NIS2 a zákon o kybernetické bezpečnosti

Modul 9: Pravidla a organizace · Doba čtení: 11 minut

Cíl lekce: Po této lekci dokážete vysvětlit, co upravuje zákon o kybernetické bezpečnosti (NIS2), pro koho platí a co znamená prostřednictvím dodavatelského řetězce pro malé firmy.
Klíčové pojmy: NIS2, zákon o kybernetické bezpečnosti, základní a významný subjekt, sektor, velikost, povinnost řízení rizik, ohlašovací povinnost (24 hodin, 72 hodin, 1 měsíc), registrační povinnost, dodavatelský řetězec, sebehodnocení NÚKIB

Od evropské směrnice k národnímu zákonu

NIS2 je evropská směrnice z roku 2022 (směrnice (EU) 2022/2555), která má zvýšit digitální odolnost důležitých organizací v celé EU. Směrnice neplatí přímo: každý stát ji musí převést do vlastního zákona (tzv. transpozice). V Nizozemsku je to zákon o kybernetické bezpečnosti (Cbw), v Česku je touto transpozicí zákon č. 264/2025 Sb., o kybernetické bezpečnosti, který je účinný od 1. listopadu 2025. V Nizozemsku vstoupil Cbw v platnost 15. srpna 2026, souběžně se zákonem o odolnosti kritických subjektů a prováděcí vyhláškou ke kybernetické bezpečnosti, kde jsou pravidla dále rozpracována. Dřívější zákon o zabezpečení sítí a informačních systémů (Wbni) byl zrušen. Není stanoveno žádné přechodné období: kdo pod zákon spadá, musí jej plnit okamžitě.

Podle nizozemského NCSC spadá pod tamní zákon přes 8 000 organizací. Jde o malou část všech firem v Nizozemsku. Pro většinu malých firem proto není nejdůležitější otázka „co musím udělat kvůli zákonu?“, ale „co po mně budou chtít moji zákazníci, protože oni sami pod zákon spadají?“. K tomu se dostaneme dále.

V Nizozemsku je NCSC kontaktním místem pro Cbw a od 1. ledna 2026 i pro malé a střední podniky: dřívější Digital Trust Center je nyní součástí NCSC. V Česku je touto institucí NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost), https://nukib.gov.cz/, a národní tým CSIRT.CZ, https://csirt.cz/.

Spadáte pod zákon? Sektor a velikost

To, zda organizace spadá pod zákon o kybernetické bezpečnosti, závisí na dvou otázkách.

1. Působíte v sektoru uvedeném v zákoně? Zákon obsahuje dvě přílohy.

Pro některé sektory platí dodatečné podmínky, které stanoví příslušný resort. Ne každá organizace, která se nějak dotýká „potravin“, pod zákon tedy automaticky spadá.

2. Jste dostatečně velcí? Vaše organizace se počítá, pokud:

• má 50 nebo více zaměstnanců (přepočteno na plné úvazky), nebo
• má méně než 50 zaměstnanců, ale roční obrat i bilanční suma jsou oba vyšší než 10 milionů eur.

Do výpočtu se počítají i propojené a partnerské podniky. Firma s 20 zaměstnanci, která patří do skupiny o 200 lidech, tak pod zákon přesto spadat může.

Výjimky: bez ohledu na velikost. Některé typy organizací pod zákon spadají vždy, bez ohledu na velikost: poskytovatelé DNS služeb, registry domén nejvyšší úrovně, poskytovatelé veřejných sítí a služeb elektronických komunikací, poskytovatelé důvěryhodných služeb a orgány veřejné správy. Registrovat se musí také poskytovatelé služeb registrace doménových jmen.

Základní nebo významný subjekt

Organizace spadající pod zákon jsou základní nebo významné subjekty. Zjednodušeně: velké organizace v sektorech přílohy 1 a několik typů, které jsou takto označeny bez ohledu na velikost, jsou základními subjekty; zbytek jsou subjekty významné. Rozdíl spočívá především v dohledu: u základních subjektů může dozorový orgán kontrolovat i z vlastní iniciativy, například formou inspekcí a auditů; u významných subjektů zasahuje především zpětně, pokud existují indicie, že něco není v pořádku. Samotné povinnosti jsou převážně stejné. Zda jste základním, nebo významným subjektem, zjistíte pomocí sebehodnocení popsaného níže.

Jak si to ověřit

Nizozemský Úřad pro inspekci digitální infrastruktury (RDI) nabízí bezplatné sebehodnocení k NIS2 na adrese https://nukib.gov.cz/ (platí pro nizozemské organizace). Zodpovíte sérii otázek o sektoru, velikosti a službách a dostanete výsledek. Pro Česko platí český zákon o kybernetické bezpečnosti a informace k jeho dopadu na konkrétní organizaci poskytuje NÚKIB, https://nukib.gov.cz/. Pokud si nejste jisti, například protože Vaše firma patří do skupiny nebo působí ve více zemích, obraťte se na tyto oficiální zdroje s dotazem na složitější podnikové struktury.

