Jak dosáhnout souladu s NIS2

Seznam je v příloze I (jedenáct vysoce kritických odvětví) a příloze II (sedm ostatních). Rozhoduje druh subjektu vymezený odkazem na sektorový předpis, ne název oboru. Nově jsou uvnitř i poskytovatelé řízených služeb a řízených bezpečnostních služeb, tedy leckterý dodavatel IT.

Podle čl. 2 odst. 1 se použije doporučení 2003/361/ES celé, tedy včetně započítání propojených a partnerských podniků. Dceřiná společnost s deseti lidmi tak bývá „středním podnikem". Nepoužije se jen čl. 3 odst. 4 přílohy, tedy pravidlo o veřejném ovládání: subjekt s 25 % a více kapitálu nebo hlasovacích práv v rukou veřejných subjektů se díky tomu z kategorie MSP nevyřazuje, a zůstává tak pod prahem, nedosáhne-li velikosti sám. Pro městské vodárny, nemocnice a dopravní podniky je to zásadní. Bod 16 odůvodnění přitom dovoluje státu zohlednit míru nezávislosti subjektu; ověřte, jak s tím naložil zákon.

Podle čl. 2 odst. 2 až 4 velikost nerozhoduje u poskytovatelů veřejných sítí a služeb elektronických komunikací, poskytovatelů služeb vytvářejících důvěru, registrů TLD, provozovatelů DNS, výhradních poskytovatelů služby, subjektů veřejné správy ústřední vlády, kritických subjektů podle směrnice (EU) 2022/2557 a poskytovatelů služeb registrace jmen domén. Naopak přes čl. 4 se u finančních subjektů použije místo NIS2 nařízení DORA, a to v rozsahu, v jakém pro daná ustanovení zajišťuje přinejmenším rovnocenný účinek včetně dohledu; posuzuje se to po částech, ne jako úplné vynětí sektoru.

Podle čl. 3. Na povinnosti podle směrnice to nemá vliv, ty jsou stejné; mění to dohled (u základních průběžný podle čl. 32, u důležitých až následný podle čl. 33) a horní hranici pokuty. Český zákon tytéž kategorie nazývá vyšším a nižším režimem povinností a kritéria pro zařazení stanoví vyhláška č. 408/2025 Sb. Tam se na to zeptejte nejdřív, protože podle režimu se pak liší i vyhláška o bezpečnostních opatřeních.

Platí, jste-li poskytovatel digitálních služeb nebo služeb vytvářejících důvěru podle jeho čl. 1: DNS, registry TLD, cloud, datová centra, sítě pro doručování obsahu, řízené a řízené bezpečnostní služby, on-line tržiště, vyhledávače a platformy sociálních sítí. Je to nařízení, platí tedy přímo a vedle zákona. Pro zbylá odvětví obdobný akt zatím není.

Podle čl. 3 odst. 4 směrnice se předkládá název, adresa a kontaktní údaje, odvětví a seznam států, kde působíte. V českém právu je ale postup jiný a je namístě ho znát přesně, protože se od něj odvíjejí všechny další lhůty. Splníte-li podmínky podle § 4 odst. 1 zákona č. 264/2025 Sb., máte podle § 6 odst. 1 povinnost službu ohlásit NÚKIB do 60 dnů ode dne, kdy ke splnění došlo. O registraci pak rozhodne Úřad (§ 6 odst. 2) a teprve tímhle rozhodnutím se služba podle § 3 stává regulovanou službou: „Regulovanou službou je služba, o které tak rozhodl Úřad podle § 6 odst. 2.“ Rozklad proti rozhodnutí nemá odkladný účinek. Od doručení rozhodnutí běží: 30 dnů na kontaktní a doplňující údaje (§ 11 odst. 1), nejpozději 1 rok na zavedení bezpečnostních opatření (§ 13 odst. 4) a nejpozději 1 rok na hlášení incidentů (§ 15 odst. 4). Změny údajů se hlásí do 14 dnů (§ 11 odst. 2). Ohlašuje se přes Portál NÚKIB podle vyhlášky č. 334/2025 Sb.

Podle čl. 20 řídící orgán opatření schválí, dohlíží na jejich uplatňování a nese odpovědnost. Členové vedení musí absolvovat školení. Formu schválení čl. 20 nepředepisuje, doložitelný akt s datem, typicky usnesení, je ale nejjistější způsob, jak je prokázat. Konkrétní dokumentační povinnosti pro váš režim navíc ukládá česká vyhláška, takže ji projděte spolu s tímhle krokem.

Písmeno a). Podklad pro všechno ostatní: bez analýzy rizik nedoložíte přiměřenost žádného dalšího opatření. Prováděcí nařízení k tomu má body 1 a 2 přílohy (politika bezpečnosti a politika řízení rizik) včetně požadavku na plán ošetření rizik.

Písmeno b). Podle definice v čl. 6 bodu 8 sem patří i předcházení incidentu, ne jen reakce. Bod 3 přílohy prováděcího nařízení.

Písmeno c). Zálohování, obnova po havárii a krizové řízení. Bod 4 přílohy prováděcího nařízení.

