Co „přiměřenost“ skutečně znamená v čl. 21 odst. 1 NIS 2
Jediné nejužitečnější slovo v NIS 2 je „přiměřená“. Je to hranice mezi implementací, kterou šedesátičlenná firma udrží, a nákladem na divadlo pro audit, který žádný jednatel neschválí.
Proč je přiměřenost nosné slovo
Většina týmů přistupuje k čl. 21 NIS 2 jako k seznamu deseti opatření kybernetické bezpečnosti. Směrnice to neříká. Říká, že subjekty musí přijmout opatření, která jsou vhodná a přiměřená, a čl. 21 odst. 1 uvádí šest faktorů, které rozhodují o tom, co přiměřenost ve vašem konkrétním případě znamená.
To je důležité ve dvou směrech. Nahoru: umožňuje to šedesátičlenné městské vodárně fungovat bez GRC sady pětitisícové banky. Dolů: nutí vás to napsat, proč je vaše úroveň dostatečná. Přiměřenost není úniková doložka, je to zdokumentovaná volba.
Čtenáři, kteří se s tím setkávají poprvé, to často přehlédnou, protože to slovo zní jako pojistka. Je to naopak. Přiměřenost je jediná právní kotva pro přizpůsobení NIS 2 rozpočtu středně velké firmy a je to jediná obrana proti auditorovi, který naznačuje, že jste měli udělat víc. V českém zákoně jí odpovídá § 13 odst. 2: opatření se zavádějí „v míře nezbytné pro zajištění kybernetické bezpečnosti regulované služby“. O nákladech český zákon nemluví; náklady jako hledisko uvádí jen čl. 21 odst. 1 NIS 2.
Čl. 21 odst. 1 NIS 2 (závazný text)
Členské státy zajistí, aby základní a důležité subjekty přijaly vhodná a přiměřená technická, provozní a organizační opatření k řízení bezpečnostních rizik, jimž čelí sítě a informační systémy, jež tyto subjekty používají pro svůj provoz nebo poskytování svých služeb, a k předcházení incidentům nebo minimalizaci jejich dopadů na příjemce jejich služeb a na další služby.
Tentýž odstavec uvádí šest faktorů, které rozhodují o přiměřenosti: míru vystavení subjektu rizikům, velikost subjektu, pravděpodobnost výskytu incidentů a jejich závažnost, včetně jejich společenského a ekonomického dopadu, stav techniky a náklady na zavedení. Všech šest jsou vstupy pro rozhodnutí, žádný z nich není volitelný.
Bod odůvodnění 82 NIS 2
Opatření k řízení kybernetických bezpečnostních rizik by měla být úměrná míře vystavení základního nebo důležitého subjektu rizikům a společenskému a ekonomickému dopadu, který by měl incident.
Bod odůvodnění 82 je interpretační rámec. Říká soudům a auditorům, že od malého subjektu s nízkou přeshraniční stopou se neočekává, že se vyrovná velkému celoevropskému provozovateli.
CIR 2024/2690, čl. 1
Toto nařízení, pokud jde o provozovatele DNS, registry domén nejvyšší úrovně, poskytovatele služeb cloud computingu, poskytovatele služeb datových center, poskytovatele sítí pro doručování obsahu, poskytovatele řízených služeb, poskytovatele řízených bezpečnostních služeb, poskytovatele on-line tržišť, internetových vyhledávačů a služeb platforem sociálních sítí a poskytovatele služeb vytvářejících důvěru (dále jen „příslušné subjekty“), stanovuje technické a metodické požadavky na opatření uvedená v čl. 21 odst. 2 směrnice (EU) 2022/2555 […]
Prováděcí nařízení kvantifikuje opatření pouze pro úzký okruh poskytovatelů digitální infrastruktury (DNS, TLD, cloud, datové centrum, CDN, MSP, MSSP, tržiště, vyhledávač, platforma sociálních sítí, služby vytvářející důvěru). V Česku se jím tito poskytovatelé u těchto služeb řídí podle § 18 odst. 1 zákona č. 264/2025 Sb. Ostatní se řídí vyhláškou č. 409/2025 Sb. (vyšší režim) nebo č. 410/2025 Sb. (nižší režim), které také stanoví konkrétní hodnoty, například minimální délky hesel (410 § 8 odst. 4) nebo uchování záznamů událostí alespoň 18 měsíců ve vyšším režimu (409 § 22 odst. 5).
Míra vystavení rizikům
Jaký je skutečný povrch hrozby? Vodárenský podnik pouze se segmentem SCADA je v jiné pozici než nemocnice s lékařskými záznamy na otevřeném internetu.
Velikost subjektu
Počet zaměstnanců, obrat, dosah na trhu. Směrnice očekává odlišné kontroly od 60 zaměstnanců a 6000 zaměstnanců. Oba mohou být ve shodě.
