Koordinovaná posouzení rizik podle článku 22 NIS 2

Článek 22 odst. 1 a 2 směrnice NIS 2 (2022/2555)

(1) Skupina pro spolupráci může ve spolupráci s Komisí a agenturou ENISA provést koordinované posouzení bezpečnostních rizik dodavatelských řetězců u specifických kritických služeb IKT, systémů IKT nebo produktů IKT, přičemž zohlední technické, případně netechnické rizikové faktory. (2) Komise po konzultaci se skupinou pro spolupráci a agenturou ENISA a případně s příslušnými zúčastněnými stranami určí specifické kritické služby IKT, systémy IKT nebo produkty IKT, jež mohou být předmětem koordinovaného posouzení bezpečnostních rizik podle odstavce 1.

Článek 22 zřizuje mechanismus. Skupina pro spolupráci provádí posouzení. Komise vybírá, které produkty, systémy a služby IKT se posoudí. ENISA podporuje obojí. Posouzení jsou celoevropská a strategická, ne subjekt po subjektu.

Článek 21 odst. 3 NIS 2 + CIR (EU) 2024/2690, příloha bod 5

Článek 21 odst. 3: Členské státy zajistí, aby při zvažování vhodných opatření uvedených v odst. 2 písm. d) tohoto článku subjekty zohlednily zranitelnosti specifické pro každého přímého dodavatele a poskytovatele služeb a celkovou kvalitu produktů a postupů v oblasti kybernetické bezpečnosti svých dodavatelů a poskytovatelů služeb, včetně jejich postupů bezpečného vývoje. Členské státy rovněž zajistí, aby při zvažování vhodných opatření podle uvedeného písmene subjekty měly povinnost zohlednit výsledky koordinovaného posouzení bezpečnostních rizik kritických dodavatelských řetězců, které bylo provedeno v souladu s čl. 22 odst. 1.

Článek 21 odst. 3 je dopad na úrovni subjektu. Pokud jste v působnosti a vybíráte dodavatele podle článku 21 odst. 2 písm. d), musíte zohlednit výstupy článku 22. Bod 5 přílohy CIR pak stanoví provozní detail bezpečnosti dodavatelů na úrovni subjektu a hloubku důkazů o zadávání zakázek řídí doložka přiměřenosti podle článku 21 odst. 1.

§ 13 odst. 5 zákona č. 264/2025 Sb. a účast ve skupině pro spolupráci (Česko)

V případě, že poskytovatel regulované služby zavádí nebo provádí bezpečnostní opatření prostřednictvím dodavatele, je povinen vybírat svého dodavatele v souladu s požadavky vyplývajícími z bezpečnostního opatření a zahrnovat požadavky vyplývající z bezpečnostního opatření do smluv s dodavatelem.

Česko převzalo povinnost vybírat dodavatele podle bezpečnostních požadavků do § 13 odst. 5 zákona. Vyhláška č. 410/2025 Sb. (§ 3 odst. 5) přebírá první větu čl. 21 odst. 3: hrozby a zranitelnosti dodavatele a celkovou kvalitu jeho produktů a postupů. Vyhláška č. 409/2025 Sb. (§ 9) žádá řízení rizik spojených s dodavateli. Výsledky koordinovaných posouzení podle článku 22 česká úprava výslovně nezmiňuje. Ve skupině pro spolupráci zastupuje Česko NÚKIB (§ 42 odst. 4 písm. f) zákona). Vlastním národním nástrojem na netechnická rizika je mechanismus prověřování dodavatelů strategicky významných služeb (§§ 27 až 32).

NÚKIB vysílá zástupce Česka do skupiny pro spolupráci (§ 42 odst. 4 písm. f) zákona č. 264/2025 Sb.). Povinnost na úrovni subjektu nese § 13 odst. 5 zákona spolu s § 3 odst. 5 vyhlášky č. 410/2025 Sb. a § 9 vyhlášky č. 409/2025 Sb. Národní obdobou netechnického posouzení je varování NÚKIB podle § 22 zákona: varování ze dne 3. září 2025 před předáváním dat do Čínské lidové republiky a vzdálenou správou technických aktiv z jejího území hodnotí hrozbu jako vysokou a podle § 71 odst. 3 platí i za nového zákona.

ENISA je v článku 22 odst. 1 jmenována jako technický partner. Dělá velkou část analytické práce pro koordinovaná posouzení a předává ji skupině pro spolupráci. ENISA také udržuje technické implementační pokyny pro CIR, které subjekty pak používají k operacionalizaci povinností bezpečnosti dodavatelů podle článku 21 odst. 2 písm. d).

Každý členský stát transponuje článek 21 odst. 3 do svého zákona o NIS 2 (Nizozemsko: Cyberbeveiligingswet, Rakousko: NISG, Belgie: NIS2-Wet). Povinnost zohlednit výstupy koordinovaného posouzení je stejná v celé EU. Liší se to, který národní úřad vydává pokyny a jak pravidla zadávání zakázek přebírají výsledky posouzení.