Prováděcí nařízení (EU) 2024/2690

Prováděcí nařízení (EU) 2024/2690 (CIR): koho zavazuje a co vyžaduje

Prováděcí nařízení Komise (EU) 2024/2690, zkráceně CIR, podrobně stanoví, jak určití digitální poskytovatelé zavádějí deset bezpečnostních opatření z NIS2 a kdy je incident u nich významný. Platí přímo v každé zemi EU, ale jen pro jedenáct druhů poskytovatelů, například cloud, datová centra a řízené služby. Pro všechny ostatní firmy není měřítkem, jen možným vodítkem.

Vyzkoušet 30 dní, peníze zpět

Domluvit hovor

Rozhoduje někdo jiný? Jedna stránka pro vaše vedení Bezplatné školení pro vašeho jednatele

Simon Orzel·Naposledy zkontrolováno 5. října 2026

Koho nařízení zavazuje

Článek 1 jmenuje jedenáct druhů subjektů. Nařízení je nazývá „příslušné subjekty“.

čl. 1 a 16 prováděcího nařízení (EU) 2024/2690

Provozovatelé DNS
Registry domén nejvyšší úrovně
Poskytovatelé služeb cloud computingu
Poskytovatelé služeb datových center
Poskytovatelé sítí pro doručování obsahu (CDN)
Poskytovatelé řízených služeb
Poskytovatelé řízených bezpečnostních služeb
Poskytovatelé on-line tržišť
Poskytovatelé internetových vyhledávačů
Poskytovatelé platforem služeb sociálních sítí
Poskytovatelé služeb vytvářejících důvěru

Je to nařízení, ne směrnice. Proto platí v každé zemi EU bez národního zákona. Bylo zveřejněno v Úředním věstníku 18. října 2024 a vstoupilo v platnost o 20 dní později.

Zda takový poskytovatel vůbec spadá pod NIS2, rozhoduje směrnice a národní zákon, v Česku § 4 a 5 zákona č. 264/2025 Sb. a vyhláška č. 408/2025 Sb. Nařízení říká jen to, jak přesně opatření zavádí.

Co vyžaduje příloha

Příloha má 13 oddílů. Každý patří k jednomu písmenu čl. 21 odst. 2 NIS 2 a obsahuje číslované jednotlivé požadavky.

Bod 1

Politika bezpečnosti sítí a informačních systémů

Dokument politiky, který vedení přezkoumává alespoň jednou ročně, k tomu jasné role a odpovědnosti.

Bod 2

Politika řízení rizik

Rozpoznat, posoudit a ošetřit rizika. Výsledky se přezkoumávají alespoň jednou ročně.

Bod 3

Zvládání incidentů

Incidenty odhalit, zaznamenat, zařadit, zvládnout a vyhodnotit.

Bod 4

Kontinuita provozu a krizové řízení

Nouzové plány, zálohy a redundance, krizové řízení.

Bod 5

Bezpečnost dodavatelského řetězce

Politika pro vztahy s přímými dodavateli a registr těchto dodavatelů.

Bod 6

Pořizování, vývoj a údržba

Bezpečnost při nákupu a vývoji systémů, změny, testování, aktualizace a zacházení se zranitelnostmi.

Bod 7

Posuzování účinnosti

Určit, jak se ověřuje, zda opatření fungují.

Bod 8

Kybernetická hygiena a školení

Základní pravidla pro všechny, zvyšování povědomí a školení, i pro vedení.

Bod 9

Kryptografie

Politika šifrování se správou klíčů.

Bod 10

Bezpečnost lidských zdrojů

Odpovědnosti, prověrky tam, kde je to vhodné, a postupy při odchodu nebo změně role.

Bod 11

Řízení přístupu

Přístupová práva, privilegované účty, identifikace, ověřování a tam, kde je to vhodné, více faktorů (bod 11.7).

Bod 12

Správa aktiv

Soupis systémů a aktiv, jejich klasifikace a zacházení s nimi.

