Významný incident podle NIS 2
Dvě kvalitativní kritéria, jedno nařízení s čísly pro určité poskytovatele digitálních služeb a v Česku vlastní práh, nebo rozhodnutí NÚKIB.
Proč na definici záleží
Ve směrnici spouští významnost celou oznamovací kaskádu čl. 23 NIS 2: včasné varování do 24 hodin, oznámení incidentu do 72 hodin, závěrečnou zprávu do jednoho měsíce. V Česku to platí pro režim nižších povinností: incident s významným dopadem hlásíte Národnímu CERT, ostatní ne (§ 15 odst. 2 zákona č. 264/2025 Sb.). V režimu vyšších povinností hlásíte NÚKIB každý incident ve stanoveném rozsahu, který má původ v kybernetickém prostoru a u něhož nelze do 24 hodin vyloučit úmyslné zavinění (§ 15 odst. 1); NÚKIB pak do 24 hodin sdělí, zda má incident významný dopad na kybernetický prostor státu, a jen tehdy následuje oznámení a závěrečná zpráva (§ 16 odst. 2 a 3).
Článek 23 odst. 3 NIS 2 vám dává jen dvě obecné formulace. Prováděcí nařízení Komise (EU) 2024/2690 (CIR) doplňuje pevná čísla, ale jen pro malou skupinu poskytovatelů digitálních služeb (DNS, TLD, cloud, datové centrum, CDN, MSP, MSSP, tržiště, vyhledávač, sociální síť, služby vytvářející důvěru). Pro všechna ostatní odvětví NIS 2 zůstává test kvalitativní.
Většina CISO tuto mezeru podceňuje. Pokud jste ve výrobě, potravinářství, zdravotnictví nebo odpadovém hospodářství, směrnice vám nedává žádnou částku v eurech, žádný počet minut, žádný uživatelský práh. Česko mezeru řeší po svém: v nižším režimu si práh stanovíte sami a předem (vyhláška č. 410/2025 Sb., § 14), ve vyšším režimu posoudí významnost NÚKIB. Rozhodnout se musíte rychle a později umět vysvětlit proč.
Směrnice NIS 2 (EU) 2022/2555, čl. 23 odst. 3
Incident se považuje za významný, jestliže: a) dotčenému subjektu způsobil nebo může způsobit závažné provozní narušení služeb nebo finanční ztráty; b) způsobil nebo může způsobit jiným fyzickým nebo právnickým osobám značnou hmotnou nebo nehmotnou újmu.
Toto je jediná obecná definice významného incidentu v právu EU. Oba body používají spojení „může způsobit“, takže musíte zvážit potenciální i skutečnou škodu. Text nikde nevyčísluje, co je závažné, značné ani hmotné.
CIR (EU) 2024/2690, čl. 3
Incident se považuje za významný pro účely čl. 23 odst. 3 směrnice (EU) 2022/2555, pokud jde o příslušné subjekty, je-li splněno jedno nebo více z těchto kritérií: a) incident způsobil nebo může způsobit příslušnému subjektu přímou finanční ztrátu, která přesahuje 500 000 EUR nebo 5 % celkového ročního obratu příslušného subjektu za předchozí účetní období, podle toho, která částka je nižší; b) incident způsobil nebo může způsobit únik obchodního tajemství příslušného subjektu podle čl. 2 bodu 1 směrnice (EU) 2016/943; c) incident způsobil nebo může způsobit úmrtí fyzické osoby; d) incident způsobil nebo může způsobit značnou újmu na zdraví fyzické osoby; e) došlo k úspěšnému podezřelému zlovolnému a neoprávněnému přístupu do sítě a informačních systémů, který může způsobit vážné narušení provozu; f) incident splňuje kritéria stanovená v článku 4; g) incident splňuje jedno nebo více kritérií uvedených v článcích 5 až 14.
