Co „bez zbytečného odkladu“ skutečně znamená na 24hodinové lhůtě NIS 2

Čl. 23 odst. 4 písm. a) NIS 2

Bez zbytečného odkladu, nejpozději však do 24 hodin po zjištění významného incidentu, včasné varování, v němž případně uvedou, zda se domnívají, že byl významný incident způsoben nezákonným nebo svévolným zásahem nebo že by mohl mít přeshraniční dopad.

Dva časovače výslovně pojmenované ve stejné větě. „Bez zbytečného odkladu“ je operativní povinnost; „24 hodin“ je vnější mez. Spouštěčem je „zjištění“ významného incidentu; anglické znění mluví o okamžiku, kdy se subjekt o incidentu dozvěděl, nikoli o prvním technickém signálu.

§ 16 odst. 1 zákona č. 264/2025 Sb.

Poskytovatel regulované služby bez zbytečného odkladu, nejpozději do 24 hodin po zjištění kybernetického bezpečnostního incidentu, předloží prvotní hlášení, v němž uvede své identifikační údaje, základní údaje o kybernetickém bezpečnostním incidentu, a zda se domnívá, že byl kybernetický bezpečnostní incident způsoben nezákonným zásahem nebo že by mohl mít přeshraniční dopad.

Český zákon používá stejný obrat jako česká verze směrnice, „bez zbytečného odkladu“, a lhůtu počítá „po zjištění“ incidentu. Žádný z obou pojmů zákon nedefinuje. Stejný obrat používá i pro oznámení do 72 hodin (§ 16 odst. 3 písm. a)) a pro informování uživatelů (§ 19). Vyhlášky u jiných povinností píší „bezodkladné“: bezodkladné aplikování schválených bezpečnostních aktualizací (410 § 12 písm. a)) nebo bezodkladné odebrání přístupových práv při změně pozice (410 § 7 odst. 1 písm. e); 409 § 13 odst. 2 písm. i)). Hlásí se přes Portál NÚKIB, ve vyšším režimu NÚKIB, v nižším režimu Národnímu CERT (§ 15, § 16 odst. 4).

Bod odůvodnění 102 NIS 2 (pozadí)

Pokud se základní nebo důležité subjekty dozvědí o významném incidentu, měly by mít povinnost bez zbytečného odkladu a v každém případě do 24 hodin podat včasné varování. […] Včasné varování by mělo zahrnovat pouze informace nezbytné k tomu, aby se tým CSIRT nebo případně příslušný orgán dozvěděly o významném incidentu a aby dotčený subjekt mohl v případě potřeby požádat o pomoc.

Bod odůvodnění 102 je interpretační nápověda: včasné varování má obsahovat jen nezbytné informace a hlášení nemá odvádět zdroje od řešení incidentu. Neočekává se od vás úplná analýza dříve, než budete mít informace; očekává se od vás, že podáte hlášení, jakmile to rozumně šlo.

Povoleno: čas na potvrzení

Nemusíte podávat oznámení dříve, než budete mít smysluplné informace. Několik hodin na třídění, potvrzení rozsahu a vyloučení falešných poplachů je rozumné. Směrnice nepostihuje odpovědné ověření.

Povoleno: čas na eskalaci

Interní eskalace přes řetězec reakce na incidenty, s podpisem určeného pracovníka pro hlášení, je součástí běžného řádného postupu. Dvouhodinová eskalace v pracovní době je rozumná; dvacetihodinové čekání, než přiletí generální ředitel z dovolené, není.

Nepovoleno: dávkování pro pohodlí

Čekání na sloučení více podezřelých incidentů, čekání na pracovní dobu, když k incidentu došlo ve 22:00, čekání na ustálení mediální strategie: žádný z těchto důvodů audit nepřežije. „Bez zbytečného odkladu“ snese ověření, nikoli odklad pro vlastní pohodlí subjektu.

14:00, SOC detekuje šifrovací aktivitu na souborovém serveru

Technická detekce. Ještě ne právní vědomí, pokud SOC vyšetřuje. Subjekt je upozorněn, ale ještě si nevytvořil názor, že incident je významný.

15:30, incident potvrzen jako ransomware, rozsah částečně jasný

Vědomí vzniká nejpozději nyní. Obě lhůty začínají. Vnější mez 24 hodin končí v 15:30 následujícího dne. Povinnost „bez zbytečného odkladu“ se zapojuje okamžitě.

16:45, odesláno prvotní hlášení

75 minut po potvrzení. Obhajitelné „bez zbytečného odkladu“, pokud subjekt využil čas k ověření a k interní eskalaci na určeného pracovníka pro hlášení. Hlášení obsahuje dvě povinné položky podle čl. 23 odst. 4 písm. a): podezření na zlovolnou příčinu a posouzení přeshraničního dopadu. České prvotní hlášení podle § 16 odst. 1 k nim přidává identifikační údaje a základní údaje o incidentu.