Dodavatelský řetězec NIS 2: základy
Čl. 21 odst. 2 písm. d) NIS 2 vyžaduje, aby regulované firmy přijaly opatření k zabezpečení dodavatelského řetězce, včetně bezpečnostních aspektů vztahů s přímými dodavateli a poskytovateli služeb. V Česku k tomu zákon č. 264/2025 Sb. přidává povinnost dávat požadavky bezpečnostních opatření do smluv s dodavateli (§ 13 odst. 5). Tato stránka pokrývá základy: co pravidlo říká, koho se dotkne, co mohou vaši zákazníci požadovat a jak dodavatelé prokáží kybernetickou bezpečnost, aniž by se sami stali regulovaným subjektem.
Proč se NIS2 týká i malých dodavatelů
NIS 2 (čl. 21 odst. 2 písm. d)) ukládá každému základnímu a důležitému subjektu přijmout opatření k zabezpečení dodavatelského řetězce, včetně bezpečnostních aspektů vztahů s přímými dodavateli a poskytovateli služeb. Při volbě těchto opatření musí zohlednit specifické zranitelnosti každého přímého dodavatele a celkovou kvalitu produktů a bezpečnostních postupů svých dodavatelů (čl. 21 odst. 3). V Česku je smlouva povinná: když poskytovatel regulované služby zavádí nebo provádí bezpečnostní opatření prostřednictvím dodavatele, musí dodavatele vybírat podle požadavků opatření a tyto požadavky zahrnout do smlouvy (§ 13 odst. 5 zákona č. 264/2025 Sb.). Co mají smlouvy obsahovat, vyjmenovává příloha č. 2 vyhlášky č. 410/2025 Sb. (nižší režim, § 3 odst. 5) a pro významné dodavatele příloha č. 5 vyhlášky č. 409/2025 Sb. (vyšší režim, § 9).
Pokud má vaše firma méně než 50 zaměstnanců a její roční obrat a bilanční suma nejsou obě nad 10 mil. EUR, zpravidla nejste přímo regulováni NIS2. V Česku platí stejná hranice: regulovaná je služba poskytovatele, který je středním nebo velkým podnikem podle doporučení Komise 2003/361/ES (§ 4 odst. 1 písm. b) zákona č. 264/2025 Sb.). Některé služby jsou regulované bez ohledu na velikost: když je poskytovatel významný podle vyhlášky č. 408/2025 Sb., nebo podle § 5 zákona, například jako subjekt kritické infrastruktury. Pokud poskytujete IT služby, software, komponenty, logistiku nebo jinou službu regulované firmě, mohou na vás požadavky NIS2 dolehnout prostřednictvím vašich smluv.
§ 13 odst. 5 zákona č. 264/2025 Sb.: dodavatelé a smlouvy
Pokud poskytovatel regulované služby „zavádí nebo provádí bezpečnostní opatření prostřednictvím dodavatele“, je povinen „vybírat svého dodavatele v souladu s požadavky vyplývajícími z bezpečnostního opatření a zahrnovat požadavky vyplývající z bezpečnostního opatření do smluv s dodavatelem“ (§ 13 odst. 5 zákona č. 264/2025 Sb., provádí čl. 21 odst. 2 písm. d) NIS 2). Povinnost zůstává na regulovaném subjektu; dodavatel, který sám regulovaný není, přebírá povinnosti hlavně tím, co s tímto zákazníkem sjedná. Na výzvu NÚKIB ale musí každý poskytnout nezbytné informace a součinnost při zvládání incidentu (§ 17 odst. 3).
Smluvní požadavky
Firmy regulované podle zákona č. 264/2025 Sb. musí požadavky bezpečnostních opatření zahrnout do smluv s dodavateli (§ 13 odst. 5). Vyhlášky vyjmenovávají, co mají smlouvy podle potřeby obsahovat: příloha č. 2 vyhlášky č. 410/2025 Sb. 14 druhů ustanovení, příloha č. 5 vyhlášky č. 409/2025 Sb. 18 druhů, mimo jiné o incidentech, auditu dodavatele, řetězení dodavatelů, exit strategii a sankcích. Takové doložky očekávejte u příští smlouvy nebo jejího prodloužení.
