Úvodní stať

I. Předmět a účel směrnice

1 Směrnice (EU) 2022/2555, zkráceně NIS2, stanoví opatření k dosažení vysoké společné úrovně kybernetické bezpečnosti v Unii s cílem zlepšit fungování vnitřního trhu. Čl. 1 odst. 2 vypočítává čtyři vrstvy: národní strategii a orgány, opatření k řízení rizik a oznamování pro subjekty, pravidla a povinnosti týkající se sdílení informací (kapitola VI) a povinnosti států v oblasti dohledu a vymáhání. Unijní spolupráce podle kapitoly III v tomhle výčtu není.

2 Chráněnou hodnotou není údaj ani produkt, ale kontinuita služby. Tím se NIS2 liší od svých sousedů: GDPR chrání osobní údaje, AI Act chování systémů umělé inteligence, CRA vlastnosti produktu uváděného na trh. NIS2 se ptá, jestli vaše služba vydrží, a jestli o problému včas řeknete.

3 Adresátem je provozovatel služby, ne výrobce. Kdo dodává hardware nebo software, řeší CRA; kdo na něm provozuje regulovanou službu, řeší NIS2. Jedna společnost může být obojím, ale z různých titulů a s různými povinnostmi.

II. Směrnice, ne nařízení, a co z toho plyne

4 Tohle je jediná sekce na webu, která nestojí na přímo použitelném předpisu. NIS2 je směrnice a podle čl. 46 je určena členským státům. Povinnost tuzemskému subjektu neukládá.

5 V Česku ji provádí zákon č. 264/2025 Sb., o kybernetické bezpečnosti, vyhlášený 4. srpna 2025 a účinný od 1. listopadu 2025, který nahradil zákon č. 181/2014 Sb. Transpoziční lhůta přitom podle čl. 41 uplynula už 17. října 2024, takže Česko transponovalo s ročním zpožděním.

6 Samotný zákon ale nestačí. Spolu s ním vyšly čtyři vyhlášky a teprve v nich jsou konkrétní požadavky, všechny účinné rovněž od 1. listopadu 2025: vyhláška č. 408/2025 Sb., o regulovaných službách (kdo je regulovaný a v jakém režimu), vyhláška č. 409/2025 Sb. o bezpečnostních opatřeních ve vyšším režimu, vyhláška č. 410/2025 Sb. o týchž opatřeních v nižším režimu a vyhláška č. 334/2025 Sb., o Portálu NÚKIB a požadavcích na některé úkony.

7 Kdo hledá, co má technicky zavést, hledá to ve vyhlášce č. 409 nebo 410, ne v čl. 21 směrnice. Ten dává jen okruhy; čísla a podrobnosti jsou ve vyhlášce.

8 Konkrétní povinnost svého podniku proto vždy hledejte v zákoně, ne v textu směrnice. Rozdíl není akademický: podle čl. 5 (minimální harmonizace) smí stát jít nad rámec směrnice, a soulad se směrnicí tedy neznamená soulad se zákonem.

9 Přesto se směrnice čte, a to ze tří důvodů. Kde je zákon nejednoznačný, vykládá se ve světle toho, co měl provést. Kde jde zákon nad rámec směrnice, je dobré to vědět, protože takový požadavek nelze podepřít unijním právem. A pokyny skupiny pro spolupráci i prováděcí akty Komise míří na text směrnice, ne na český zákon.

10 Pozor i na názvosloví. Směrnice rozlišuje základní a důležité subjekty, český zákon vyšší a nižší režim povinností. Jde o totéž rozlišení, jen jinými slovy; při čtení obou textů vedle sebe je to nutné hlídat.

III. Tři věci, které se pletou nejčastěji

11 Základní a důležitý subjekt nejsou dvě úrovně povinností. Opatření podle čl. 21 i oznamování podle čl. 23 jsou pro obě kategorie totožná. Liší se dohled (u základních průběžný podle čl. 32, u důležitých až následný podle čl. 33) a horní hranice pokuty. Kdo z toho vyvodí, že jako důležitý subjekt „musí míň”, plete si dohled s povinností.

12 Jeden rozdíl v zátěži tu ale je a plyne z bodu 122 odůvodnění: důležité subjekty by neměly mít povinnost systematicky dokumentovat soulad s opatřeními k řízení rizik. Povinnost opatření zavést tím nemizí, mění se jen očekávaná míra průběžné důkazní přípravy.

13 Velikostní práh se počítá včetně skupiny. Působnost podle čl. 2 odst. 1 vyžaduje alespoň velikost středního podniku podle doporučení 2003/361/ES, a to doporučení se použije celé, tedy včetně započítání propojených a partnerských podniků. Dceřiná společnost s deseti lidmi tak bývá „středním podnikem”. Nepoužije se jen čl. 3 odst. 4 přílohy, a to je pravidlo o veřejném ovládání: podnik, v němž má 25 % nebo více kapitálu či hlasovacích práv veřejný subjekt, se za malý ani střední podnik nepovažuje. Tím, že se nepoužije, zůstává takový subjekt v kategorii MSP, a tedy pod prahem působnosti, nedosáhne-li velikosti sám. Pro městské vodárny, nemocnice a dopravní podniky je to výkladově zásadní.