Sedm kritérií (písmena a až g), pět věcných plus dva odkazy. Čl. 1 CIR uvádí, že tato čísla platí jen pro konkrétní poskytovatele digitálních služeb (DNS, TLD, cloud, datové centrum, CDN, MSP, MSSP, on-line tržiště, vyhledávač, sociální platforma, služby vytvářející důvěru). Články 5 až 14 doplňují pro tutéž skupinu prahy dostupnosti podle typu poskytovatele. V Česku tito poskytovatelé podle § 18 odst. 2 zákona č. 264/2025 Sb. hlásí všechny incidenty s významným dopadem podle CIR (kromě služeb vytvářejících důvěru). Pokud vaše odvětví na seznamu není, tato čísla vás nezavazují a platí kvalitativní test z čl. 23 odst. 3, v Česku § 15 zákona.
§ 15 odst. 3 zákona č. 264/2025 Sb. (Česko)
Významný dopad na poskytování regulované služby má kybernetický bezpečnostní incident, který poskytovateli regulované služby způsobil nebo může způsobit závažné provozní narušení služeb nebo finanční ztráty nebo způsobil nebo může způsobit jiným osobám značnou újmu. Způsob vyhodnocení významnosti dopadu kybernetického bezpečnostního incidentu na poskytování regulované služby poskytovatelem regulované služby v režimu nižších povinností stanoví Úřad vyhláškou.
Česko převzalo kritéria čl. 23 odst. 3 do § 15 odst. 3 a hlášení rozdělilo podle režimu. V nižším režimu hlásíte Národnímu CERT jen incidenty s významným dopadem a významnost posuzujete podle vyhlášky č. 410/2025 Sb., § 14: předem si stanovíte únosnou míru újmy a oblasti posouzení (provozní dopad, počet zasažených uživatelů, zdroje na obnovu, typ a umístění aktiv, citlivost dat, příčina); dopad je významný, když přesáhne únosnou míru újmy a současně je oblast posouzena jako významná. Ve vyšším režimu hlásíte NÚKIB každý incident podle § 15 odst. 1 a NÚKIB do 24 hodin sdělí, zda má významný dopad na kybernetický prostor státu (§ 16 odst. 2). Poskytovatelé digitálních služeb podle § 18 posuzují významnost podle CIR. Povinnost hlásit začíná nejpozději 1 rok od doručení rozhodnutí o registraci (§ 15 odst. 4).
Sedm kritérií (písmena a až g)
Pět věcných spouštěcích kritérií plus dva odkazy. a) 500 000 EUR nebo 5 procent obratu (podle toho, co je nižší), b) exfiltrované obchodní tajemství, c) usmrcení osoby, d) vážná újma na zdraví osoby, e) úspěšné zlovolné vniknutí schopné způsobit závažné narušení, f) opakující se incidenty podle čl. 4, g) prahy specifické pro subjekt podle čl. 5 až 14. Kterékoli jediné kritérium spouští významnost pro poskytovatele digitálních služeb v rozsahu působnosti.
Opakující se incidenty
Malé incidenty se sčítají. Pokud stejná hlavní příčina vyvolá nejméně dva incidenty za šest měsíců a dohromady překročí hranici finanční ztráty v čl. 3 odst. 1 písm. a), CIR je považuje za jeden významný incident. Počítat každý zvlášť je chyba.
Specifika pro DNS a TLD
Pro poskytovatele služeb DNS (čl. 5): překlad jmen zcela nedostupný déle než 30 minut, průměrná doba odezvy nad 10 sekund po dobu delší než hodinu nebo narušená data (kromě chybné konfigurace týkající se méně než 1 000 domén a nejvýše 1 % z nich). Registry TLD (čl. 6): jakýkoli úplný výpadek autoritativního překladu, doba odezvy nad 10 sekund po dobu hodiny nebo jakékoli narušení dat TLD. Články 7 až 14 stanoví prahy pro cloud, datová centra, CDN, MSP a MSSP, tržiště, vyhledávače, sociální sítě a služby vytvářející důvěru.
