Co je NIS2? Směrnice EU o kybernetické bezpečnosti jednoduchými slovy

Směrnice EU

NIS2 označuje druhou směrnici o bezpečnosti sítí a informačních systémů. Byla zveřejněna v Úředním věstníku EU 27. prosince 2022 a vstoupila v platnost 16. ledna 2023.

Jejím cílem je vysoká společná úroveň kybernetické bezpečnosti v celé EU. Nahrazuje první směrnici NIS (EU) 2016/1148, která byla zrušena k 18. říjnu 2024.

Směrnice neplatí pro firmy přímo. Každá země EU ji převádí do svého vlastního práva. Lhůta k tomu byla 17. října 2024. Povinnosti pro vaši firmu vznikají až s tímto národním zákonem.

čl. 1, 41, 44 a 45 NIS 2

Koho se to týká

Firma je dotčená, pokud působí v jednom z 18 odvětví z příloh I a II a je alespoň střední velikosti: od 50 zaměstnanců, nebo s ročním obratem a bilanční sumou vždy přes 10 milionů EUR.

Někteří poskytovatelé jsou dotčeni bez ohledu na velikost, například poskytovatelé telekomunikací, služeb vytvářejících důvěru, domén nejvyšší úrovně a DNS. Členské státy mohou určit další subjekty.

čl. 2 a 3 NIS 2 · doporučení 2003/361/ES

Základní a důležité subjekty

Směrnice dělí dotčené firmy do dvou skupin. Velikost se počítá podle doporučení 2003/361/ES; započítat se mohou i propojené a partnerské podniky.

Povinnosti jsou podle směrnice pro obě skupiny stejné. Liší se dozor: základní subjekty může úřad kontrolovat i bez konkrétního důvodu, důležité dodatečně, když jsou náznaky porušení (čl. 32 a 33 NIS 2). V Česku se místo dvou skupin rozlišuje režim vyšších a nižších povinností s odlišnými opatřeními (§ 8 zákona č. 264/2025 Sb.; vyhlášky č. 409/2025 a 410/2025 Sb.).

Co platí při porušení

Směrnice vyžaduje, aby každá země stanovila pokuty s horní hranicí nejméně 10 milionů EUR nebo 2 procenta celosvětového obratu (základní subjekty) a u důležitých subjektů 7 milionů EUR nebo 1,4 procenta, podle toho, která částka je vyšší.

Český zákon stanoví horní hranice 250 milionů Kč nebo 2 % celosvětového ročního obratu v režimu vyšších povinností a 175 milionů Kč nebo 1,4 % v režimu nižších povinností, podle toho, co je vyšší (§ 59 odst. 4 zákona č. 264/2025 Sb.). Přestupky projednává NÚKIB (§ 62 odst. 1).

U základních subjektů lze osobě ve vedení jako poslední prostředek dočasně zakázat výkon řídicích funkcí. U důležitých subjektů to směrnice nestanoví. V Česku to platí jen v režimu vyšších povinností (§ 58 zákona č. 264/2025 Sb.).

NÚKIB může také uložit nápravné opatření: odstranit zjištěné nedostatky ve stanovené lhůtě (§ 56 zákona č. 264/2025 Sb.). Jeho nesplnění je samostatný přestupek (§ 59 odst. 1 a 2, písm. o)).

čl. 32 odst. 5 a čl. 34 NIS 2 · § 56, 58, 59 a 62 zákona č. 264/2025 Sb.

Co se změnilo oproti NIS 1

Podle první směrnice NIS o tom, kteří provozovatelé jsou zahrnuti, z velké části rozhodovaly samy členské státy. Podle NIS2 rozhoduje odvětví a velikost a firmy samy ověřují, zda jsou dotčené.

Nová jsou mimo jiné další odvětví, pevné lhůty pro hlášení ve třech stupních, povinnosti vedení a minimální seznam deseti oblastí, který zahrnuje i dodavatelský řetězec.

čl. 2, 20, 21, 23 a 44 NIS 2

V Česku a v ostatních zemích EU

V Česku platí NIS2 prostřednictvím zákona č. 264/2025 Sb., o kybernetické bezpečnosti, který nahradil dosavadní zákon č. 181/2014 Sb. Je účinný od 1. listopadu 2025. Příslušným úřadem je Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB). Zákon nepoužívá základní a důležitý subjekt jako vlastní kategorie (zmiňuje je jen v § 18 odst. 4 u poskytovatelů digitálních služeb): mluví o poskytovateli regulované služby v režimu vyšších, nebo nižších povinností.

V ostatních zemích EU platí jejich národní zákon, v Německu například zákon o BSI, v Nizozemsku Cyberbeveiligingswet. Příslušná je země, ve které je vaše firma usazena.

čl. 26 NIS 2 · zákon č. 264/2025 Sb.

Co to znamená pro firmu s 50 až 150 zaměstnanci

V jednom z 18 odvětví je taková firma podle směrnice obvykle důležitým subjektem. Základním subjektem je při této velikosti jen výjimečně: v odvětví z přílohy I s obratem přes 50 milionů EUR a bilanční sumou přes 43 milionů EUR, jako poskytovatel telekomunikací, nebo pokud ji tak určí země. V Česku je střední podnik ve většině služeb v režimu nižších povinností; vyšší režim pro střední podniky stanoví vyhláška č. 408/2025 Sb. jen u některých služeb, například u veřejně dostupných služeb elektronických komunikací.

Má stejné čtyři povinnosti jako velká firma. Opatření ale musí být jen tak důkladná, jak to vyžaduje riziko, velikost a náklady; v režimu nižších povinností jsou navíc stručnější (vyhláška č. 410/2025 Sb.).

Směrnice počítá s tím, že důležitý subjekt úřad kontroluje až při náznacích porušení (čl. 33). Český zákon kontrolu NÚKIB podle režimu nerozlišuje (§ 55 zákona č. 264/2025 Sb.).

čl. 3, 21 odst. 1 a 33 NIS 2 · § 8 a 55 zákona č. 264/2025 Sb.