NIS 2 vs směrnice CER: kybernetická odolnost vedle fyzické odolnosti
Dvě směrnice, přijaté ve stejný den, se stejnou transpoziční lhůtou, pokrývající téměř stejné kritické sektory ze dvou různých úhlů.
Dvě směrnice, jeden balíček odolnosti
Dne 14. prosince 2022 přijala EU paralelně dvě směrnice. Směrnice (EU) 2022/2555 (NIS 2) je směrnicí o kybernetické bezpečnosti. Směrnice (EU) 2022/2557 (CER) je směrnicí o odolnosti kritických subjektů. Obě měly být transponovány do 17. října 2024.
NIS 2 chrání sítě a informační systémy. CER chrání fyzický provoz kritických subjektů proti nekybernetickým hrozbám, jako jsou přírodní rizika, sabotáž, terorismus, útoky zevnitř a pandemie. Pokryté sektory se silně překrývají, ale předmět ochrany je odlišný.
Pro provozovatele v energetice, dopravě, bankovnictví, infrastruktuře finančního trhu, zdravotnictví, pitné vodě, odpadních vodách, digitální infrastruktuře, veřejné správě a kosmickém prostoru se obě směrnice často uplatňují paralelně. Tato stránka wiki uvádí, kde se obě setkávají a kde se rozcházejí.
NIS 2, čl. 2 odst. 3 (doslovně)
Bez ohledu na jejich velikost se tato směrnice použije na subjekty určené jakožto kritické subjekty podle směrnice (EU) 2022/2557.
Čl. 2 odst. 3 NIS 2 vazbu výslovně zakládá: subjekt, který členský stát určí jako kritický subjekt podle CER, je v působnosti NIS 2 a je považován za základní subjekt podle čl. 3 odst. 1 písm. f) NIS 2.
CER, čl. 1 odst. 1 písm. a) (předmět úpravy, doslovně)
Tato směrnice: a) stanovuje členským státům povinnosti přijmout konkrétní opatření, jejichž cílem je zajistit, aby služby nezbytné pro zachování nejdůležitějších společenských funkcí nebo hospodářských činností v rámci působnosti článku 114 Smlouvy o fungování EU byly na vnitřním trhu poskytovány neomezeně, zejména povinnosti určit kritické subjekty a podporovat kritické subjekty při plnění povinností, které jim byly uloženy;
CER se zaměřuje na kontinuitu základních služeb tváří v tvář fyzickým, přírodním, hybridním a člověkem způsobeným hrozbám. Kybernetický úhel je ponechán NIS 2: podle čl. 1 odst. 2 CER se směrnice nevztahuje na záležitosti upravené směrnicí (EU) 2022/2555.
Národní provedení (Česko)
Podmínky pro registraci regulované služby jsou dále splněny v případě, že […] d) jde o službu, jejíž poskytovatel je subjektem kritické infrastruktury podle právního předpisu upravujícího krizové řízení a kritickou infrastrukturu; v takovém případě je regulovanou službou služba odpovídající prvku kritické infrastruktury určenému u tohoto subjektu.
NIS 2 provádí v Česku zákon č. 264/2025 Sb.; citovaný text je jeho § 5 písm. d). Služba subjektu kritické infrastruktury tím splňuje podmínky pro registraci a její poskytovatel je v režimu vyšších povinností (§ 8 odst. 3). Registraci takové služby zahajuje NÚKIB z moci úřední (§ 6 odst. 3). Kritickou infrastrukturu samotnou upravuje jiný předpis, o krizovém řízení a kritické infrastruktuře; zákon o kybernetické bezpečnosti na něj jen odkazuje.