Spouštěč A: závažné narušení provozu nebo finanční ztráta pro váš subjekt
Toto je spouštěč zaměřený dovnitř. Směrnice vám nedává žádnou částku, žádnou dobu trvání, žádné procento. Bod odůvodnění 101 jmenuje tři ukazatele: rozsah, v jakém je ovlivněno fungování služby, dobu trvání incidentu a počet dotčených příjemců služeb. Použijte je k uspořádání úvah, ne jako kontrolní seznam. V nižším režimu v Česku oblasti posouzení rozvádí vyhláška č. 410/2025 Sb., § 14 odst. 1 písm. b): provozní dopad, počet zasažených uživatelů, zdroje na obnovu, typ a umístění aktiv, citlivost dat a přímá příčina.
Spouštěč B: značná hmotná nebo nehmotná újma třetím stranám
Toto je spouštěč zaměřený ven. Zákazníci, občané, navazující provozovatelé, váš dodavatelský řetězec. Nehmotná újma zahrnuje újmu na pověsti a důvěře. Krátký výpadek, který naruší nemocniční postup, způsobí únik dat zákazníků nebo odpojí městskou službu, může toto spouštěcí kritérium splnit, i když je vaše vlastní ztráta malá.
Ransomware na dva dny zastaví výrobu
Provoz se zastaví. Spouštěč A čl. 23 odst. 3 NIS 2 (závažné provozní narušení) je splněn. Ve vyšším režimu hlásíte NÚKIB (jde o útok, úmysl vyloučit nelze), v nižším Národnímu CERT, pokud výpadek překročí váš práh, což dvoudenní zastavení výroby obvykle udělá. Prvotní hlášení do 24 h, oznámení do 72 h, závěrečná zpráva do 30 dnů od oznámení (§ 16 zákona č. 264/2025 Sb.).
Kliknutí na phishingový e-mail, heslo nezadáno
Zadržení se podařilo, žádný dopad na služby ani třetí strany. Bezpečnost informací narušena nebyla: jde o kybernetickou bezpečnostní událost, ne o incident, a povinnost hlásit nevzniká. Dobrovolně ji NÚKIB nahlásit můžete (§ 15 odst. 5 zákona č. 264/2025 Sb.; čl. 30 NIS 2).
Výpadek poskytovatele cloudu, vaše vlastní služba zpožděna
Pokud se vaše služba výrazně zpomalí nebo zastaví, je splněn spouštěč A. V Česku navíc rozhoduje příčina: vyloučíte-li do 24 hodin úmyslné zavinění, například když poskytovatel doloží technickou závadu, povinnost hlásit podle § 15 zákona č. 264/2025 Sb. nevzniká. Zkontrolujte i spouštěč B: trpí zákazníci nebo navazující provozovatelé? (čl. 23 odst. 3 NIS 2)
Útok DDoS vyřadí zákaznický portál na čtyři hodiny
Významné přerušení pro zákazníky. Oba spouštěče čl. 23 odst. 3 NIS 2 mohou být splněny. DDoS je útok, úmysl tedy vyloučit nelze: ve vyšším režimu hlásíte vždy, v nižším podle svého prahu. U provozovatelů DNS, poskytovatelů cloudu nebo služeb vytvářejících důvěru zkontrolujte také čl. 5 až 14 CIR.
Chybná konfigurace odhalí data zákazníků
Čl. 33 GDPR: do 72 h Úřadu pro ochranu osobních údajů (ÚOOÚ). Chybná konfigurace je lidská chyba: vyloučíte-li do 24 hodin úmyslné zavinění (data nikdo neoprávněně nestáhl), povinnost hlásit podle § 15 zákona č. 264/2025 Sb. nevzniká. Pokud to vyloučit nelze a jsou splněny i ostatní podmínky § 15 (u poskytovatelů digitálních služeb čl. 3 CIR), navíc prvotní hlášení do 24 h přes Portál NÚKIB. Obě lhůty běží od zjištění.
Narušení u dodavatele, zasažena vaše vlastní služba
Nejprve zkontrolujte dopad na vlastní subjekt nebo na vaše zákazníky. Ne každý incident u dodavatele spouští vaši vlastní ohlašovací povinnost: musí se projevit ve stanoveném rozsahu vaší regulované služby (§ 15 zákona č. 264/2025 Sb.). Souběžně zdokumentujte řízení dodavatelů podle čl. 21 odst. 2 písm. d) NIS 2 a § 13 odst. 5 zákona.
