázání do jednotlivých kapitol komentáře. Přiřazení vychází z obsahu recitálů a je orientační, nikoli vyčerpávající; jeden recitál se může vázat k více ustanovením.

Body odůvodnění	Článek / kapitola	Téma
1 až 6	čl. 1; čl. 44	Nedostatky staré směrnice NIS, právní základ podle čl. 114 SFEU, rozšíření působnosti
7, 15, 18, 19	čl. 2; čl. 3	Přechod od určování státem k objektivním kritériím, dvě kategorie subjektů, seznam a jeho ohlašování
8 až 11, 13	čl. 2 odst. 7 a 8	Vynětí veřejné správy, částečné vynětí, doporučení k vyňatým subjektům
12	příloha II bod 1	Poštovní a kurýrní služby
14, 121	čl. 2 odst. 12 a 14; čl. 29	Vztah ke GDPR, titul pro zpracování osobních údajů při zajišťování bezpečnosti
16	čl. 2 odst. 1	Míra nezávislosti partnerských a přidružených podniků při posuzování velikosti
17	čl. 3 odst. 1 písm. g)	Převzetí provozovatelů základních služeb podle staré směrnice
20, 21	čl. 2; čl. 21 odst. 1	Pokyny Komise ke kritériím velikosti a k přiměřenosti opatření
22 až 29	čl. 4	Odvětvové akty a test rovnocennosti, DORA, letectví
30	čl. 2 odst. 3; čl. 3 odst. 1 písm. f)	Soudržnost se směrnicí o odolnosti kritických subjektů
31 až 35	příloha I bod 8; čl. 3	Digitální infrastruktura, cloud, datová centra
36	příloha II bod 7	Výzkumné organizace
37, 97	čl. 1; příloha I	Vzájemné závislosti a závislost vnitřního trhu na internetu
38 až 41, 46	čl. 8; čl. 9	Příslušné orgány, jednotné kontaktní místo, zdroje
42 až 45, 47	čl. 10; čl. 11; čl. 15	Týmy CSIRT, skenování na žádost subjektu, síť CSIRT
48 až 57	čl. 7	Národní strategie: kybernetická hygiena, ransomware, malé a střední podniky, aktivní obrana
58 až 63	čl. 12	Koordinované zveřejňování zranitelností, koordinátor, evropská databáze
64 až 67	čl. 14	Skupina pro spolupráci a tvorba pokynů
68 až 72	čl. 9; čl. 16	Krizový rámec, rozsáhlý incident, EU-CyCLONe
73	čl. 17	Mezinárodní dohody se třetími zeměmi
74	čl. 17	Spolupráce se třetími zeměmi
75, 76	čl. 19	Vzájemná hodnocení a metodika sebehodnocení
77 až 83, 89	čl. 21 odst. 1 a 2	Kultura řízení rizik, všechny druhy rizik, přiměřenost, kybernetická hygiena
84	čl. 21 odst. 5; čl. 26	Přeshraniční povaha digitálních služeb
85 až 88, 90, 91	čl. 21 odst. 2 písm. d) a odst. 3; čl. 22	Dodavatelský řetězec, řízené bezpečnostní služby, koordinované posouzení rizik
80	čl. 24; čl. 25	Certifikace a normy jako způsob doložení souladu
92 až 96	čl. 42; čl. 43; čl. 3 odst. 1 písm. c)	Přechod poskytovatelů služeb vytvářejících důvěru a telekomunikací pod NIS2
98 až 100	čl. 21; příloha I bod 8	Šifrování, bezpečnost sítí elektronických komunikací, odolnost systému jmen domén
101 až 104	čl. 23 odst. 1 až 4	Vícefázové oznamování, lhůty 24 a 72 hodin, informování příjemců
105 až 108	čl. 23; čl. 30; čl. 35	Proaktivní přístup, jednotné vstupní místo, trestná činnost, souběh s ochranou údajů
109 až 112	čl. 28	Údaje o registraci jmen domén, jejich přesnost, zveřejnění a přístup
113 až 117	čl. 26; čl. 27	Pravomoc, hlavní provozovna, zástupce v Unii, registr vedený agenturou ENISA
118 až 120	čl. 29; čl. 30	Utajované informace a dobrovolné sdílení informací
122 až 127	čl. 31; čl. 32; čl. 33	Dohledové nástroje, jejich meze a priority, okamžité rozhodnutí při bezprostředním riziku
128	čl. 20; čl. 32 odst. 6	Směrnice nevyžaduje trestní ani občanskoprávní odpovědnost fyzických osob vůči třetím stranám
129 až 132	čl. 34; čl. 36	Správní pokuty, pojem podniku podle čl. 101 a 102 SFEU, trestní sankce
133	čl. 32 odst. 5	Pozastavení certifikace a zákaz výkonu řídící funkce jen jako krajní prostředek
134, 135	čl. 37	Vzájemná pomoc mezi orgány
136	čl. 35	Spolupráce s dozorovými úřady podle GDPR
137	čl. 20	Odpovědnost řídícího orgánu: schválení opatření a dohled nad prováděním
138, 139	čl. 38; čl. 39	Přenesené pravomoci a prováděcí akty
140	čl. 40	Pravidelný přezkum směrnice
141	čl. 18; čl. 27	Nové úkoly a zdroje agentury ENISA
142	preambule	Subsidiarita a proporcionalita
143	čl. 32 odst. 5; celá směrnice	Soulad s Listinou, včetně práva příjemců služeb na účinnou právní ochranu
144	preambule	Konzultace evropského inspektora ochrany údajů, stanovisko z 11. 3. 2021