Skupina pro spolupráci NIS 2 podle článku 14
Článek 14 NIS 2 zřizuje skupinu pro spolupráci jako vrstvu strategické koordinace směrnice. Sedí v ní členské státy, Komise a ENISA. ESVČ pozoruje. Vydává pokyny, provádí vzájemná hodnocení a vytváří koordinovaná posouzení rizik dodavatelského řetězce. Nereguluje jednotlivé subjekty.
Stručně
Skupina pro spolupráci je strategický koordinační orgán NIS 2 na úrovni EU. Čl. 14 odst. 1 ji zřizuje na podporu strategické spolupráce a výměny informací mezi členskými státy a k budování důvěry. Není to regulátor. Neřeší incidenty. Nevymáhá.
Jejím úkolem je politika a pokyny. Čl. 14 odst. 4 vyjmenovává devatenáct úkolů: pokyny pro příslušné orgány, pokyny ke koordinovanému zveřejňování zranitelností, výměnu osvědčených postupů, spolupráci s Komisí na politice, vzájemná hodnocení podle článku 19 a koordinovaná posouzení rizik dodavatelského řetězce podle článku 22. Sekretariát zajišťuje Komise.
Pro většinu subjektů je skupina pro spolupráci neviditelná. Nikdy s ní nejednáte přímo. Její výstupy ale k vám dorazí přes národní orgány, v Česku přes NÚKIB, který do skupiny vysílá zástupce (§ 42 odst. 4 písm. f) zákona č. 264/2025 Sb.). Koordinované posouzení rizik podle článku 22 může utvářet to, co musí vaše smlouvy o pořizování od dodavatelů požadovat. Čtěte výstupy skupiny jako výchozí zdroj národní politiky.
Čl. 14 odst. 1 a 3 směrnice NIS 2 (2022/2555)
S cílem podporovat a usnadňovat strategickou spolupráci a výměnu informací mezi členskými státy a posilovat důvěru se zřizuje skupina pro spolupráci. […] Skupina pro spolupráci je tvořena zástupci členských států, Komise a agentury ENISA. Činností skupiny pro spolupráci se jako pozorovatel účastní Evropská služba pro vnější činnost. […] Sekretariát zajišťuje Komise.
Čl. 14 odst. 1 zřizuje skupinu. Odstavec 3 stanoví složení a svěřuje sekretariát Komisi. Odstavec 2 říká, že skupina pracuje na základě dvouletých pracovních programů. Odstavec 4 vyjmenovává devatenáct úkolů (písmena a až s), které skupina vykonává.
Žádné prováděcí nařízení
Nepoužije se. Skupina pro spolupráci je instituce na úrovni směrnice, žádný oddíl CIR.
Na rozdíl od opatření podle čl. 21 odst. 2, kde CIR (EU) 2024/2690 rozepisuje technický detail, sama skupina pro spolupráci sedí ve směrnici. Neexistuje prováděcí nařízení, které by článek 14 dále rozpracovalo. Skupina si každé dva roky stanoví vlastní pracovní program.
Národní účast (Česko: NÚKIB)
Úřad dále […] je jednotným kontaktním místem pro zajištění přeshraniční spolupráce v oblasti kybernetické bezpečnosti v rámci Evropské unie a zajišťuje vysílání zástupců do Skupiny pro spolupráci, Sítě CSIRT a Evropské sítě styčných organizací pro řešení kybernetických krizí, […] se podílí v případě potřeby na procesu vzájemného hodnocení a tvorby metodiky a organizačních aspektů vzájemného hodnocení vypracovaných Skupinou pro spolupráci
Česko se účastní prostřednictvím NÚKIB. Citovaný § 42 odst. 4 písm. f) a g) zákona č. 264/2025 Sb. z něj dělá jednotné kontaktní místo, ukládá mu vysílat zástupce do skupiny pro spolupráci a podílet se na vzájemných hodnoceních. Každé dva roky NÚKIB skupině hlásí počty poskytovatelů regulovaných služeb v jednotlivých odvětvích (§ 65 odst. 1 písm. a)). Ostatní členské státy vysílají vlastní zástupce, obvykle národní orgán kybernetické bezpečnosti, někdy i ministerstvo.
Složení
Zástupci každého členského státu, Komise a ENISA. Evropská služba pro vnější činnost se připojuje jako pozorovatel. Sekretariát zajišťuje Komise. Místa za členské státy obvykle obsazuje národní orgán kybernetické bezpečnosti, někdy spolu se zástupcem ministerstva.
Devatenáct úkolů (a až s)
Orientace a pokyny pro příslušné orgány, podpora koordinovaného zveřejňování zranitelností, výměna osvědčených postupů a informací o hrozbách a incidentech, poradní výměna s Komisí o politice, výměna s orgány EU, vzájemná hodnocení podle článku 19 a koordinovaná posouzení rizik kritických dodavatelských řetězců podle článku 22.
Dvouleté pracovní programy
Skupina plánuje svou práci ve dvouletých cyklech. Každý pracovní program stanoví priority, výstupy a harmonogram vzájemných hodnocení pro dané období. Dvouletá kadence udržuje agendu viditelnou a umožňuje členským státům sladit jejich národní plány.
