NIS 2 vs NIS 1: co se ve skutečnosti změnilo
Čl. 44 směrnice (EU) 2022/2555 zrušil směrnici NIS 1 s účinkem od 18. října 2024. V Česku zákon č. 264/2025 Sb. zrušil dosavadní zákon č. 181/2014 Sb. (§ 72). Tato stránka popisuje, co to znamená v praxi.
Přehled
NIS 1 byla směrnice (EU) 2016/1148. Pokrývala sedm odvětví a rozdělovala adresáty na „provozovatele základních služeb“ (OES) a „poskytovatele digitálních služeb“ (DSP). Členské státy určovaly OES jednotlivě.
NIS 2 je směrnice (EU) 2022/2555. Pokrývá 11 odvětví v příloze I a 7 odvětví v příloze II, nahrazuje rozdělení OES/DSP „základními subjekty“ a „důležitými subjekty“ a používá výslovné kritérium velikosti (50 nebo více zaměstnanců, nebo roční obrat i bilanční suma nad 10 milionů eur).
Čl. 44 NIS 2 zrušil směrnici NIS 1 s účinkem od 18. října 2024. Odkazy na zrušenou směrnici se považují za odkazy na NIS 2. V Česku nahradil zákon č. 264/2025 Sb., o kybernetické bezpečnosti, s účinností od 1. listopadu 2025 dosavadní zákon č. 181/2014 Sb. (§ 72 a § 73).
Směrnice (EU) 2022/2555, čl. 44
Směrnice (EU) 2016/1148 se zrušuje s účinkem ode dne 18. října 2024.
Od téhož dne mají členské státy uplatňovat svá prováděcí opatření (čl. 41 odst. 1). Odkazy na zrušenou směrnici se podle čl. 44 považují za odkazy na NIS 2.
Prováděcí nařízení Komise (EU) 2024/2690
Toto nařízení, pokud jde o […] (dále jen „příslušné subjekty“), stanovuje technické a metodické požadavky na opatření uvedená v čl. 21 odst. 2 směrnice (EU) 2022/2555 […]
CIR upřesňuje opatření podle čl. 21 odst. 2 pro úzkou skupinu typů subjektů digitální infrastruktury. Samotný katalog čl. 21 se vztahuje na všechny subjekty podle NIS 2. V Česku na CIR odkazuje § 18 zákona č. 264/2025 Sb.
Česko: zákon č. 264/2025 Sb., § 72
Zrušují se: 1. Zákon č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti).
Česko provedlo NIS 2 novým zákonem č. 264/2025 Sb., účinným od 1. listopadu 2025, a zrušilo dosavadní zákon č. 181/2014 Sb. Starý zákon reguloval provozovatele základních služeb, správce informačních a komunikačních systémů kritické informační infrastruktury, správce významných informačních systémů a poskytovatele digitálních služeb. Nový zákon místo nich zavádí poskytovatele regulovaných služeb v režimu vyšších a nižších povinností (§ 8).
Ze 7 odvětví a určování OES na 11 plus 7 odvětví s pravidlem velikosti
NIS 1 pokrývala sedm odvětví a vyžadovala, aby členské státy určovaly OES jednoho po druhém. NIS 2 uvádí 11 odvětví v příloze I (vysoce kritická odvětví) a 7 odvětví v příloze II (další kritická odvětví) a automaticky se vztahuje na subjekty těchto odvětví, které splňují kritérium velikosti (50 nebo více zaměstnanců, nebo více než 10 milionů eur obratu i bilanční sumy). Několik typů subjektů je v působnosti bez ohledu na velikost. V Česku rozhoduje seznam služeb ve vyhlášce č. 408/2025 Sb.