Co zákon vyžaduje

Pokud Vaše organizace pod zákon spadá, platí tři povinnosti.

Registrační povinnost

Svou organizaci přihlásíte do registru subjektů. V Nizozemsku se to dělá přes MijnNCSC, v Česku prostřednictvím portálu NÚKIB (registrace). Tak úřady vědí, kdo pod zákon spadá, a mohou Vás v případě hrozby kontaktovat.

Povinnost řízení rizik

Vypracujete analýzu rizik a na jejím základě přijmete přiměřená a odpovídající opatření k zabezpečení svých sítí a informačních systémů. Nizozemské NCSC uvádí nejméně deset oblastí, se kterými jste se v tomto kurzu již setkali:

1. analýza rizik (lekce 1.1 a 9.3);
2. řešení incidentů s plánem pro řešení incidentů (lekce 8.1);
3. příprava na výpadky: zálohy, plány obnovy, krizové řízení (modul 6);
4. zabezpečení dodavatelského řetězce, včetně rizik spojených s dodavateli (lekce 7.2);
5. kybernetická hygiena a školení (lekce 9.2);
6. bezpečné pořizování, vývoj a údržba systémů, včetně aktualizací (lekce 5.1);
7. personální zabezpečení, řízení přístupů a správa zařízení a softwaru (lekce 7.1);
8. passkeys nebo vícefaktorové ověření a zabezpečená komunikace (modul 2);
9. politika kryptografie (šifrování);
10. hodnocení účinnosti opatření, například pravidelným testováním (lekce 6.3 a 9.3).

Za plnění povinností odpovídá statutární orgán: schvaluje opatření a dohlíží na jejich provádění. Podle evropské směrnice musí členové vedení absolvovat i školení o kybernetických rizicích. Kybernetická bezpečnost už tedy není jen úkol, který lze přenechat „IT člověku“.

Ohlašovací povinnost

Významný incident se v Nizozemsku hlásí NCSC prostřednictvím MijnNCSC; v Česku se hlásí NÚKIB podle pravidel českého zákona o kybernetické bezpečnosti. Jde o incident, který vážně narušuje Vaše služby, způsobuje finanční škodu nebo může způsobit velkou škodu jiným subjektům; přesné prahové hodnoty se liší podle sektoru. Lhůty v nizozemské úpravě se počítají od okamžiku, kdy se o incidentu dozvíte:

V Nizozemsku jedno hlášení přes MijnNCSC zároveň oslovuje CSIRT (tým, který pomáhá při řešení incidentu) i dozorový orgán. Podle směrnice musíte navíc v případě potřeby informovat odběratele svých služeb o významných incidentech, které by se jich mohly dotknout.

Hlášení podle zákona o kybernetické bezpečnosti a podle GDPR: dvě různé věci

Připomíná to ohlašovací povinnost pro úniky osobních údajů podle GDPR (lekce 8.2) a lhůta „72 hodin“ se objevuje u obou. Přesto jde o dvě samostatné povinnosti.

Útok ransomwarem u organizace spadající pod zákon o kybernetické bezpečnosti, při kterém byly navíc odcizeny údaje zákazníků, je tedy nutné nahlásit oběma úřadům. A malá firma, která pod zákon o kybernetické bezpečnosti nespadá, má přesto ohlašovací povinnost podle GDPR, pokud dojde k úniku osobních údajů.

Nespadáte pod zákon: dodavatelský řetězec

Pro většinu čtenářů tohoto kurzu zní odpověď na první otázku: ne, moje firma pod tento zákon nespadá. Pekařství s dvanácti lidmi, účetní kancelář s pěti, webový vývojář pracující sám. V takovém případě nemáte žádné zákonné povinnosti z tohoto zákona: žádnou registraci, žádnou ohlašovací povinnost vůči NCSC/NÚKIB, žádný dohled.

Zákon se Vás však může dotknout prostřednictvím Vašich zákazníků. Organizace spadající pod zákon musí zabezpečit svůj dodavatelský řetězec: musí brát v úvahu zranitelnosti svých přímých dodavatelů a poskytovatelů služeb. Nizozemské NCSC uvádí, že zákon sám dodavatelům žádné povinnosti neukládá, ale že organizace spadající pod zákon mohou na digitální bezpečnost svých dodavatelů klást požadavky. Tyto požadavky se pak objeví ve smlouvě nebo v dotazníku.