14 Závěr o započítání skupiny má ještě jednu korekci, kterou je namístě znát dřív, než se dceřiná společnost přihlásí. Podle bodu 16 odůvodnění může stát zohlednit míru nezávislosti subjektu vůči partnerským a přidruženým podnikům a mít za to, že kritéria pro střední podnik nesplňuje. Dceřiná společnost s vlastní, oddělenou infrastrukturou tedy nemusí být vtažena velikostí skupiny automaticky; záleží na tom, jak s touhle možností naložil zákon.

15 Naopak se použije čl. 4 odst. 2 přílohy, tedy pravidlo, že status se mění teprve při překročení nebo poklesu ve dvou po sobě jdoucích účetních obdobích. Odklad tedy nepadá.

16 Dodavatel IT je nově regulovaný. Poskytovatelé řízených služeb a řízených bezpečnostních služeb jsou v příloze I, tedy mezi vysoce kritickými odvětvími. Zároveň jsou předmětem povinnosti svého zákazníka podle čl. 21 odst. 2 písm. d). Obě strany proto tlačí na tytéž smluvní záruky z opačných konců a promítá se to do ceny i do doby vyjednávání.

IV. Co směrnice po subjektu chce

17 Věcně to jsou tři věci. Za prvé, deset oblastí opatření podle čl. 21 odst. 2: analýza rizik a politika bezpečnosti informačních systémů, řešení incidentů, kontinuita provozu, bezpečnost dodavatelského řetězce, bezpečnost při pořizování, vývoji a údržbě systémů včetně řešení zranitelností, posouzení účinnosti opatření, kybernetická hygiena a školení, kryptografie a případně šifrování, personální bezpečnost, správa aktiv a řízení přístupu, a konečně vícefaktorové ověřování spolu s trvalými autentizačními řešeními a zabezpečenou hlasovou, obrazovou, textovou a nouzovou komunikací.

18 Za druhé, oznamování podle čl. 23: včasné varování do 24 hodin, oznámení incidentu do 72 hodin, závěrečná zpráva do jednoho měsíce, a k tomu informování příjemců služby.

19 Za třetí, odpovědnost vedení podle čl. 20: řídící orgán opatření schválí, dohlíží na jejich uplatňování a může nést odpovědnost za jejich porušení, a jeho členové musí absolvovat školení. Slovo „může” je v textu záměrně; konkrétní odpovědnostní režim je věcí vnitrostátního práva. Právě tohle bývá při kontrole nejsnáz vyvráceno, protože bez zápisu se schválení nedoloží.

20 Rozsah se přitom neurčuje seznamem, ale přiměřeností. Čl. 21 odst. 1 ji poměřuje mírou vystavení rizikům, velikostí subjektu, pravděpodobností a závažností incidentů a jejich společenským a ekonomickým dopadem. Důkazní břemeno nese subjekt: musí umět doložit, proč právě takový rozsah odpovídá jeho riziku.

V. Vztah k dalším předpisům

21 DORA. Podle čl. 4 se použije odvětvový akt, ukládá-li rovnocenná opatření. Nařízení (EU) 2022/2554 je učebnicový případ: finanční sektor řeší DORA, ne NIS2, přestože je bankovnictví v příloze I. Rovnocennost se přitom posuzuje po částech, takže je možné, že se vyloučí jen oznamování a řízení rizik zůstane.

22 GDPR. Souběh je pravidlem. Jeden incident může spustit oznámení podle čl. 23 NIS2 (24 hodin, tým CSIRT) i podle čl. 33 GDPR (72 hodin, dozorový úřad). Čl. 35 NIS2 pak brání dvojímu pokutování za totéž jednání, ale ostatní nápravná opatření podle NIS2 přijdou nezávisle.

23 CRA. Nařízení (EU) 2024/2847 míří na produkt, NIS2 na provoz. Produkt s označením CE podle CRA usnadňuje regulovanému subjektu doložení povinnosti k dodavatelskému řetězci, ale nenahrazuje ji.

24 Kritické subjekty a sektorové předpisy. Směrnice (EU) 2022/2557 o odolnosti kritických subjektů má vlastní režim, ale kritický subjekt je podle čl. 2 odst. 3 v působnosti NIS2 bez ohledu na velikost. Čl. 42 a 43 pak přesouvají pod NIS2 poskytovatele služeb vytvářejících důvěru z eIDAS a telekomunikace z kodexu elektronických komunikací.

VI. Jak komentář číst

25 Komentář sleduje strukturu směrnice. Ke každému článku i k příloze je samostatný výklad členěný na římské oddíly s okrajovými čísly v hranatých závorkách; odkazuje se na ně jako na „bod [3] k čl. 21”. Před výkladem stojí soupis souvisejících ustanovení a obsah výkladu.

