NIS 2 a GDPR: překryv, který není sloučením
Článek 32 GDPR a článek 21 NIS 2 vyžadují mnohá ze stejných bezpečnostních opatření. Článek 33 GDPR a článek 23 NIS 2 jsou samostatné cesty hlášení se samostatnými hodinami a samostatnými orgány. Bod odůvodnění 14 NIS 2 vysvětluje, že se oba režimy vzájemně doplňují. Nesplývají do jednoho podání.
Stručně
GDPR (nařízení (EU) 2016/679) chrání práva a svobody fyzických osob, jejichž osobní údaje zpracováváte. NIS 2 (směrnice (EU) 2022/2555) chrání provozní kontinuitu sítí a informačních systémů základních a důležitých subjektů. Dva režimy, dva chráněné zájmy, převážně sdílená technická a organizační opatření.
Sada opatření se silně překrývá. Článek 32 GDPR vyžaduje vhodná technická a organizační opatření pro zabezpečení osobních údajů. Článek 21 NIS 2 vyžaduje opatření k řízení rizik pro zabezpečení sítí a informačních systémů. Vyzrálé řízení přístupu, funkční zálohování, otestovaný postup reakce na incidenty obvykle slouží oběma zároveň.
Cesty hlášení se nepřekrývají. Článek 33 GDPR posílá oznámení o porušení zabezpečení osobních údajů dozorovému úřadu pro ochranu osobních údajů do 72 hodin, v Česku Úřadu pro ochranu osobních údajů (ÚOOÚ). Článek 23 NIS 2 posílá včasné varování do 24 hodin, oznámení do 72 hodin a závěrečnou zprávu do jednoho měsíce; v Česku podle §§ 15 a 16 zákona č. 264/2025 Sb. NÚKIB nebo Národnímu CERT. Jiný příjemce, jiný obsah, jiné hodiny. Žádné sloučené podání neexistuje.
Článek 32 odst. 1 GDPR (nařízení (EU) 2016/679)
S přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob, provedou správce a zpracovatel vhodná technická a organizační opatření, aby zajistili úroveň zabezpečení odpovídající danému riziku, případně včetně: […]
Bezpečnostní ustanovení GDPR. Založené na riziku, přiměřené, vázané na práva a svobody fyzických osob. Článek 32 odst. 1 písm. a) až d) uvádí pseudonymizaci, šifrování, důvěrnost, integritu, dostupnost, odolnost a proces pravidelného testování jako druh opatření, který musí správce a zpracovatel zvážit. Znění je záměrně blízké článku 21 odst. 2 NIS 2.
Článek 21 NIS 2 + bod odůvodnění 14 (směrnice (EU) 2022/2555)
Členské státy zajistí, aby základní a důležité subjekty přijaly vhodná a přiměřená technická, provozní a organizační opatření k řízení bezpečnostních rizik, jimž čelí sítě a informační systémy, jež tyto subjekty používají pro svůj provoz nebo poskytování svých služeb, a k předcházení incidentům nebo minimalizaci jejich dopadů na příjemce jejich služeb a na další služby. [čl. 21 odst. 1] / Touto směrnicí není zejména dotčeno nařízení Evropského parlamentu a Rady (EU) 2016/679/ES a směrnice Evropského parlamentu a Rady 2002/58/ES. [bod odůvodnění 14]
Článek 21 stanoví bezpečnostní povinnost pro sítě a informační systémy. Článek 21 odst. 2 poté uvádí deset oblastí opatření (politika analýzy rizik a bezpečnosti informačních systémů, řešení incidentů, kontinuita provozu, dodavatelský řetězec, bezpečné pořizování, vývoj a údržba včetně řešení zranitelností, posuzování účinnosti opatření, kybernetická hygiena a školení, kryptografie, bezpečnost lidských zdrojů s řízením přístupu a správou aktiv, vícefaktorová autentizace a zabezpečená komunikace). Bod odůvodnění 14 potvrzuje, že GDPR není vytlačeno. Oba režimy stojí vedle sebe.
§ 64 odst. 5 zákona č. 264/2025 Sb. a článek 33 GDPR (Česko)
Úřad a Úřad pro ochranu osobních údajů jsou vzájemně oprávněny požadovat informace a vyžadovat spolupráci za účelem zamezení dvojího trestání porušení téže povinnosti uložené jak tímto zákonem, tak právními předpisy upravujícími ochranu osobních údajů.
