Jak ohlásit incident podle NIS 2 do 24 hodin
Čl. 23 NIS 2 stanoví v celé Unii jednu kaskádu: včasné varování do 24 hodin, oznámení incidentu do 72 hodin, průběžná zpráva na vyžádání, závěrečná zpráva do jednoho měsíce. Lhůta běží od zjištění incidentu, ne od jeho začátku. V Česku platí §§ 15 a 16 zákona č. 264/2025 Sb., se závěrečnou zprávou do 30 dnů od oznámení.
Krátká verze
Nastane-li významný incident, dlužíte národnímu týmu CSIRT (v Česku podle režimu NÚKIB, nebo Národnímu CERT) až čtyři zprávy v pevném pořadí. První je splatná do 24 hodin po zjištění incidentu. Rozhoduje zjištění, ne vznik. Jakmile někdo u vás může říct, že jde o víc než běžnou poruchu, lhůta běží.
Čl. 23 odst. 4 NIS 2 jmenuje všechny čtyři stupně. Prováděcí nařízení Komise (EU) 2024/2690 v čl. 3 až 14 upřesňuje pro digitální poskytovatele, kdy je incident významný. V Česku je kaskáda v §§ 15 a 16 zákona č. 264/2025 Sb. a hlásí se přes Portál NÚKIB. V režimu vyšších povinností jde česká úprava dál: prvotní hlášení podáváte u každého incidentu ve stanoveném rozsahu, který má původ v kybernetickém prostoru a u něhož nelze vyloučit úmyslné zavinění.
Stránka prochází nejprve úroveň EU, potom českou úpravu. Kaskáda je v celé Unii stejná. Portál, příjemce hlášení a některé lhůty se liší stát od státu.
Čl. 23 odst. 4 směrnice NIS 2 (2022/2555)
Členské státy zajistí, aby za účelem oznámení podle odstavce 1 dotčené subjekty předložily týmu CSIRT nebo případně příslušnému orgánu: a) bez zbytečného odkladu, nejpozději však do 24 hodin po zjištění významného incidentu, včasné varování, v němž případně uvedou, zda se domnívají, že byl významný incident způsoben nezákonným nebo svévolným zásahem nebo že by mohl mít přeshraniční dopad; b) bez zbytečného odkladu, nejpozději však do 72 hodin po zjištění významného incidentu, oznámení incidentu, v němž případně aktualizují informace uvedené v písmenu a), předloží prvotní posouzení významného incidentu včetně jeho závažnosti a dopadu a – pokud jsou k dispozici – indikátory kompromitace; c) na žádost týmu CSIRT nebo případně příslušného orgánu průběžnou zprávu o podstatných aktualizacích stavu; d) nejpozději do jednoho měsíce od předložení oznámení incidentu podle písmene b) závěrečnou zprávu […]
Čtyři stupně, jedna kaskáda. Znění je závazné pro každý členský stát. Kotva lhůt je na každém kroku stejná: od zjištění, ne od začátku incidentu.
Prováděcí nařízení Komise (EU) 2024/2690, čl. 3 odst. 1
Incident se považuje za významný pro účely čl. 23 odst. 3 směrnice (EU) 2022/2555, pokud jde o příslušné subjekty, je-li splněno jedno nebo více z těchto kritérií: a) incident způsobil nebo může způsobit příslušnému subjektu přímou finanční ztrátu, která přesahuje 500 000 EUR nebo 5 % celkového ročního obratu příslušného subjektu za předchozí účetní období, podle toho, která částka je nižší; b) incident způsobil nebo může způsobit únik obchodního tajemství příslušného subjektu podle čl. 2 bodu 1 směrnice (EU) 2016/943; c) incident způsobil nebo může způsobit úmrtí fyzické osoby; d) incident způsobil nebo může způsobit značnou újmu na zdraví fyzické osoby; e) došlo k úspěšnému podezřelému zlovolnému a neoprávněnému přístupu do sítě a informačních systémů, který může způsobit vážné narušení provozu; f) incident splňuje kritéria stanovená v článku 4; g) incident splňuje jedno nebo více kritérií uvedených v článcích 5 až 14.
Platí jen pro poskytovatele, které nařízení jmenuje: DNS, registry domén nejvyšší úrovně, cloud computing, datová centra, sítě pro doručování obsahu, řízené a řízené bezpečnostní služby, on-line tržiště, internetové vyhledávače, platformy sociálních sítí a služby vytvářející důvěru. Čl. 5 až 14 přidávají prahy pro jednotlivé služby, například služba cloud computingu zcela nedostupná déle než 30 minut. Splní-li incident některé kritérium, otázka významnosti je uzavřena a hlásíte. Pro ostatní firmy v Česku platí § 15 odst. 3 zákona a v režimu nižších povinností práh, který si stanovíte podle vyhlášky č. 410/2025 Sb., § 14.