26 Přílohy I a II mají vlastní výklad ve stejném rozsahu jako články. Nesou seznam odvětví, tedy odpověď na otázku, jestli subjekt do působnosti vůbec spadá, a bez nich se čl. 2 ani čl. 3 nedají použít.

27 Body odůvodnění jsou zpracovány samostatnou statí uspořádanou tematicky a zakončenou orientační mapou recitál → článek. U směrnice mají zvláštní váhu: ukazují, kam až smí transpozice zajít, a jsou tak vodítkem i pro výklad českého zákona.

28 Formulace „směrnice žádá po státu” a „subjekt musí” se v textu důsledně odlišují. Kde je psáno, že něco musí subjekt, jde o povinnost, kterou stát podle směrnice zavést měl a kterou zákon č. 264/2025 Sb. zavádí; ověřit to v zákoně je ale vždy na čtenáři.

VII. Meze tohoto komentáře

29 Komentář vychází ze znění vyhlášeného v Úředním věstníku Evropské unie dne 27. prosince 2022 (Úř. věst. L 333). Směrnice dosud nebyla novelizována. Komise ale 20. ledna 2026 předložila návrh COM(2026) 13 na cílené změny NIS2; k srpnu 2026 je v legislativním procesu a platné znění nemění.

30 Komentář není komentářem k zákonu č. 264/2025 Sb. Český zákon se zmiňuje tam, kde je to pro pochopení nutné, ale jeho jednotlivá ustanovení se tu nevykládají. Kdo hledá odpověď na otázku „co konkrétně musím udělat”, najde ji v zákoně a v metodikách NÚKIB, ne tady.

31 Tohle omezení je namístě brát vážně, protože česká transpozice se od směrnice ve třech bodech odchyluje způsobem, který se z textu NIS2 odvodit nedá. Stojí za to je znát, i když se tu nevykládají.

32 Postavení vzniká rozhodnutím, ne splněním podmínek. Podle § 3 zákona je regulovanou službou „služba, o které tak rozhodl Úřad podle § 6 odst. 2”. Splnění podmínek podle § 4 odst. 1 zakládá povinnost službu do 60 dnů ohlásit (§ 6 odst. 1), samo o sobě ale poskytovatelem regulované služby nedělá. Od doručení rozhodnutí pak běží 30 dnů na kontaktní a doplňující údaje (§ 11 odst. 1) a nejpozději rok na zavedení bezpečnostních opatření (§ 13 odst. 4) a na hlášení incidentů (§ 15 odst. 4).

33 Režim není totéž co kategorie subjektu. Vyšší a nižší režim podle § 8 se nastavují podle ekonomické, společenské nebo bezpečnostní významnosti a rozdělení stanoví vyhláška. Na rozdíl od unijní dvojice základní a důležitý subjekt, kde se liší hlavně dohled a strop pokuty, určuje český režim i rozsah bezpečnostních opatření (každý má vlastní vyhlášku).

34 Rozsah hlášených incidentů se mezi režimy liší. Podle § 15 odst. 1 hlásí poskytovatel ve vyšším režimu incidenty, které se projevily ve stanoveném rozsahu, mají původ v kybernetickém prostoru a nelze u nich vyloučit úmyslné zavinění; podmínka významného dopadu tam není. V nižším režimu je podle odst. 2 významný dopad podmínkou a hlásí se Národnímu CERT. Kdo je ve vyšším režimu a použije unijní test významnosti podle čl. 23 odst. 3, ohlásí méně, než mu zákon ukládá.

31 K samotné směrnici zatím není judikatura Soudního dvora. Kde komentář nabízí výklad sporného místa, jde o argumentaci, ne o ustálenou praxi, a je to na příslušných místech řečeno.

32 Prováděcí akt už jeden je a je pro praxi zásadní: prováděcí nařízení Komise (EU) 2024/2690 ze dne 17. října 2024, účinné od 7. listopadu 2024. Stanoví technické a metodické požadavky k čl. 21 odst. 2 a upřesňuje, kdy je incident významný podle čl. 23 odst. 3. Pozor na jeho povahu: sama NIS2 je směrnice, tohle je nařízení, tedy přímo použitelné bez transpozice.

33 Platí ale jen pro subjekty vyjmenované v jeho čl. 1, tedy pro poskytovatele digitálních služeb a služeb vytvářejících důvěru. Pokrývá tak tři odvětví z osmnácti: části digitální infrastruktury (příloha I bod 8), řízení služeb IKT mezi podniky (příloha I bod 9) a digitální poskytovatele (příloha II bod 6). I uvnitř digitální infrastruktury zůstávají mimo něj provozovatelé výměnných uzlů internetu a poskytovatelé veřejných sítí a služeb elektronických komunikací. Pro zbytek působnosti obdobný akt zatím není a technické požadavky se u nich posuzují podle obecného měřítka přiměřenosti a podle pokynů skupiny pro spolupráci.

34 Komentář je výkladovou pomůckou, ne právním posouzením konkrétního podniku. Zda subjekt spadá do působnosti, do které kategorie a co z toho plyne, umí odpovědět až ten, kdo zná jeho strukturu, služby a skutečnou velikost včetně skupiny.