Z opatření na vysoké úrovni podle čl. 14 na čl. 21 s 10 oblastmi opatření plus čl. 20 a čl. 23
Čl. 14 NIS 1 vyžadoval vhodná a přiměřená opatření v poměrně obecných pojmech. Čl. 21 odst. 2 NIS 2 jmenuje 10 konkrétních oblastí opatření (analýza rizik, zvládání incidentů, kontinuita činností, dodavatelský řetězec, zvládání zranitelností, účinnost, základní kybernetická hygiena a školení, kryptografie, řízení přístupu a správa aktiv, vícefaktorové ověřování a zabezpečená komunikace). Čl. 20 přidává výslovné povinnosti vedení, čl. 23 přidává strukturovanou kaskádu hlášení a čl. 3 odst. 4 přidává registraci údajů o subjektu u příslušného orgánu.
Z uvážení členského státu na minimální stropy pokut platné v celé EU
NIS 1 ponechávala pokuty z velké části na národním právu a vedla k širokým rozdílům mezi členskými státy. Čl. 34 NIS 2 stanoví minimální stropy platné v celé EU: pro základní subjekty nejméně 10 milionů eur nebo 2 procenta z celkového celosvětového ročního obratu, podle toho, co je vyšší; pro důležité subjekty nejméně 7 milionů eur nebo 1,4 procenta. V Česku je strop v režimu vyšších povinností 250 milionů Kč nebo 2 procenta, v režimu nižších povinností 175 milionů Kč nebo 1,4 procenta (§ 59 odst. 4 zákona č. 264/2025 Sb.). Čl. 32 a čl. 33 také dávají dozorovým orgánům delší seznam pravomocí.
Technická opatření se obecně přenášejí
Subjekt, který již zavedl opatření podle čl. 14 NIS 1, rozpozná velkou část čl. 21 odst. 2 NIS 2: zvládání incidentů, kontinuita činností, dodavatelský řetězec, základní kybernetická hygiena a školení jsou přítomny v obou textech. Označení a hloubka se změnily, základní myšlenka nikoli.
Správa a řízení a hlášení jsou nové
Čl. 20 činí vedení odpovědným za schvalování opatření k řízení rizik kybernetické bezpečnosti, dohled nad jejich prováděním a absolvování školení. Čl. 23 zavádí třístupňovou kaskádu (včasné varování do 24 hodin, oznámení incidentu do 72 hodin, závěrečná zpráva do jednoho měsíce). Ani jeden z těchto konstruktů v NIS 1 v této míře podrobnosti neexistoval. V Česku stanoví požadavky na vrcholné vedení § 4 vyhlášek č. 409/2025 Sb. a 410/2025 Sb. a hlášení incidentů §§ 15 a 16 zákona č. 264/2025 Sb.
Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB)
NÚKIB byl příslušným úřadem už podle zákona č. 181/2014 Sb. a je jím i podle zákona č. 264/2025 Sb. Přijímá ohlášení regulovaných služeb, rozhoduje o registraci, spravuje Portál NÚKIB a kontroluje plnění povinností (§ 42). Starý režim dobíhá: kdo byl povinnou osobou podle zákona č. 181/2014 Sb. a jeho služby splňují nové podmínky, plní alespoň dosavadní povinnosti, dokud neuplynou lhůty podle nového zákona; incidenty hlásí podle nového zákona už ode dne doručení rozhodnutí o registraci (§ 71 odst. 1).
Agentura Evropské unie pro kybernetickou bezpečnost (ENISA)
ENISA zveřejňuje technické prováděcí pokyny pro opatření podle čl. 21 odst. 2 a provozuje evropskou databázi zranitelností podle čl. 12. Její texty jsou nezávazné, ale dozorové orgány je citují jako praktický základ.
Zákon č. 264/2025 Sb. nahrazuje zákon č. 181/2014 Sb.