§ 16 odst. 1 zákona č. 264/2025 Sb. (Česko)
Poskytovatel regulované služby bez zbytečného odkladu, nejpozději do 24 hodin po zjištění kybernetického bezpečnostního incidentu, předloží prvotní hlášení, v němž uvede své identifikační údaje, základní údaje o kybernetickém bezpečnostním incidentu, a zda se domnívá, že byl kybernetický bezpečnostní incident způsoben nezákonným zásahem nebo že by mohl mít přeshraniční dopad.
Česko přebírá kaskádu směrnice se dvěma odchylkami. Závěrečná zpráva je splatná do 30 dnů od oznámení (§ 16 odst. 3 písm. c)). V režimu vyšších povinností podáváte prvotní hlášení u každého incidentu ve stanoveném rozsahu, který má původ v kybernetickém prostoru a u něhož nelze vyloučit úmyslné zavinění; oznámení a závěrečnou zprávu pak tehdy, když vám NÚKIB do 24 hodin sdělí, že incident má významný dopad na kybernetický prostor státu (§ 15 odst. 1, § 16 odst. 2 a 3). V režimu nižších povinností hlásíte Národnímu CERT incidenty s významným dopadem (§ 15 odst. 2). Hlásí se přes Portál NÚKIB (§ 16 odst. 4).
Prvotní hlášení (včasné varování)
Do 24 hodin po zjištění incidentu podejte přes Portál NÚKIB prvotní hlášení; směrnice mu říká včasné varování. Uvedete své identifikační údaje, základní údaje o incidentu, zda se domníváte, že ho způsobil nezákonný zásah, a zda by mohl mít přeshraniční dopad. Hlavní příčinu, rozsah ani původce zatím znát nemusíte. Smyslem je upozornit NÚKIB nebo Národní CERT a zahájit koordinaci.
Oznámení
Jde-li o incident s významným dopadem, podejte do 72 hodin po zjištění oznámení. Aktualizujte údaje z prvotního hlášení. Přidejte prvotní posouzení incidentu a jeho dopad. Přidejte indikátory kompromitace, pokud je máte. Tady se od vás poprvé čeká popis incidentu, ne jen jeho ohlášení. Nejlepší odhad z dílčích údajů je lepší než mlčení.
Závěrečná zpráva (a průběžná na vyžádání)
Mezi oznámením a závěrečnou zprávou si NÚKIB nebo Národní CERT může kdykoli vyžádat průběžnou zprávu o podstatných změnách stavu zvládání incidentu. Závěrečnou zprávu o vyřešení incidentu podáte nejpozději do 30 dnů od předložení oznámení (směrnice: do jednoho měsíce). Obsahuje podrobný popis incidentu, příčinu, přijatá opatření ke zmírnění a případný přeshraniční dopad. Trvá-li incident po uplynutí lhůty, podáte průběžnou zprávu o aktuálním stavu a závěrečnou zprávu do 30 dnů od vyřešení.
Rychlost před úplností, zjištění před vznikem
Zákon žádá prvotní hlášení „bez zbytečného odkladu“ a podrobnosti až v dalších zprávách (§ 16). Pošlete hlášení s tím, co víte teď, a doplňte později. Lhůta běží od zjištění incidentu, ne od chvíle, kdy útok skutečně začal. Pozdní, úplné hlášení povinnost porušuje. Rychlé, dílčí hlášení ji plní.
Ohlašovací cesty mohou běžet souběžně
Jsou-li zasaženy osobní údaje, běží podle čl. 33 GDPR vlastní 72hodinová lhůta vůči Úřadu pro ochranu osobních údajů (ÚOOÚ). Ta je na kaskádě NIS 2 nezávislá. Můžete dlužit obojí současně. Podání jednoho nenahrazuje druhé. Kde platí odvětvový předpis EU se srovnatelným účinkem, typicky ve finančním sektoru nařízení DORA, hlásíte podle něj (§ 70 zákona).
Portál NÚKIB podle §§ 15 a 16 zákona č. 264/2025 Sb.
Hlásíte přes Portál NÚKIB (portal.nukib.gov.cz), s přihlášením přes Identitu občana. V režimu vyšších povinností hlášení míří NÚKIB, v režimu nižších povinností Národnímu CERT. Formulář vás provede celým procesem hlášení. Nelze-li portál použít, pošlete hlášení e-mailem nebo do datové schránky příjemce (§ 16 odst. 4). Nečekejte na forenzní jistotu, pošlete, co máte.