Nejste si jisti? Prvotní hlášení později doplníte v oznámení do 72 hodin (§ 16 odst. 3 písm. a) zákona č. 264/2025 Sb.). Události pod prahem můžete NÚKIB nahlásit dobrovolně (§ 15 odst. 5 zákona; čl. 30 NIS 2).
Čl. 30 odst. 1 NIS 2 umožňuje dobrovolně oznamovat incidenty, kybernetické hrozby a významné události (téměř uskutečněné incidenty), a to subjektům v působnosti směrnice i mimo ni. V Česku NÚKIB podle § 15 odst. 5 zákona č. 264/2025 Sb. přijímá dobrovolná hlášení kybernetických bezpečnostních incidentů, událostí a hrozeb i zranitelností, také přes Portál NÚKIB (§ 16 odst. 4). U dobrovolně nahlášeného incidentu se obdobně použije § 17 odst. 1 a 2: vyjádření NÚKIB nebo Národního CERT do 24 hodin a podpora na žádost (§ 17 odst. 5).
Klíčovou ochranou je čl. 30 odst. 2 NIS 2: dobrovolné oznámení nesmí vést k tomu, že oznamujícímu subjektu budou uloženy další povinnosti, které by neměl, kdyby oznámení neučinil. Český zákon tuto větu výslovně neopakuje, směrnice ji ale členským státům ukládá. Ohlášení hraničního případu by tak nemělo vést k dalším povinnostem, a tím odpadá zjevná výmluva, proč nejasný incident neoznámit.
Čl. 23 odst. 2 NIS 2 doplňuje samostatnou povinnost: základní a důležité subjekty bez zbytečného odkladu informují příjemce svých služeb, kteří mohou být ovlivněni významnou kybernetickou hrozbou, o krocích nebo nápravných opatřeních, které mohou v reakci na hrozbu učinit. Nejde o hlášení CSIRT, ale o externí komunikaci se zákazníky.
V Česku to provádí § 19 odst. 2 zákona č. 264/2025 Sb., a to pro všechny poskytovatele regulovaných služeb: uživatele, kterého může ovlivnit významná hrozba, informujete bez zbytečného odkladu vhodným a srozumitelným způsobem o krocích, které může učinit; je-li to možné a vhodné, i o hrozbě samotné. O incidentu s významným dopadem informujete uživatele, považujete-li to za vhodné, a NÚKIB vám to rozhodnutím může uložit nebo zakázat (§ 19 odst. 1).
NÚKIB: vyhláška a podpůrné materiály
Česko dává nedigitálním odvětvím postup, ne číslo: v nižším režimu si práh stanovíte sami podle vyhlášky č. 410/2025 Sb., § 14, a NÚKIB k tomu vydal podpůrný materiál s praktickými příklady („Významnost incidentu v režimu nižších povinností“). Ve vyšším režimu posuzuje významnost NÚKIB podle závažnosti dopadu na poskytování regulované služby, zasaženého odvětví a aktuální situace v kybernetickém prostoru (§ 16 odst. 2 zákona č. 264/2025 Sb.). Hlásí se přes Portál NÚKIB.
Technické prováděcí pokyny ENISA
Technické prováděcí pokyny ENISA (TIG, verze 1.0 z června 2025; jejich mapovací tabulka byla v srpnu 2025 aktualizována na verzi 1.2) dávají praktické rady k posouzení dopadu a odkazují na prahy CIR tam, kde platí. TIG nejsou závazné a odvětví mimo působnost CIR výslovně vracejí zpět vnitrostátním orgánům.
Jiné členské státy
Rakouský NISG 2026 platí od 1. října 2026. Francie a Nizozemsko do července 2026 neoznámily svou transpozici (Komise je předala Soudnímu dvoru). Zde je jako příklad použito Česko.
Mýtus 1: Poznáme to, až to uvidíme.
