Zkratka NIS2 se v posledním roce objevuje čím dál častěji, i mimo obory, které si člověk s kybernetickou bezpečností tradičně spojuje. Řada jednatelů menších firem si ale není jistá, zda se jich nová pravidla vůbec týkají a co mají udělat. Tento článek shrnuje základní fakta - bez zbytečného strašení čísly, která si ještě nikdo neověřil.
Co je NIS2 a odkud se vzala
NIS2 je směrnice Evropské unie 2022/2555, jejímž cílem je zvýšit úroveň kybernetické bezpečnosti napříč členskými státy. Směrnice sama o sobě firmám žádné povinnosti přímo neukládá - to dělá až vnitrostátní zákon, kterým ji každý členský stát převádí do svého právního řádu.
Český zákon, který NIS2 zavádí
V Česku je tímto zákonem nový zákon o kybernetické bezpečnosti č. 264/2025 Sb., účinný od 1. listopadu 2025. Dohledovým orgánem, který dodržování zákona kontroluje a zpracovává registrace firem, je Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB).
Koho se zákon týká
Oproti předchozí úpravě zákon dopadá na výrazně širší okruh subjektů - typicky firmy z oborů jako energetika, doprava, zdravotnictví, digitální infrastruktura, veřejná správa nebo výroba a distribuce v citlivých odvětvích. Zákon ale nerozlišuje jen podle oboru - roli hraje i velikost firmy a význam poskytované služby. Přesné posouzení, zda se povinnost týká konkrétní firmy, je proto potřeba udělat individuálně a nespoléhat se na to, že "nás se to jistě netýká, jsme malí".
Důležité je i to, že povinnosti se nemusí omezit jen na firmy přímo vyjmenované zákonem. Pokud jste dodavatelem nebo subdodavatelem firmy, která pod zákon spadá, může po vás chtít splnění obdobných bezpečnostních požadavků smluvně - i bez přímé povinnosti se registrovat u NÚKIB.
Povinná samoidentifikace a registrace
Zákon staví na principu samoidentifikace: je na každé firmě, aby sama posoudila, zda splňuje kritéria, a pokud ano, provedla registraci u NÚKIB. Stát tedy neobesílá firmy jednotlivě - odpovědnost za včasné posouzení a přihlášení leží na vedení firmy.
To je zásadní změna oproti dřívější praxi, kdy si firma mohla dovolit vyčkávat na to, zda ji regulátor osloví. Nyní je aktivní krok - posouzení a případná registrace - na straně firmy, a jeho opomenutí se posuzuje stejně jako jiné porušení zákona, bez ohledu na to, zda šlo o úmysl, nebo jen o to, že si toho ve firmě nikdo nevšiml.
Dva režimy povinností
Zákon rozlišuje dva režimy povinností podle významu poskytované služby a velikosti subjektu. Firmy v přísnějším režimu mají širší okruh povinností a podléhají důslednější kontrole, firmy ve druhém režimu mají povinností méně, ale stále je musí plnit a řádně doložit. Do kterého režimu firma spadá, opět určuje individuální posouzení podle kritérií zákona.
Nesplnění povinností může vést k významným pokutám - konkrétní částky se liší podle závažnosti a povahy porušení, proto je namísto spoléhání na odhad lepší nechat si stav posoudit.
Proč se to týká i menších dodavatelů
V praxi se dopad zákona nezastaví na hranici přímo vyjmenovaných subjektů. Velké firmy a instituce, které pod zákon spadají, začínají promítat obdobné bezpečnostní požadavky do smluv se svými dodavateli - bez ohledu na to, zda dodavatel sám podléhá registraci u NÚKIB. Menší firma tak může být vyzvána, aby doložila zabezpečení svých systémů, zálohování nebo řízení přístupů, jednoduše proto, že je součástí dodavatelského řetězce větší regulované firmy. Vyplatí se proto mít pořádek v IT bezpečnosti i tehdy, pokud vlastní registrační povinnost firmě nevzniká.
Co udělat teď
- Ověřit, zda firma (nebo její obor a velikost) spadá pod povinnosti zákona.
- Pokud ano, provést registraci u NÚKIB v požadovaném termínu.
- I mimo přímou povinnost zjistit, zda po vás jako po dodavateli nebude bezpečnostní požadavky vyžadovat některý z vašich větších obchodních partnerů.
- Udělat základní audit současného stavu zabezpečení a zálohování dat.
- Zdokumentovat, kdo ve firmě za kybernetickou bezpečnost odpovídá.
NIS2 nemusí být důvod k panice, ale je to dobrý impuls provést pořádek v IT bezpečnosti dřív, než ho vynutí incident nebo kontrola.