NIS2 a zákon o kybernetické bezpečnosti: vztahuje se na Vaši firmu?
Od 15. srpna 2026 platí v Nizozemsku Zákon o kybernetické bezpečnosti. Možná jste termín NIS2 již zaslechli od klienta, dodavatele nebo poradce. V tomto článku se stručně dozvíte, co tento zákon znamená, na koho se vztahuje a co znamená pro malou firmu, na kterou se sama nevztahuje.
Tento článek poskytuje obecné vysvětlení a nejedná se o právní poradenství. Aktuální pravidla najdete u NCSC a v textu zákona.
Co to je?
NIS2 je evropská směrnice z roku 2022 (směrnice (EU) 2022/2555), jejímž cílem je zvýšit digitální odolnost organizací v klíčových odvětvích. Každá země si tuto směrnici promítá do vlastního zákona. V Nizozemsku je to Zákon o kybernetické bezpečnosti (Cbw). Zákon platí od 15. srpna 2026, bez přechodného období, a nahrazuje dřívější zákon o zabezpečení sítí a informačních systémů (Wbni). Podle NCSC se týká více než 8 000 organizací. Kontaktním místem je NCSC.
Vztahuje se na mou firmu?
To závisí na dvou otázkách: na Vašem odvětví a na velikosti Vaší firmy.
1. Působíte v odvětví uvedeném v zákoně?
| Příloha 1 | Příloha 2 |
|---|---|
| Energetika, doprava, bankovnictví, infrastruktura finančního trhu, zdravotnictví, pitná voda, odpadní voda, digitální infrastruktura, správa ICT služeb, veřejná správa, kosmický průmysl | Poštovní a kurýrní služby, nakládání s odpady, chemické látky, potraviny, výroba (zpracovatelský průmysl), poskytovatelé digitálních služeb, výzkum |
Pro některá odvětví platí dodatečné podmínky. Ne každá firma, která se nějak zabývá potravinami, se tedy automaticky na tento zákon vztahuje.
2. Jste dostatečně velcí? Stručně řečeno, zákon se vztahuje na středně velké a velké organizace. Spadáte do této kategorie, pokud:
- máte 50 nebo více zaměstnanců (přepočteno na plný úvazek), nebo
- máte méně než 50 zaměstnanců, ale Váš roční obrat i bilanční suma zároveň přesahují 10 milionů eur.
Do výpočtu se počítají i partnerské a propojené podniky. Firma s 20 zaměstnanci, která patří do skupiny s 200 zaměstnanci, se tak přesto může na zákon vztahovat.
Výjimky, bez ohledu na velikost. Některé typy organizací se zákonem řídí vždy, bez ohledu na to, jak jsou malé. Například poskytovatelé DNS služeb, registry domén nejvyšší úrovně, poskytovatelé veřejných elektronických komunikačních sítí a služeb, poskytovatelé důvěryhodných služeb a vládní organizace. Pokud jste byli určeni podle zákona o odolnosti kritických subjektů, vztahuje se na Vás i Zákon o kybernetické bezpečnosti.
Zjistěte si to sami pomocí sebehodnocení
Nizozemská inspekce digitální infrastruktury (RDI) nabízí bezplatné sebehodnocení NIS2. Zodpovíte otázky týkající se Vašeho odvětví, velikosti a služeb a získáte výsledek. Z něj mimo jiné vyplyne, zda jste základní, nebo důležitý subjekt. Rozdíl spočívá především v dohledu: u základních subjektů může dozorový orgán kontrolovat i z vlastní iniciativy, u důležitých subjektů většinou následně. Patří Vaše firma do nějaké skupiny nebo působíte ve více zemích? Pak Vám pomůže příručka pro složité obchodní modely od NCSC.
Co musíte udělat, pokud se na Vás zákon vztahuje?
- Registrace. Svou organizaci přihlásíte prostřednictvím MijnNCSC.
- Povinná péče. Vypracujete analýzu rizik a přijmete vhodná a přiměřená opatření. NCSC uvádí nejméně deset oblastí, mimo jiné řešení incidentů, zálohování a obnovu, zabezpečení dodavatelského řetězce, školení, aktualizace, správu přístupů, vícefaktorové ověřování nebo přihlašovací klíče (passkeys), šifrování a testování, zda opatření skutečně fungují. Vedení společnosti opatření schvaluje a dohlíží na ně.
- Oznamovací povinnost. Závažný incident nahlásíte prostřednictvím MijnNCSC: do 24 hodin první upozornění, do 72 hodin oznámení s předběžným odhadem závažnosti a dopadu a do jednoho měsíce závěrečnou zprávu.
Toto oznámení je samostatné vůči oznamovací povinnosti úniku osobních údajů podle GDPR. Ta platí pro každého, kdo zpracovává osobní údaje, tedy i pro živnostníka, a oznamuje se nizozemskému Úřadu pro ochranu osobních údajů (Autoriteit Persoonsgegevens). Útok, při kterém byly navíc odcizeny údaje zákazníků, tedy může být nutné nahlásit oběma institucím.
Nevztahuje se na Vás zákon? Přesto Vás může zasáhnout prostřednictvím dodavatelského řetězce
Většina malých firem se tímto zákonem neřídí. Nemáte tedy registrační povinnost, oznamovací povinnost vůči NCSC ani nad Vámi neprobíhá dohled. Organizace, na které se zákon vztahuje, však musí zohledňovat i rizika u svých přímých dodavatelů a poskytovatelů služeb. Podle NCSC zákon sám o sobě dodavatelům povinnosti neukládá, ale zákazníci mohou klást požadavky na jejich digitální bezpečnost. Ty se pak zakotví ve smlouvě nebo v dotazníku.
Dodáváte větší organizaci, například jako tvůrce webových stránek, IT administrátor nebo účetní kancelář? Pak se můžete setkat s otázkami typu: používáte dvoufaktorové ověřování, kdo má přístup k našim datům, kde se nacházejí zálohy a jak rychle nahlásíte incident?
- Požadavky by měly být přiměřené riziku Vaší služby. Dodavatel s přístupem k systémům dostane přísnější požadavky než pekař, který doveze oběd.
- Jedná se o přímé dodavatele. Dodavatelé Vašich dodavatelů se do toho nepočítají.
- Certifikát zákon nevyžaduje. Může pomoci v jednání, ale není zárukou.
- Začněte včas: zmapujte si, jaká opatření již máte zavedená, a dohody se zákazníkem si zaznamenejte.