Bod 13

Bezpečnost prostředí a fyzická bezpečnost

Ochrana před výpadkem dodávek, požárem a vodou, řízený fyzický přístup.

I zde platí přiměřenost: počítá se riziko, velikost a pravděpodobnost a závažnost incidentů (čl. 2 odst. 2). Kde příloha říká „v příslušných případech“ nebo „v případě potřeby“ a poskytovatel požadavek neuplatní, srozumitelně zdokumentuje proč.

Kdy je incident významný

Pro příslušné subjekty nařízení stanoví, kdy je incident významný, a musí se proto hlásit. Pro všechny platí článek 3: například přímá finanční ztráta přes 500 000 EUR nebo 5 procent ročního obratu, podle toho, která hodnota je nižší, únik obchodního tajemství nebo úspěšný podezřelý zlovolný a neoprávněný přístup, který může způsobit vážné narušení provozu. V Česku to pro tyto poskytovatele, s výjimkou poskytovatelů služeb vytvářejících důvěru, potvrzuje § 18 odst. 2 zákona č. 264/2025 Sb.

Pokud během šesti měsíců nastanou alespoň dva incidenty se stejnou zjevnou příčinou, které dohromady dosáhnou prahu finanční ztráty, počítají se společně jako významné (článek 4).

Články 5 až 14 stanoví prahy pro jednotlivé druhy poskytovatelů. Příklad: cloudová služba, která je zcela nedostupná déle než 30 minut (článek 7). Plánovaná údržba se nepočítá.

čl. 3 až 14 prováděcího nařízení (EU) 2024/2690 · čl. 23 odst. 3 NIS 2 · § 18 odst. 2 zákona č. 264/2025 Sb.

Vztah k českému zákonu o kybernetické bezpečnosti

Pro jedenáct druhů poskytovatelů zákon č. 264/2025 Sb. stanoví, že bezpečnostní opatření zavádějí v míře a způsobem podle prováděcího nařízení; obecné pravidlo „v míře nezbytné“ z § 13 odst. 2 se na ně nepoužije (§ 18 odst. 1). Ve vyšším režimu se řídí ustanoveními nařízení pro základní subjekty, v nižším pro důležité subjekty (§ 18 odst. 4).

Na žádnou jinou firmu se nařízení nevztahuje. Její opatření se posuzují podle § 13 a 14 zákona a vyhlášky č. 409/2025 Sb. (vyšší režim) nebo č. 410/2025 Sb. (nižší režim).

Žádná metodika se podle českého zákona nepovažuje za splnění povinností, ani ISO 27001, ani německý IT-Grundschutz úřadu BSI. Mohou vám práci uspořádat, ale zákonem uznaným dokladem nejsou.

§ 13, 14 a 18 zákona č. 264/2025 Sb.

Co to znamená pro firmu s 50 až 150 zaměstnanci

Většina firem této velikosti, například výrobci, potravinářské nebo odpadové firmy, nepatří k žádnému z jedenácti druhů. Nařízení je nezavazuje. Svá opatření posuzují podle § 13 a 14 zákona č. 264/2025 Sb. a vyhlášky pro svůj režim.

Nařízení si můžete přečíst jako vodítko, pokud chcete vidět, jak opatření vypadá podrobně. Povinnost to není.

Pokud je ale vaše firma poskytovatelem IT služeb, který provozuje nebo spravuje systémy svých zákazníků, může být poskytovatelem řízených služeb. Pak se na vás nařízení vztahuje přímo (§ 18 zákona č. 264/2025 Sb.).

Příklad

Dvě smyšlené firmy, každá s 90 zaměstnanci.

Výrobce balicích strojů: výroba strojů (oddíl 28 CZ-NACE) je v příloze vyhlášky č. 408/2025 Sb. a střední podnik je v režimu nižších povinností. Nařízení ho nezavazuje. Bezpečnostní politiku pravidelně přezkoumává (vyhláška č. 410/2025 Sb., § 3 odst. 3 písm. b)); interval si stanoví sám.