Seznamy sektorů se překrývají, ale ne dokonale
Přílohy I a II NIS 2 uvádějí 18 sektorů. Příloha CER uvádí 11 sektorů. Sektory energetiky, dopravy, bankovnictví, infrastruktury finančního trhu, zdravotnictví, pitné vody, odpadních vod, digitální infrastruktury, veřejné správy a kosmického prostoru se objevují v obou. Výroba, zpracování a distribuce potravin je v příloze CER i v příloze II NIS 2 (v Česku body 8.1 až 8.3 vyhlášky č. 408/2025 Sb.). Jen v NIS 2 jsou naopak řízení služeb IKT, poštovní a kurýrní služby, odpadové hospodářství, chemie, výroba, digitální poskytovatelé a výzkum.
Sítě a informační systémy vs kontinuita fyzické služby
NIS 2 chrání kybernetickou bezpečnost sítí a informačních systémů používaných subjektem. CER chrání schopnost subjektu nadále poskytovat základní službu proti fyzickým, přírodním a člověkem způsobeným narušením. Stejný provozovatel, dvě různé optiky rizika.
Kritické subjekty podle CER jsou základní subjekty podle NIS 2
Čl. 2 odst. 3 NIS 2 směruje každý subjekt určený jako kritický subjekt podle CER přímo do NIS 2 jako základní subjekt. V Česku je poskytovatel služby subjektu kritické infrastruktury v režimu vyšších povinností (§ 8 odst. 3 zákona č. 264/2025 Sb.). Opačně to automaticky neplatí: být v působnosti NIS 2 z vás nedělá kritický subjekt podle CER.
Kybernetické riziko není fyzické riziko
Čl. 21 NIS 2 vyžaduje opatření k řízení rizik kybernetické bezpečnosti (politiky, zvládání incidentů, kontinuita činností, bezpečnost dodavatelského řetězce, řízení přístupu, kryptografie a tak dále). Čl. 12 až 13 CER vyžadují plán odolnosti pokrývající opatření fyzické ochrany, redundanci, kontinuitu činností a personální bezpečnost. Důkazy se místy překrývají (například plány kontinuity činností), ale katalog rizik je odlišný.
Často stejný provozovatel, dvě hlášení, dva orgány
Vodárenský podnik, nemocniční skupina, distributor energie nebo orgán veřejné správy mohou mít povinnosti podle obou směrnic současně. To obvykle znamená dvě paralelní hodnocení rizik a dvě paralelní linie hlášení, jednu příslušnému orgánu pro NIS 2 a jednu příslušnému orgánu pro CER.
NÚKIB
V Česku je ústředním správním úřadem pro kybernetickou bezpečnost Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB, § 42 zákona č. 264/2025 Sb.). Přijímá ohlášení regulovaných služeb, rozhoduje o registraci, přijímá hlášení incidentů v režimu vyšších povinností (v režimu nižších povinností je přijímá Národní CERT) a kontroluje bezpečnostní opatření.
Ministerstva a ČNB
Prvky kritické infrastruktury určují podle předpisu o krizovém řízení a kritické infrastruktuře ministerstva, jiné ústřední správní úřady a Česká národní banka a o určení informují NÚKIB (§ 64 odst. 3 zákona č. 264/2025 Sb.). V odvětví komunikačních a informačních systémů určuje prvky kritické infrastruktury v oblasti kybernetické bezpečnosti NÚKIB (§ 42 odst. 4 písm. d)). Plán odolnosti podle CER zákon o kybernetické bezpečnosti neupravuje.
ENISA a skupina pro odolnost kritických subjektů
Na kybernetické straně ENISA podporuje členské státy a provozovatele podle NIS 2. Na straně CER skupina pro odolnost kritických subjektů zřízená podle čl. 19 CER koordinuje mezi členskými státy. Komise podporuje obě vrstvy, ale kybernetický a fyzický pruh zůstávají na úrovni EU institucionálně oddělené.