Strategická, ne operativní
Skupina pro spolupráci neřeší jednotlivé incidenty. To je úkol sítě CSIRT podle článku 15. Neřeší ani rozsáhlou krizovou koordinaci, to náleží EU-CyCLONe podle článku 16. Pole skupiny je politika, pokyny a strukturovaná výměna mezi členskými státy.
Pokyny, ne vymáhání
To, co skupina vytváří, jsou doporučení, výměny osvědčených postupů a koordinovaná posouzení. Mají váhu, protože odrážejí shodu národních orgánů, Komise a ENISA. Nejsou to ale závazná pravidla pro subjekty. Závaznou vrstvou je směrnice, CIR a národní provedení, v Česku zákon č. 264/2025 Sb. a jeho vyhlášky.
NÚKIB
Česko ve skupině pro spolupráci zastupuje NÚKIB (§ 42 odst. 4 písm. f) zákona č. 264/2025 Sb.), který se podílí i na vzájemných hodnoceních (písm. g)). Je jednotným kontaktním místem pro přeshraniční spolupráci, a tedy úřadem, přes který se výstupy skupiny dostávají do české praxe, včetně koordinovaných posouzení rizik dodavatelského řetězce podle článku 22.
ENISA jako člen skupiny
ENISA je podle čl. 14 odst. 3 členem skupiny vedle členských států a Komise. Sekretariát skupiny zajišťuje Komise. ENISA přispívá analýzami a technickými podklady a s Komisí pomáhá připravit metodiku vzájemných hodnocení (čl. 14 odst. 4 písm. q)). Skupinu ale neřídí a na subjekty nedohlíží.
Národní zástupci
Každý členský stát má jedno místo na národní delegaci. Nizozemsko vysílá NCSC a příslušné ministerstvo. Rakousko vysílá BMI a GovCERT. Belgie vysílá CCB. Podstata práce je sdílená; národní vstupní bod se liší.
Skupina pro spolupráci je jen další výbor EU.
Vytváří konkrétní výstupy, které mění to, co subjekty musí dělat. Koordinovaná posouzení rizik dodavatelského řetězce podle článku 22 jsou formální produkty skupiny pro spolupráci. Když je odvětví nebo dodavatelský řetězec posouzeno jako vysoce rizikové, posouzení proudí do požadavků na pořizování přes národní orgány. Nálepka „výbor“ podceňuje, co mohou výstupy podle článku 22 spustit.
Se skupinou pro spolupráci nikdy nemáme nic společného.
Správně, v jednom smyslu: subjekty u skupiny nic nepodávají a skupina je nereguluje. Její výstupy ale k vám dorazí přes národní kanály, v Česku přes NÚKIB, který ve skupině Česko zastupuje. Aktualizace TIG od ENISA přebírají závěry skupiny. Koordinované posouzení podle článku 22 může přistát ve vašich smluvních ujednáních s dodavateli. Skupina stojí proti proudu věcí, kterých se dotýkáte.
Skupinu pro spolupráci řídí ENISA.
Ne. Skupina se skládá ze zástupců členských států, Komise a agentury ENISA a sekretariát zajišťuje Komise (čl. 14 odst. 3). ENISA je jedním z členů a přispívá analýzami, skupinu ale neřídí. Rozhodnutí náleží skupině jako celku.
Pro subjekt v působnosti jsou důležité tři praktické styčné body. Zaprvé, aktualizace TIG od ENISA a pokyny národních úřadů z výstupů skupiny vycházejí. Zadruhé, koordinovaná posouzení rizik dodavatelského řetězce podle článku 22 mohou změnit to, co musí vaše smlouvy o pořizování požadovat od dodavatelů IKT. Zatřetí, zpráva o stavu kybernetické bezpečnosti v Unii, kterou ENISA ve spolupráci s Komisí a skupinou přijímá jednou za dva roky (článek 18), vám dává obraz na úrovni EU, který by vaše vedení mělo znát.
Nic z toho pro vás není povinnost podávat hlášení. Skupina nemá portál, do kterého byste se přihlašovali. Správný provozní postoj zní: čtěte varování a materiály NÚKIB a aktualizace TIG od ENISA, jak vycházejí, sledujte posouzení podle článku 22, která se dotýkají odvětví, na nichž závisíte, a nechte tyto výstupy proudit do vašeho registru rizik a vašich smluvních ujednání s dodavateli při běžném každoročním přezkumu.
- Směrnice (EU) 2022/2555 (NIS 2), článek 14: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Směrnice (EU) 2022/2555 (NIS 2), článek 15 (síť CSIRT) a článek 16 (EU-CyCLONe)
- Směrnice (EU) 2022/2555 (NIS 2), článek 19 (vzájemná hodnocení) a článek 22 (koordinovaná posouzení rizik dodavatelského řetězce)
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 42 odst. 4 písm. e) až g) a § 65 odst. 1: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_42
- ENISA. Mandát podle nařízení (EU) 2019/881 (akt o kybernetické bezpečnosti): https://eur-lex.europa.eu/eli/reg/2019/881/oj
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