Poskytovatel IT služeb, který pro 200 zákazníků provozuje servery, sítě a pracovní stanice: je poskytovatelem řízených služeb. Nařízení se na něj vztahuje přímo.

Pro poskytovatele IT služeb to mimo jiné znamená: vedení přezkoumává bezpečnostní politiku alespoň jednou ročně, posouzení rizik se přezkoumává alespoň jednou ročně a přístup k jeho systémům používá tam, kde je to vhodné, více faktorů.

Pokud má incident, ověří prahy v článcích 3 a 10 nařízení (§ 18 odst. 2 zákona č. 264/2025 Sb.), než rozhodne, zda hlásí přes Portál NÚKIB.

Jak to probíhá v průvodci

Průvodce na nisd2.eu prochází oblasti opatření, které zákon č. 264/2025 Sb. ukládá každému poskytovateli regulované služby, a zná poskytovatele, na které se nařízení vztahuje.

Z každé z deseti oblastí čl. 21 odst. 2 NIS 2 se stane alespoň jeden krok, který vyplníte.

Krok bezpečnostní politiky uvádí, že u poskytovatelů, na které se nařízení vztahuje, se politika přezkoumává alespoň jednou ročně.

Pokud je vaše firma zapsána v digitální infrastruktuře, v řízení služeb IKT nebo u poskytovatelů digitálních služeb, zůstává pro vás každý požadavek s podrobnostmi nařízení otevřený, i když průvodce splnil část, kterou dluží každý subjekt.

Na konci vedení schválí dokumenty v aplikaci pod vlastním účtem.

Začít v průvodci bezpečnostní politikou

Časté otázky

Co je CIR 2024/2690?

Prováděcí nařízení Komise (EU) 2024/2690 ze dne 17. října 2024. Pro jedenáct druhů digitálních poskytovatelů stanoví technické a metodické požadavky na opatření z čl. 21 odst. 2 NIS 2 a určuje, kdy je incident u nich významný.

Vztahuje se nařízení na mou firmu?

Jen pokud patří k jednomu z jedenácti druhů z článku 1, například cloud, datové centrum nebo řízené služby, a podle národního zákona spadá pod NIS2. Na nikoho jiného se nevztahuje.

Musí se nařízení převést do národního práva?

Ne. Jako nařízení platí přímo v každé zemi EU. V Česku na něj zákon č. 264/2025 Sb. pro tyto poskytovatele výslovně odkazuje (§ 18 odst. 1 a 2).

Kolik oddílů má příloha?

13. Odpovídají písmenům a) až j) čl. 21 odst. 2 NIS 2. Řízení přístupu (bod 11) například obsahuje vícefaktorové ověřování (bod 11.7).

Stačí certifikát podle ISO 27001?

Nařízení vychází mimo jiné z ISO/IEC 27001 a 27002 (body odůvodnění). Certifikát ale jeho požadavky nenahrazuje. Ověřte každý požadavek přílohy zvlášť.

Zdroje

Prováděcí nařízení Komise (EU) 2024/2690 ze dne 17. října 2024, Úř. věst. L, 2024/2690, 18. října 2024, EUR-Lex
Směrnice (EU) 2022/2555 (NIS 2), čl. 21 a 23, EUR-Lex
Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 4, 5, 13, 14 a 18: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_18

V praxi

Kde se to objevuje v průvodci

Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.

Řízení rizik
Napište bezpečnostní politiku
Krátký dokument zásad, který schválí vedení.
Autentizace a komunikace
Zaznamenejte, kde chrání druhý faktor
U každého programu ze seznamu: jen heslo, nebo i druhý faktor.
Bezpečnost dodavatelského řetězce
Sepište, kdo pro vás pracuje
Seznam vašich dodavatelů a poskytovatelů služeb.