Dvě sady pravidel, dva čeští příjemci. §§ 13 a 14 zákona č. 264/2025 Sb. provádějí článek 21 NIS 2, §§ 15 až 17 článek 23: prvotní hlášení do 24 hodin, oznámení do 72 hodin u incidentů s významným dopadem a závěrečná zpráva do 30 dnů od oznámení, v režimu vyšších povinností NÚKIB, v režimu nižších povinností Národnímu CERT, obojí přes Portál NÚKIB. Článek 33 GDPR míří k ÚOOÚ. Oba úřady spolu podle § 64 odst. 5 spolupracují, ale neslučují své spisy. Podáváte dvakrát, pokud se incident dotýká obou režimů.
Sdílená sada opatření
Článek 32 GDPR a článek 21 odst. 2 NIS 2 vyžadují tytéž rodiny opatření: řízení přístupu, šifrování, zálohování a obnovu, reakci na incidenty, školení, řízení zranitelností, bezpečnost dodavatelů. Jediná sada technických a organizačních opatření obvykle uspokojí obě. Znění se liší, podstata nikoli.
Dvoje hodiny hlášení
Článek 33 GDPR: 72 hodin dozorovému úřadu pro ochranu osobních údajů (ÚOOÚ) od okamžiku, kdy se dozvíte o porušení zabezpečení osobních údajů, s obsahem vymezeným v článku 33 odst. 3. Zákon č. 264/2025 Sb. (§§ 15 a 16): prvotní hlášení do 24 hodin, oznámení do 72 hodin u incidentů s významným dopadem a závěrečná zpráva do 30 dnů od oznámení, NÚKIB nebo Národnímu CERT podle režimu. Jiný příjemce, jiný práh (porušení zabezpečení osobních údajů vs kybernetický bezpečnostní incident), jiná šablona. Běží souběžně.
Dokumentace musí v každém spise obstát sama o sobě
ÚOOÚ bude číst váš spis podle článku 32 a článku 33 GDPR. NÚKIB bude číst váš spis podle §§ 13 až 17 zákona č. 264/2025 Sb. Každý úřad očekává citovaný vlastní právní základ, zdokumentovanou vlastní časovou osu, vlastní důkazy ve spise. Jeden záznam o incidentu může napájet oba, ale obě podání zůstávají samostatná.
Doplňkové chráněné zájmy, nikoli nadbytečné povinnosti
GDPR chrání práva a svobody fyzických osob, jejichž osobní údaje jsou zpracovávány. NIS 2 chrání provozní kontinuitu systémů, na nichž závisí základní a důležité subjekty. Bezpečnostní opatření se překrývají, protože oba režimy potřebují tentýž druh opatření. Povinnosti se nadbytečnými nestávají. Ransomwarový útok, který zamkne nemocniční systém zdravotnické dokumentace, je zároveň porušením zabezpečení osobních údajů podle článku 33 GDPR i významným incidentem podle článku 23 NIS 2. Musí být otevřeny oba spisy.
Orgány spolupracují, podání se neslučují
Čl. 31 odst. 3 NIS 2 ukládá příslušným orgánům úzce spolupracovat s dozorovými úřady pro ochranu osobních údajů při řešení incidentů, které vedou k porušení zabezpečení osobních údajů. Článek 35 jim ukládá dozorový úřad informovat, pokud porušení článku 21 nebo 23 může znamenat porušení zabezpečení osobních údajů, a vylučuje dvojí pokutu za totéž jednání. V Česku si NÚKIB a ÚOOÚ mohou vyměňovat informace, aby se stejné porušení netrestalo dvakrát (§ 64 odst. 5 zákona č. 264/2025 Sb.). Nevedou ale jedno společné šetření a nevydávají jedno společné rozhodnutí. Subjekt podává dvakrát, na dvoje hodiny, se dvěma různými sadami skutečností, na nichž úřadům záleží.
NÚKIB a Národní CERT (NIS 2)
NÚKIB vede dohled podle zákona č. 264/2025 Sb.: bezpečnostní opatření podle §§ 13 a 14, hlášení incidentů podle §§ 15 až 17, ohlášení regulované služby podle § 6. Hlášení incidentů přijímá v režimu vyšších povinností NÚKIB, v režimu nižších povinností Národní CERT. Ani jeden nepřezkoumává váš spis podle článku 32 GDPR a nekoordinuje vaše oznámení subjektům údajů podle článku 34 GDPR.
Úřad pro ochranu osobních údajů (ÚOOÚ)
Dozor nad ochranou osobních údajů vykonává v Česku jeden úřad, ÚOOÚ. Je příjemcem oznámení podle článku 33 GDPR a ukládá pokuty podle článku 83 GDPR. S NÚKIB si může vyměňovat informace a vyžadovat spolupráci, aby se stejné porušení netrestalo dvakrát (§ 64 odst. 5 zákona č. 264/2025 Sb.).