Starý zákon reguloval provozovatele základních služeb, správce informačních a komunikačních systémů kritické informační infrastruktury, správce významných informačních systémů a poskytovatele digitálních služeb. Nový zákon zavádí regulované služby podle vyhlášky č. 408/2025 Sb. a dva režimy povinností, vyšší a nižší (§ 8). Přidává ohlášení služby NÚKIB (§ 6), třístupňové hlášení incidentů (§ 16) a požadavky na vrcholné vedení ve vyhláškách č. 409/2025 Sb. a 410/2025 Sb. (§ 4).
Naše dokumentace k NIS 1 se přenáší do NIS 2.
Technická opatření se obecně přenášejí, ale právní obálka nikoli. NIS 2 zavádí povinnosti vedení (čl. 20), třístupňovou kaskádu hlášení (čl. 23), registraci subjektu (čl. 3 odst. 4) a strukturovaný katalog podle čl. 21 odst. 2. Stará dokumentace k NIS 1 (v Česku podle zákona č. 181/2014 Sb.) má obvykle mezery ve správě a řízení, časových lhůtách hlášení a v části o dodavatelském řetězci. Berte dokumenty k NIS 1 jako výchozí bod, nikoli jako hotový spis.
Je to stejný regulátor, takže je to stejný režim.
V několika členských státech dohlíží na NIS 2 tentýž úřad jako na NIS 1 (v Česku NÚKIB). Instituce zůstala stejná; její zákonné pravomoci a okruh dozorovaných subjektů nikoli. Čl. 32 a 33 NIS 2 dávají dozorovým orgánům delší seznam inspekčních, auditních a vymáhacích pravomocí a čl. 34 stanoví minimální stropy pokut platné v celé EU, které podle NIS 1 neexistovaly.
Nic podstatného se nezměnilo.
Rozsah (11 plus 7 odvětví s pravidlem velikosti), správa a řízení (povinnosti vedení podle čl. 20), hlášení (kaskáda podle čl. 23), registrace (čl. 3 odst. 4) a pokuty (stropy podle čl. 34) se všechny změnily. Totéž znění „vhodná a přiměřená“ se objevuje v obou směrnicích, ale katalog kolem něj je v NIS 2 mnohem konkrétnější.
V praxi je migrace zřídka čistým restartem. Většina subjektů znovu použije části svého registru rizik z NIS 1, příručku pro incidenty a seznam dodavatelů a poté přidá nové části: rozhodnutí vedení o opatřeních podle čl. 21 odst. 2, pracovní postup hlášení podle čl. 23 s časovými značkami 24 hodin, 72 hodin a jeden měsíc, registrační záznam podle čl. 3 odst. 4 a sekci dodavatelského řetězce, která odpovídá čl. 21 odst. 2 písm. d).
Nejčastější viditelnou změnou je hlášení. Jediné oznámení „bez zbytečného odkladu“ podle NIS 1 se v NIS 2 stává třemi samostatnými dokumenty, každý s vlastní lhůtou a vlastním adresátem uvnitř subjektu. V Česku jde o prvotní hlášení do 24 hodin, oznámení do 72 hodin a závěrečnou zprávu do 30 dnů od oznámení (§ 16 zákona č. 264/2025 Sb.). Praktici obvykle přestavují pracovní postup pro incidenty jako první, protože tam nová pravidla načasování zaberou rychle.
- Směrnice (EU) 2022/2555, čl. 41 (provedení), čl. 44 (zrušení směrnice (EU) 2016/1148), čl. 20, 21, 23, 27, 32, 33, 34, příloha I a příloha II: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Směrnice (EU) 2016/1148, čl. 14 (bezpečnostní požadavky pro OES) a čl. 16 (bezpečnostní požadavky pro DSP): https://eur-lex.europa.eu/eli/dir/2016/1148/oj
- Prováděcí nařízení Komise (EU) 2024/2690 ze dne 17. října 2024, body odůvodnění a příloha: https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 71 (přechodná ustanovení) a § 72 (zrušení zákona č. 181/2014 Sb.): https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_72
- ENISA, technické pokyny k provádění čl. 21 odst. 2 NIS 2: https://www.enisa.europa.eu
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