Článek 33 GDPR: běží souběžně
Zahrnuje-li incident osobní údaje, dlužíte zpravidla také ohlášení podle čl. 33 GDPR, pokud možno do 72 hodin po zjištění. To jde Úřadu pro ochranu osobních údajů, ne NÚKIB. 72 hodin je stejné číslo, ale jiná lhůta a jiný adresát. Hlášení přes Portál NÚKIB lhůtu GDPR nezastaví. Sledujte obě.
Koordinace ENISA a sektoroví regulátoři
Čl. 23 odst. 6 NIS 2 umožňuje týmu CSIRT, příslušnému orgánu nebo jednotnému kontaktnímu místu informovat o významném incidentu ostatní dotčené členské státy a agenturu ENISA. Působíte-li přes hranice, čekejte koordinaci, ne zdvojené podávání. Kde platí odvětvový předpis EU se srovnatelným účinkem, typicky ve finančním sektoru nařízení DORA, hlásíte podle něj místo zákona o kybernetické bezpečnosti (§ 70 zákona).
Ohlásíme to, až budeme vědět, co se opravdu stalo.
Než budete vědět, co se opravdu stalo, 24hodinová lhůta skončí a 72hodinová se blíží. Prvotní hlášení hlavní příčinu nevyžaduje (§ 16 odst. 1 zákona, čl. 23 odst. 4 písm. a) NIS 2). Příčina patří do závěrečné zprávy. Čekání na jistotu je spolehlivý způsob, jak zmeškat první lhůtu.
Dokud nepotvrdíme, že je významný, nepodáváme.
Potvrzení významnosti předem není podmínkou. V režimu vyšších povinností podáváte prvotní hlášení i bez významného dopadu; stačí, že incident má původ v kybernetickém prostoru a nelze vyloučit úmyslné zavinění (§ 15 odst. 1). V režimu nižších povinností rozhoduje práh, který jste si stanovili předem (vyhláška č. 410/2025 Sb., § 14). Prvotní hlášení je stavěné právě pro situaci, kdy si ještě nejste jisti. Vynecháte-li ho, zmeškali jste lhůtu, kterou nelze vrátit.
Poslali jsme oznámení, máme hotovo.
Oznámení je jeden ze čtyř stupňů, ne poslední. Průběžnou zprávu si NÚKIB nebo Národní CERT může vyžádat kdykoli. Závěrečná zpráva je splatná do 30 dnů od oznámení. Nepředložení prvotního hlášení i nedoplnění údajů podle § 16 odst. 3 je přestupek (§ 59 odst. 1 a 2 písm. h)).
Úterý 07:42: analytik SOC městské teplárenské společnosti v režimu vyšších povinností si všimne, že fakturační aplikace je nedostupná a na třech sdílených složkách se objevují výzvy k výkupnému. V 08:10 vedoucí IT potvrdí šifrování fakturační databáze. To je okamžik zjištění. Lhůta 24 hodin i lhůta 72 hodin běží od úterý 08:10; lhůta 30 dnů pro závěrečnou zprávu běží od předložení oznámení.
Do úterý 14:00 firma podá přes Portál NÚKIB prvotní hlášení: podezření na ransomware, předpokládaný nezákonný zásah, přeshraniční dopad nejasný (osmnáct hodin před koncem lhůty). Ještě v úterý NÚKIB sdělí, že incident má významný dopad na kybernetický prostor státu. Do pátku 06:00 firma podá oznámení s prvotním posouzením a indikátory kompromitace z logů EDR. Osmnáctý den si NÚKIB vyžádá průběžnou zprávu o postupu obnovy; firma ji podá. Dvacátý devátý den podá závěrečnou zprávu s potvrzenou příčinou, přijatými opatřeními a shrnutím poučení. Čtyři zprávy, jedna kotva lhůt: úterý 08:10.
- Směrnice (EU) 2022/2555 (NIS 2), čl. 23 odst. 3, 4 a 6: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Prováděcí nařízení Komise (EU) 2024/2690, čl. 3 až 14: https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, §§ 15 až 17 a § 70: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_15
- Portál NÚKIB: https://portal.nukib.gov.cz
- NÚKIB, podpůrný materiál Hlášení kybernetických bezpečnostních incidentů: https://portal.nukib.gov.cz/informacni-servis/podpurne-materialy/68f623fab8929270020d7f68
- Nařízení (EU) 2016/679 (GDPR), čl. 33: https://eur-lex.europa.eu/eli/reg/2016/679/oj
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Řešení incidentů
Vědět, jak nahlásit incident
Až tři hlášení s pevnými lhůtami, přes Portál NÚKIB.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