ENISA a Evropský sbor pro ochranu osobních údajů
ENISA koordinuje vrstvu kybernetické bezpečnosti napříč členskými státy v rámci NIS 2. Evropský sbor pro ochranu osobních údajů (EDPB) koordinuje vrstvu ochrany osobních údajů v rámci GDPR. Oba pracují vedle sebe. Vydávají samostatné pokyny: ENISA k hlášení incidentů a řízení rizik, EDPB k článku 33 a článku 34 GDPR. Tyto dva proudy do jednoho nástroje EU nesplývají.
RDI a Autoriteit Persoonsgegevens (Nizozemsko)
Nizozemské rozdělení zrcadlí to české. Rijksinspectie Digitale Infrastructuur (RDI) a odvětvové příslušné orgány řeší cestu NIS 2. Autoriteit Persoonsgegevens (AP) řeší cestu GDPR. Belgie, Francie, Rakousko a Německo mají podobné uspořádání. Struktura dvou orgánů je v celé EU výchozí.
Splňujeme GDPR, takže NIS 2 je také pokryta.
GDPR pokrývá osobní údaje. NIS 2 pokrývá sítě a informační systémy nezávisle na tom, zda jde o osobní údaje. Řídicí systémy provozů, OT, výpadek, který se osobních údajů vůbec nedotkne, jsou stále incidenty podle NIS 2. Čistý spis GDPR za vás nepodá hlášení podle §§ 15 a 16 zákona č. 264/2025 Sb. a nesplní §§ 13 a 14 zákona u systémů, které neobsahují žádné osobní údaje.
Splňujeme NIS 2, takže GDPR je také pokryto.
NIS 2 zabezpečuje systémy. GDPR chrání práva a svobody lidí, jejichž osobní údaje tyto systémy zpracovávají. Dobře vybudovaná sada opatření podle §§ 13 a 14 zákona č. 264/2025 Sb. musí být přesto zdokumentována ve spise podle článku 32 GDPR, v záznamech o činnostech zpracování podle článku 30 GDPR a v posouzeních vlivu na ochranu osobních údajů podle článku 35 GDPR. ÚOOÚ čte vlastní právní základ, nikoli zákon o kybernetické bezpečnosti.
Jeden incident, jedno hlášení. Nahlásíme ho NÚKIB a jsme hotovi.
Incident, který se dotkne osobních údajů, spouští oba režimy. Článek 33 GDPR běží k ÚOOÚ na svých 72hodinových hodinách. Hlášení podle zákona č. 264/2025 Sb. běží k NÚKIB nebo Národnímu CERT na kaskádě 24 h / 72 h / 30 dnů od oznámení. Prahy nejsou identické a příjemci nejsou titíž. Otevíráte dva spisy souběžně, s křížovými odkazy, nikoli jedno sloučené podání.
Jedna sada opatření, dva scénáře hlášení. Typický poskytovatel regulované služby s 200 zaměstnanci neudržuje dva samostatné katalogy technických a organizačních opatření. Tatáž politika řízení přístupu, tentýž standard šifrování, tentýž postup reakce na incidenty se objevuje ve spise podle článku 32 GDPR i ve spise podle §§ 13 a 14 zákona č. 264/2025 Sb. s odlišnými titulními stranami. Práce se odvede jednou. Citovaný právní základ se liší.
Kde se oba režimy rozcházejí, je nácvik hlášení. Příručka reakce na incidenty musí v první hodině položit tři otázky: jde o porušení zabezpečení osobních údajů ve smyslu článku 4 bodu 12 GDPR, jde o kybernetický bezpečnostní incident, který se hlásí podle § 15 zákona č. 264/2025 Sb., jde o obojí. Je-li odpovědí obojí, spustí se dva souběžné časovače. Pověřenec pro ochranu osobních údajů a manažer kybernetické bezpečnosti otevírají samostatné spisy, sdílejí skutečnosti, nekonsolidují podání. Čistá verze této příručky se vejde na jednu stranu.
- Nařízení (EU) 2016/679 (GDPR), články 4 bod 12, 30, 32, 33, 34, 35 a 83: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Směrnice (EU) 2022/2555 (NIS 2), články 20, 21, 23, 27, čl. 31 odst. 3, článek 35 a bod odůvodnění 14: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, §§ 13 až 17 a § 64 odst. 5: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_64
- Evropský sbor pro ochranu osobních údajů, pokyny 9/2022 k oznamování porušení zabezpečení osobních údajů: https://edpb.europa.eu
- ENISA, technické pokyny k provádění opatření podle článku 21 NIS 2: https://www.enisa.europa.eu
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
