Základy

Směrnice (EU) 2022/2555 vysvětlená za pět minut.

Česká úprava čl. 21 NIS 2: bezpečnostní opatření podle §§ 13 a 14 zákona, jejich obsah ve vyhláškách č. 409/2025 Sb. a č. 410/2025 Sb., přiměřenost a sankce.

Prvotní hlášení do 24 hodin, oznámení do 72 hodin, závěrečná zpráva do 30 dnů od oznámení (§ 16 zákona č. 264/2025 Sb.). Komu hlásíte a kdy má incident významný dopad.

Vrcholné vedení zajistí zdroje, prokazatelně absolvuje školení a seznamuje se se stavem bezpečnostních opatření a souvisejícími zprávami (§ 4 vyhlášek č. 409/2025 Sb. a č. 410/2025 Sb.). Odpovědnost podle § 159 občanského zákoníku.

Prováděcí nařízení EU, které zprovozňuje NIS 2 pro některé digitální poskytovatele.

IT-Grundschutz je německá metodika úřadu BSI. V Česku jeho zavedení soulad se zákonem č. 264/2025 Sb. samo neprokazuje, jako pomůcku ho použít lze.

Co musí vedení právně zajistit, vedle NIS 2 také v právu obchodních společností.

Pojmy NIS 2, českého zákona o kybernetické bezpečnosti a CIR, vysvětlené jednoduše.

Otázky, které nám ohledně NIS 2 kladou nejčastěji.

Co dělá Agentura Evropské unie pro kybernetickou bezpečnost ENISA v rámci NIS 2, co je technický prováděcí návod (TIG) a jak souvisí s prováděcím nařízením Komise 2024/2690.

Čl. 23 odst. 3 NIS 2 určuje dva spouštěcí prvky. CIR 2024/2690 kvantifikuje prahy pro některé digitální poskytovatele. Pro ostatní sektory zůstává práh nekvantifikovaný.

Co dělá skupina pro spolupráci NIS 2: členské státy, Komise, ENISA. Strategická spolupráce, pokyny, vzájemná hodnocení.

Jak národní CSIRT spolupracují na operativní úrovni a jak EU-CyCLONe koordinuje rozsáhlé kybernetické krize.

Co vyžaduje článek 22: společné posouzení rizik kybernetické bezpečnosti konkrétních kritických dodavatelských řetězců ICT na úrovni EU, prováděné skupinou pro spolupráci, Komisí a ENISA.

Nejkratší obhajitelné shrnutí NIS 2 pro vedoucí orgán. Co vyžaduje článek 20, co hledají auditoři, co nelze delegovat.

Širší oblast působnosti, nové povinnosti v oblasti správy a řízení, přísnější ohlašování, vyšší pokuty. Hlavní změny mezi směrnicí 2016/1148 a směrnicí 2022/2555.

Národní úřad pro kybernetickou a informační bezpečnost se sídlem v Brně (§ 42 zákona č. 264/2025 Sb.). Přijímá ohlášení služeb, rozhoduje o registraci, kontroluje a je jednotným kontaktním místem.

Jedna platforma, dvě hlavní povinnosti: ohlášení regulované služby a hlášení kybernetických bezpečnostních incidentů. Přihlášení identitou občana (NIA).

Šest faktorů určuje, co «přiměřený» znamená ve vašem případě: vystavení riziku, velikost, pravděpodobnost a závažnost incidentů, společenský dopad, stav techniky, náklady na provedení.

Čl. 23 odst. 4 písm. a) NIS 2 obsahuje dvě lhůty, nikoli jednu. Bez zbytečného odkladu A do 24 hodin, obě běžící od okamžiku, kdy se subjekt o incidentu dozvěděl. §121 odst. 1 BGB definuje «unverzüglich» jako «ohne schuldhaftes Zögern».

Aktivum je podle českého zákona fyzický nebo digitální prostředek, osoba nebo činnost související se zpracováváním informací a dat v elektronické podobě (§ 2 odst. 1 písm. c) zákona č. 264/2025 Sb.). Zákon ukládá aktiva evidovat (§ 12).

ISMS je způsob, jakým organizace řídí bezpečnost informací. NIS 2 tento pojem nikdy nepoužívá, ale čl. 21 odst. 2 vyžaduje přesně to, co ISMS dělá. Certifikace ISO 27001 není povinná.