Realita: § 16 odst. 1 zákona č. 264/2025 Sb. (čl. 23 odst. 4 písm. a) NIS 2) vám dává 24 hodin od zjištění na prvotní hlášení. V tomto čase se musíte rozhodnout, zapsat odůvodnění a umět ho obhájit při kontrole NÚKIB. V nižším režimu vyhláška č. 410/2025 Sb. přímo chce, abyste metodiku posuzování incidentů včetně významnosti měli předem (§ 10 písm. b), § 14). Pokud kritéria nesepíšete před incidentem, rozhodujete pod tlakem a bez záznamu, o který se opřete. Rozhodovací rámec si připravte teď, ne až v daný den.
Mýtus 2: Za významné incidenty se počítají jen úniky dat.
Realita: Čl. 23 odst. 3 písm. a) se vztahuje na narušení provozu a finanční ztrátu bez jakékoli zmínky o osobních údajích. Výrobní linka zastavená ransomwarem bez exfiltrace dat je významný incident. Logistická platforma mimo provoz na tři hodiny jím může být, pokud výpadek závažně naruší službu nebo způsobí zákazníkům značnou újmu. NIS 2 není GDPR.
Mýtus 3: Malé incidenty pod prahem se nesčítají.
Realita: U poskytovatelů digitálních služeb podle CIR se incidenty se stejnou příčinou, které nastanou nejméně dvakrát za šest měsíců, počítají jako jeden významný incident, pokud jejich finanční ztráty společně překročí hranici čl. 3 odst. 1 písm. a) (čl. 4 CIR; v Česku přes § 18 odst. 2 zákona č. 264/2025 Sb.). Samotná NIS 2 takové pravidlo nemá, ale vzorec drobných incidentů je přesto důvodem podívat se znovu.
Přílohy I a II NIS 2 pokrývají 18 odvětví. Čísla dostává jen digitální skupina v čl. 1 CIR (11 typů subjektů). To je malý zlomek subjektů v působnosti. Pro energetiku, dopravu, bankovnictví, infrastrukturu finančního trhu, zdravotnictví, pitnou vodu, odpadní vodu, veřejnou správu, kosmický prostor, poštovní služby, odpadové hospodářství, chemii, potravinářství, výrobu a výzkum zůstává test kvalitativní.
Právě tady můžete být v místnosti užiteční. Poctivá odpověď na otázku vedení („co se pro nás počítá za významné?“) zní: EU to nechala na nás; v nižším režimu česká vyhláška chce, abychom si práh stanovili předem (vyhláška č. 410/2025 Sb., § 14), ve vyšším režimu hlásíme podle § 15 odst. 1 zákona a významnost posoudí NÚKIB. Zde jsou tři ukazatele z bodu odůvodnění 101, zde je záznam o rozhodnutí, který v daný den vytvoříme, zde je, kdo ho podepíše, a zde je formulář prvotního hlášení na Portálu NÚKIB. Obhajitelnou odpovědí není číslo. Je to písemné rozhodnutí.
- Směrnice (EU) 2022/2555 (NIS 2), čl. 23, čl. 30 a bod odůvodnění 101: https://eur-lex.europa.eu/eli/dir/2022/2555/oj/ces
- Prováděcí nařízení Komise (EU) 2024/2690, články 1, 3, 4, 5 až 14: https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj/ces
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 15 (hlášení incidentů): https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_15, § 16: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_16, § 18: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_18, § 19: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_19; vyhláška č. 410/2025 Sb., § 14 (významnost dopadu v nižším režimu): https://e-sbirka.gov.cz/sb/2025/410/2025-11-01#par_14
- ENISA, NIS2 Technical Implementation Guidance, verze 1.0, 26. června 2025: enisa.europa.eu
- NÚKIB: Významnost incidentu v režimu nižších povinností (podpůrný materiál, 24. února 2026): https://portal.nukib.gov.cz/informacni-servis/podpurne-materialy/699dae4c4e4cff5ebe0ed3a2; Portál NÚKIB: https://portal.nukib.gov.cz
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Řešení incidentů
Vědět, jak nahlásit incident
Až tři hlášení s pevnými lhůtami, přes Portál NÚKIB.
Řešení incidentů
Naplánujte, co se stane při incidentu
Kdo rozhoduje, komu voláte, jak se spojíte.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