Pravděpodobnost a závažnost incidentů
Historická míra incidentů, zájem aktérů hrozeb o odvětví, závažnost, pokud k tomu dojde. Farmaceutický výrobce čelí jiným šancím než logistický makléř.
Společenský a ekonomický dopad
Kdo je poškozen, když selžete. Provozovatel rozvodné sítě má vyšší hustotu dopadu na jedno selhání než společnost B2B SaaS. Tento faktor tlačí směrem k těžším opatřením i u malých subjektů.
Stav techniky
Jaký je technický základ, který by rozumný kolega nasadil. MFA v roce 2026 je stavem techniky pro administrátorský přístup; ukládání hesel pomocí SHA-1 nikoli.
Náklady na zavedení
Výslovně uvedeno v čl. 21 odst. 1 NIS 2. Opatření nesmíte vynechat proto, že je drahé, ale můžete zvolit méně nákladnou cestu, pokud dosáhne bezpečnostního cíle. Český zákon náklady nezmiňuje (§ 13 odst. 2 mluví jen o míře nezbytné); argument náklady proto opírejte o čl. 21 odst. 1 NIS 2.
Městská energetická společnost, 80 zaměstnanců, distribuce energie
Energetika je regulované odvětví (§ 4 odst. 1 písm. a) zákona č. 264/2025 Sb.) a s 80 zaměstnanci je firma středním nebo velkým podnikem (§ 4 odst. 1 písm. b)), takže je regulovaná, pokud její služba je v seznamu vyhlášky č. 408/2025 Sb. Přiměřená sada: MFA na administrátorský a OT přístup, segmentovaná OT síť, písemné smluvní doložky pro dodavatele, roční cvičení na incidenty, zdokumentovaný registr rizik. Žádné SOC, žádná SIEM jako služba. Obhajitelné, protože vystavení je dáno odvětvím, ale počet zaměstnanců je malý. Pozor na české vyhlášky: vícefaktorovou autentizaci žádají pro uživatele i administrátory, s náhradním pořadím do jejího zavedení (410 § 8 odst. 2 až 4), a ve vyšším režimu centrální nástroj pro sběr záznamů událostí a nástroj pro jejich nepřetržité vyhodnocování (409 § 22 odst. 5 písm. b), § 23 odst. 1).
Nemocnice, 200 zaměstnanců, regionální klinika
Zdravotnické odvětví přílohy I. Přiměřená sada přidává: šifrování dat pacientů v klidu, audit dodavatelů pro klinické IT dodavatele, pohotovost 24/7 pro reakci na incidenty, formální zásady klasifikace incidentů. Těžší než městská energetická společnost, protože společenský dopad je na jedno selhání vyšší a povrch hrozby je širší.
Písemná analýza přiměřenosti
Projděte šest faktorů, uveďte svou pozici u každého z nich, zdůvodněte, proč je výsledná hloubka opatření dostatečná. Pro šedesátičlenný subjekt stačí jedna stránka.
Záznam nákladů a přínosů u každého vynechaného kroku
Pokud srovnatelný subjekt dělá X a vy ne, zdokumentujte proč. Stav techniky plus náklady jsou legitimní důvod. Mlčení není. V Česku na to mají vyhlášky vlastní místo: v nižším režimu uvádíte nezavedená opatření s odůvodněním v přehledu bezpečnostních opatření (410 § 3 odst. 2 písm. a) bod 3), ve vyšším režimu neaplikovaná opatření s odůvodněním v prohlášení o aplikovatelnosti (409 § 8 odst. 1 písm. f)).
Roční přezkum
Rozhodnutí o přiměřenosti zastarávají. Krajina hrozeb se mění, vaše velikost se mění, praxe kolegů se posouvá. Svou pozici uveďte znovu alespoň jednou ročně. V Česku to odpovídá roční aktualizaci přehledu bezpečnostních opatření (410 § 3 odst. 2 písm. b)), ve vyšším režimu ročnímu hodnocení rizik (409 § 8 odst. 1 písm. c)).
- Směrnice (EU) 2022/2555 (NIS 2), čl. 21 odst. 1 a bod odůvodnění 82, www.eur-lex.europa.eu
- Prováděcí nařízení Komise (EU) 2024/2690 (CIR), čl. 1, www.eur-lex.europa.eu
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 13 odst. 2 (provedení čl. 21 NIS 2 v Česku): https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_13
- Technické implementační pokyny ENISA v1.0 (červen 2025) k posouzení přiměřenosti
Tato stránka poskytuje strukturovaný návod na základě veřejně dostupných zdrojů (směrnice NIS 2, CIR 2024/2690, zákon č. 264/2025 Sb., vyhlášky č. 409/2025 Sb. a č. 410/2025 Sb., ENISA TIG). Nepředstavuje právní poradenství. Pro konkrétní případy se obraťte na advokáta. Stav k 4. červnu 2026, české právní odkazy ověřeny 15. října 2026.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