Příklad. Malá IT firma se šesti zaměstnanci spravuje notebooky a síť středně velké dopravní společnosti se 140 zaměstnanci. Dopravní společnost spadá pod zákon o kybernetické bezpečnosti (doprava, dostatečná velikost). Samotná IT firma pod zákon nespadá: „správa ICT služeb“ sice je uvedena v příloze 1, ale firma je příliš malá. Přesto dostane dotazník: máte na nástrojích pro správu dvoufázové ověření, kdo má přístup k našim systémům, jak rychle byste nám nahlásili incident, kde se nacházejí zálohy?

Co k tomu nizozemské NCSC uvádí a co to pro Vás znamená:

• Požadavky musí být přiměřené. Zákazník by se měl dívat na riziko, které jeho Vaše služba pro něj představuje. Dodavatel s přístupem k systémům dostane přísnější požadavky než pekař, který dováží oběd.
• Jde o přímé dodavatele. Dodavatelé Vašich dodavatelů jsou mimo dosah zákona.
• Certifikát není povinný. Zákon o kybernetické bezpečnosti žádnou značku kvality nepředepisuje. Certifikát může usnadnit jednání, ale není zárukou ani zákonným požadavkem.
• Začněte s jednáním včas. Zmapujte si, jaká opatření již máte zavedená v místech, kde přicházíte do styku se zákazníkem, a dohody si zaznamenejte.

Nepřehánějte to tedy. Zákon o kybernetické bezpečnosti neudělá z malé firmy organizaci „povinnou podle NIS2“ a poradce, který Vám něco takového tvrdí, aby Vám prodal drahou certifikaci, Vám sděluje jen část příběhu. Zároveň to ale nepodceňujte: kdo dodává větším organizacím, musí stále častěji umět doložit, že má základy v pořádku. Základní opatření z tohoto kurzu jsou přesně to, na co se takový dotazník obvykle ptá.

Tato lekce poskytuje obecné vysvětlení a nejedná se o právní poradenství. Aktuální pravidla pro Nizozemsko najdete na https://nukib.gov.cz/ a v nizozemském znění zákona na https://wetten.overheid.nl/BWBR0052872/2026-08-15/0. Pro Česko se řiďte informacemi NÚKIB, https://nukib.gov.cz/.

Shrnutí

• Nizozemský zákon o kybernetické bezpečnosti je nizozemským provedením NIS2 a platí od 15. srpna 2026 bez přechodného období; v Česku je transpozicí NIS2 zákon č. 264/2025 Sb., účinný od 1. listopadu 2025.
• Pod zákon spadáte při sektoru z přílohy 1 nebo 2 a zároveň 50 nebo více zaměstnanců, nebo roční obratu a bilanční sumě vyšších než 10 milionů eur; některé typy (jako poskytovatelé DNS služeb a veřejná správa) bez ohledu na velikost.
• Povinnosti: registrace, povinnost řízení rizik s analýzou rizik a přiměřenými opatřeními v odpovědnosti statutárního orgánu a hlášení významných incidentů do 24 hodin, 72 hodin a 1 měsíce.
• Hlášení podle zákona o kybernetické bezpečnosti je nezávislé na hlášení úniku osobních údajů podle GDPR Úřadu pro ochranu osobních údajů; někdy je třeba nahlásit obojí.
• Malá firma pod zákon obvykle sama nespadá, ale prostřednictvím zákazníků, kteří pod něj spadají, může dostat přiměřené bezpečnostní požadavky.

Kvíz

Úkol

Úkol A9.1: Spadá to pod zákon o kybernetické bezpečnosti? Dostanete šest krátkých popisů organizací (sektor, počet zaměstnanců, obrat, bilanční sumu, případně skupinu nebo velkého zákazníka). U každé organizace určete: spadá pod zákon, nespadá pod zákon, ale pravděpodobně dostane požadavky prostřednictvím zákazníka, nebo pod zákon nespadá. Program výsledek zkontroluje a u každé organizace zobrazí kroky rozhodovacího stromu.

Další čtení

O zákonu o kybernetické bezpečnosti zatím v znalostní databázi WebOké není žádný článek; použijte oficiální zdroje.

• NÚKIB, informace k novému zákonu o kybernetické bezpečnosti: https://nukib.gov.cz/
• NCSC (Nizozemsko), Zákon o kybernetické bezpečnosti (NIS2): https://www.ncsc.nl/cyberbeveiligingswet-nis2
• NCSC (Nizozemsko), Spadá moje organizace pod zákon o kybernetické bezpečnosti (NIS2)?: https://www.ncsc.nl/cyberbeveiligingswet-nis2
• NCSC (Nizozemsko), Povinnost řízení rizik: https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
• NCSC (Nizozemsko), Ohlašovací povinnost: https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
• NCSC (Nizozemsko), Zákon o kybernetické bezpečnosti a dodavatelé: https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
• Směrnice NIS2 (EU) 2022/2555: https://eur-lex.europa.eu/eli/dir/2022/2555/oj