NIS2 a nizozemský zákon o kybernetické bezpečnosti (Cyberbeveiligingswet): vztahuje se na mou firmu?

Od 15. srpna 2026 platí v Nizozemsku zákon o kybernetické bezpečnosti (Cbw). Možná jste už pojem NIS2 slyšeli od zákazníka, dodavatele nebo poradce. V tomto článku se stručně dočtete, co tento zákon je, na koho se vztahuje a co znamená pro malou firmu, na kterou se sám nevztahuje.

Tento článek poskytuje obecné vysvětlení a není právní radou. Aktuální pravidla najdete u NCSC a v textu zákona.

Co to je?

NIS2 je evropská směrnice z roku 2022 (směrnice (EU) 2022/2555), jejímž cílem je zvýšit digitální odolnost organizací v důležitých odvětvích. Každá země směrnici převádí do vlastního zákona. V Nizozemsku je to zákon o kybernetické bezpečnosti (Cbw). Zákon platí od 15. srpna 2026, bez přechodného období, a nahrazuje původní zákon o zabezpečení sítí a informačních systémů (Wbni). Podle NCSC se vztahuje na více než 8 000 organizací. Kontaktním místem je NCSC.

Vztahuje se zákon na moji firmu?

To závisí na dvou otázkách: na Vašem odvětví a na Vaší velikosti.

1. Působíte v odvětví uvedeném v zákoně?

Pro některá odvětví platí další podmínky. Ne každá firma, která má něco společného s potravinami, tedy automaticky spadá pod zákon.

2. Jste dostatečně velcí? Stručně řečeno, zákon se vztahuje na střední a velké organizace. Započítáváte se, pokud:

• máte 50 nebo více zaměstnanců (přepočtených na plné úvazky), nebo
• máte méně než 50 zaměstnanců, ale Váš roční obrat a bilanční suma oba přesahují 10 milionů eur.

Započítávají se i partnerské a propojené podniky. Firma s 20 zaměstnanci, která patří do skupiny s 200 zaměstnanci, tak pod zákon může spadat i přesto.

Výjimky bez ohledu na velikost. Některé druhy organizací spadají pod zákon vždy, ať jsou jakkoli malé. Například poskytovatelé služeb DNS, registry domén nejvyšší úrovně, poskytovatelé veřejných sítí a služeb elektronických komunikací, poskytovatelé služeb vytvářejících důvěru a organizace veřejné správy. Pokud jste byli určeni podle zákona o odolnosti kritických subjektů, spadáte také pod zákon o kybernetické bezpečnosti.

Ověřte si to sami pomocí sebehodnocení

Státní inspekce digitální infrastruktury (RDI) nabízí bezplatné sebehodnocení NIS2. Odpovíte na otázky o svém odvětví, velikosti a službách a získáte výsledek. Z něj také vyplyne, zda jste základní, nebo významný subjekt. Rozdíl spočívá hlavně v dohledu: u základních subjektů smí dozorový orgán provádět kontroly i z vlastní iniciativy, u významných subjektů převážně následně. Patří Vaše firma do skupiny nebo působíte ve více zemích? Pak Vám pomůže průvodce pro složité obchodní modely od NCSC.

Co musíte udělat, pokud pod zákon spadáte?

• Registrace. Svou organizaci zaregistrujete prostřednictvím MijnNCSC.
• Povinnost péče. Vypracujete analýzu rizik a přijmete vhodná a přiměřená opatření. NCSC uvádí nejméně deset oblastí, mimo jiné řešení incidentů, zálohování a obnovu, zabezpečení dodavatelského řetězce, školení, aktualizace, správu přístupů, vícefaktorové ověřování nebo passkeys, šifrování a testování, zda Vaše opatření fungují. Vedení opatření schvaluje a dohlíží na ně.
• Oznamovací povinnost. Významný incident nahlásíte prostřednictvím MijnNCSC: do 24 hodin první varování, do 72 hodin oznámení s prvním odhadem závažnosti a dopadu a do jednoho měsíce závěrečnou zprávu.

Toto oznámení je nezávislé na povinnosti hlásit únik dat podle GDPR. Ta platí pro každého, kdo zpracovává osobní údaje, i pro OSVČ, a únik se hlásí nizozemskému úřadu pro ochranu osobních údajů. Kdy jde o únik dat a zda ho musíte nahlásit, se dočtete v článku Jde o únik dat a musím ho nahlásit? Útok, při kterém byly odcizeny i údaje zákazníků, tak může být nutné nahlásit oběma institucím.

Nespadáte pod zákon? Dodavatelský řetězec se Vás přesto může dotknout

Většina malých firem pod zákon nespadá. Pak nemáte povinnost registrace, oznamovací povinnost vůči NCSC ani dohled. Organizace, které pod zákon spadají, však musí zohledňovat i rizika u svých přímých dodavatelů a poskytovatelů služeb. Podle NCSC zákon samotným dodavatelům žádné povinnosti neukládá, zákazníci ale smějí klást požadavky na jejich digitální bezpečnost. Ty se pak objeví ve smlouvě nebo v dotazníku.

Dodáváte větší organizaci, například jako tvůrce webových stránek, správce IT nebo účetní kancelář? Pak můžete dostat otázky jako: používáte dvoufázové ověření, kdo má přístup k našim údajům, kde jsou uložené zálohy a jak rychle hlásíte incident?

• Požadavky by měly být přiměřené riziku Vaší služby. Dodavatel s přístupem do systémů dostane přísnější požadavky než pekař, který přiváží oběd.
• Jde o přímé dodavatele. Dodavatelé Vašich dodavatelů do toho nespadají.
• Zákon certifikát nepředepisuje. Může pomoci při jednání, ale není zárukou.
• Začněte včas: zmapujte, jaká opatření již máte, a dohody se zákazníkem zaznamenejte písemně.

Další informace

• NCSC: Zákon o kybernetické bezpečnosti (NIS2)
• NCSC: Spadá moje organizace pod zákon o kybernetické bezpečnosti?
• NCSC: Povinnost péče
• NCSC: Oznamovací povinnost
• NCSC: Zákon o kybernetické bezpečnosti a dodavatelé
• RDI: Sebehodnocení NIS2
• Text zákona o kybernetické bezpečnosti

Chcete se dozvědět více? Absolvujte bezplatný kurz Bezpečně online pro podnikatele, lekci 9.1 NIS2 a zákon o kybernetické bezpečnosti.