CER pokrývá i kybernetickou bezpečnost, takže potřebujeme jen jeden projekt
CER neupravuje kybernetickou bezpečnost. Podle čl. 1 odst. 2 CER se směrnice nevztahuje na záležitosti upravené NIS 2. CER se zaměřuje na fyzické, přírodní a člověkem způsobené hrozby pro službu. Čistě kybernetický systém řízení bezpečnosti informací nesplňuje CER. Samotný plán fyzické odolnosti nesplňuje NIS 2.
Obě směrnice se vztahují na úplně stejné provozovatele
Překryv odvětví je vysoký, ale ne stoprocentní. Všech 11 odvětví CER, včetně výroby, zpracování a distribuce potravin, najdete i v NIS 2. NIS 2 navíc zahrnuje řízení služeb IKT, digitální poskytovatele, výrobu, chemii, odpady, poštu a výzkum, které CER nepokrývá. A i tam, kde se uplatňují obě, CER vyžaduje výslovné určení členským státem, zatímco NIS 2 většinou funguje na základě kritérií velikosti a odvětví; v Česku poskytovatel službu sám ohlásí a NÚKIB rozhodne o její registraci (§ 6 zákona č. 264/2025 Sb.).
Kritická infrastruktura a NIS 2 jsou v Česku totéž
Kritická infrastruktura je pojem předpisu o krizovém řízení a kritické infrastruktuře. NIS 2 provádí zákon č. 264/2025 Sb., který na kritickou infrastrukturu jen navazuje: služba subjektu kritické infrastruktury splňuje podmínky registrace (§ 5 písm. d)) a její poskytovatel je v režimu vyšších povinností (§ 8 odst. 3). Podle NÚKIB ale subjekt kritické infrastruktury není automaticky poskytovatelem strategicky významné služby. Kritická infrastruktura, NIS 2 a CER jsou tři samostatné pracovní proudy, ne jeden.
Regionální distributor energie s přibližně 400 zaměstnanci provozuje jeden systém řízení bezpečnosti informací pro NIS 2 (bezpečnostní opatření, prvotní hlášení incidentu NÚKIB do 24 hodin, bezpečnost dodavatelského řetězce, školení). Paralelně tentýž distributor provozuje plán odolnosti kritického subjektu podle CER, pokrývající fyzickou ochranu lokalit, redundanci rozvoden, kontroly spolehlivosti personálu a kontinuitu činností při fyzických narušeních. Oba plány sdílejí vstupy kontinuity činností, ale žijí pod dvěma samostatnými liniemi řízení.
V každodenní praxi je nejčistším řešením jediný registr rizik, který každé riziko označí jako kybernetické, fyzické nebo obojí a napájí dva výstupy: opatření k řízení rizik kybernetické bezpečnosti podle NIS 2 na jedné straně, plán odolnosti podle CER na druhé. To se vyhne zdvojení inventáře aktiv a práce na kontinuitě činností a přitom udrží regulatorní výstupy jasně oddělené.
- Směrnice Evropského parlamentu a Rady (EU) 2022/2555 ze dne 14. prosince 2022 (NIS 2): https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Směrnice Evropského parlamentu a Rady (EU) 2022/2557 ze dne 14. prosince 2022 (CER): https://eur-lex.europa.eu/eli/dir/2022/2557/oj
- NIS 2, čl. 2 odst. 3 o vazbě na CER. NIS 2, přílohy I a II o sektorech.
- CER, čl. 1 (předmět a oblast působnosti), čl. 5 (posouzení rizik členskými státy), čl. 6 (určení kritických subjektů), čl. 12 a 13 (posouzení rizik a opatření kritických subjektů k zajištění odolnosti), příloha (odvětví).
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 5 písm. d), § 8 odst. 3, § 42 odst. 4 písm. d) a § 64 odst. 3: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_5
- NÚKIB, FAQ k novému zákonu o kybernetické bezpečnosti, otázky ke vztahu zákona a směrnice CER: https://portal.nukib.gov.cz/informacni-servis/faq/faq-novy-zakon-o-kyberneticke-bezpecnosti
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