Písmeno d) a odstavec 3. Týká se přímých dodavatelů: jejich specifických zranitelností, kvality jejich produktů a postupů bezpečného vývoje, a výsledků koordinovaného posouzení podle čl. 22. Bez auditního práva, závazku hlásit incidenty a povinnosti součinnosti to smluvně nesplníte. Bod 5 přílohy prováděcího nařízení.

Písmeno e), včetně zveřejňování zranitelností a jejich řešení. Napojte sem evropskou databázi zranitelností podle čl. 12. Bod 6 přílohy prováděcího nařízení.

Písmeno f) a v praxi nejopomíjenější položka. Nestačí opatření zavést, je nutné mít postup, jak se ověří, že fungují, a doklad, že se ověřování dělo. Bod 7 přílohy prováděcího nařízení.

Písmeno g). Bod 89 odůvodnění vypočítává, co se tím myslí: architektura nulové důvěry, aktualizace softwaru, konfigurace zařízení, segmentace sítě, řízení identity a přístupu, povědomí uživatelů a školení k phishingu a sociálnímu inženýrství. Bod 49 doplňuje změny hesel, řízení nových instalací, omezení účtů správce a zálohování. Míří na zaměstnance, na rozdíl od školení vedení podle čl. 20. Bod 8 přílohy prováděcího nařízení.

Písmeno h). Bod 9 přílohy prováděcího nařízení.

Písmeno i). Prováděcí nařízení to člení na tři samostatné body přílohy: 10 (bezpečnost lidských zdrojů), 11 (kontrola přístupu) a 12 (správa aktiv).

Písmeno j), jediné, kde se objevuje konkrétní technologie, a i to jen „v příslušných případech". Prováděcí nařízení k tomu přidává bod 13 přílohy o environmentální a fyzické bezpečnosti, který ve výčtu směrnice samostatně není.

Podle čl. 21 odst. 4: zjistíte-li, že požadavkům neodpovídáte, přijměte bez zbytečného odkladu nezbytná a přiměřená nápravná opatření. Zjištěný a neřešený nedostatek je porušením sám o sobě, i kdyby se nikdy neprojevil incidentem.

Tenhle krok se přeskakuje a je to nejdražší chyba celého checklistu. Test významnosti podle NIS2 níže není tím, co určuje rozsah hlášení podle českého zákona. Rozhoduje váš režim podle § 8 zákona č. 264/2025 Sb., který stanoví vyhláška č. 408/2025 Sb. Ve vyšším režimu hlásíte podle § 15 odst. 1 incidenty, které se projevily ve stanoveném rozsahu, mají původ v kybernetickém prostoru a nelze u nich vyloučit úmyslné zavinění; podmínka významného dopadu tam není. V nižším režimu se podle § 15 odst. 2 hlásí Národnímu CERT a významný dopad podmínkou je; vymezuje ho odst. 3 obdobně jako čl. 23 odst. 3 směrnice a způsob vyhodnocení stanoví vyhláška. Rozdíl je zásadní: kdo je ve vyšším režimu a použije unijní test významnosti, neohlásí incidenty, které mu zákon hlásit ukládá. U vybraných poskytovatelů digitálních služeb se navíc významnost posuzuje podle prováděcího nařízení (EU) 2024/2690.

Tenhle test platí pro směrnici a pro vybrané digitální služby; v českém režimu je nutné ho číst spolu s krokem výše. Podle čl. 23 odst. 3 jde o incident, který způsobil nebo může způsobit závažné provozní narušení či finanční ztrátu, anebo značnou hmotnou či nehmotnou újmu jiným osobám. U poskytovatelů digitálních služeb dává konkrétní prahy čl. 3 prováděcího nařízení: přímá finanční ztráta nad 500 000 EUR nebo 5 % ročního obratu (podle toho, co je nižší), únik obchodního tajemství, úmrtí, značná újma na zdraví, úspěšný neoprávněný přístup hrozící vážným narušením provozu. Hraniční případy vyhodnoťte a zdokumentujte i tehdy, když se neoznamují.

Podle čl. 23 odst. 4: včasné varování do 24 hodin, oznámení incidentu do 72 hodin, závěrečná zpráva do jednoho měsíce; trvá-li incident, místo ní zpráva o pokroku. Podle bodu 102 odůvodnění má včasné varování obsahovat jen to nutné, aby se tým CSIRT o incidentu dozvěděl a vy jste mohli požádat o pomoc. Poskytovatelé služeb vytvářejících důvěru oznamují do 24 hodin bez druhého kroku.

Podle čl. 23 odst. 1 a 2 informujete i příjemce služeb o významném incidentu a o významné kybernetické hrozbě spolu s kroky, které mohou sami učinit. Text a kanál si připravte předem; v průběhu incidentu na formulace není čas. Podle odstavce 7 může veřejnost informovat i sám orgán, takže kontrola nad sdělením nemusí zůstat u vás.

Týká-li se incident osobních údajů, běží vedle sebe dvě povinnosti s jiným adresátem i lhůtou: 24 hodin vůči týmu CSIRT a 72 hodin vůči dozorovému úřadu podle čl. 33 GDPR. Splnění jedné nenahrazuje druhou. Mějte jediný faktický popis incidentu, ze kterého se obě oznámení sestaví; rozpor mezi nimi bývá v řízení horší než samotný incident.