Audity a dotazníky pro dodavatele
Vaši zákazníci mohou posílat bezpečnostní dotazníky a mohou provádět audity. Odpovědi, které už máte zapsané, se dávají rychle.
Ohlašovací povinnosti při incidentech
Pokud bezpečnostní incident ve vaší firmě zasáhne regulovanou službu zákazníka, může ho zákazník muset hlásit: ve vyšším režimu NÚKIB, v nižším režimu Národnímu CERT (tam jen incidenty s významným dopadem). Hlásí se přes Portál NÚKIB: prvotní hlášení nejpozději do 24 hodin od zjištění, u incidentů s významným dopadem oznámení do 72 hodin a závěrečná zpráva do 30 dnů od oznámení (§§ 15 a 16 zákona č. 264/2025 Sb.). Aby tyto lhůty dodržel, musí se od vás dozvědět rychle.
Konkurenční výhoda
Když si regulovaná firma vybírá mezi dvěma dodavateli a jeden dokáže prokázat bezpečnost v souladu s NIS2, zatímco druhý ne: volba je jasná. Soulad se stává prodejním rozlišovacím prvkem.
Posouzení rizik
Identifikujte a zdokumentujte rizika systémů, které používáte pro práci pro zákazníka. Nemusí to být složité: stačí strukturovaný seznam s plány opatření.
Řízení přístupu
Kdo má přístup k datům a systémům zákazníka? Přístup podle rolí, MFA pro vzdálený přístup a doložená správa uživatelů.
Zvládání incidentů
Doložený proces pro detekci bezpečnostních incidentů, reakci na ně a jejich hlášení. Žádný zákon nestanoví dodavateli lhůtu; stanoví ji to, co sjednáte se zákazníkem, a vlastní lhůta zákazníka začíná na 24 hodinách.
Kontinuita provozu
Co se stane, když vaše systémy selžou? Strategie zálohování, postupy obnovy a otestované plány, jak pokračovat v dodávkách vašim zákazníkům.
Zásady a důkazy
Písemné bezpečnostní zásady, záznamy o školeních a auditní stopa dokazující, že dodržujete vlastní pravidla. Právě to auditoři skutečně kontrolují.
Zkontrolujte svou expozici
Použijte naši bezplatnou kontrolu působnosti k potvrzení svého statusu NIS2. I když nespadáte přímo do působnosti, zjistěte, kteří z vašich zákazníků jsou regulováni NIS2: ty smlouvy přijdou s novými požadavky.
Proveďte gap analýzu
Porovnejte své stávající bezpečnostní postupy s deseti opatřeními čl. 21 odst. 2 NIS 2, v Česku rozepsanými v § 14 zákona č. 264/2025 Sb. Většina malých firem už něco z toho neformálně dělá: mezera je obvykle v dokumentaci, ne v praxi.
Zaveďte základy
Začněte s položkami s největším dopadem: řízení přístupu, strategie zálohování, proces reakce na incidenty. Platforma nisd2.eu vás provede každým požadavkem s předpřipravenými šablonami.
Sestavte svůj balíček důkazů
Když vám zákazník pošle bezpečnostní dotazník, potřebujete mít odpovědi připravené. Zásady, záznamy o školeních, posouzení rizik a technická opatření: vše doložené a exportovatelné.
Přezkoumejte každý rok
Soulad s NIS2 není jednorázový projekt. Naplánujte si roční přezkum svých rizik, aktualizujte své zásady a obnovte školení zaměstnanců.
Časté dotazy
Jsem jako malý dodavatel právně povinen dodržovat NIS2?▾
Ne přímo: NIS2 platí pro firmy nad prahem středního podniku EU (50 a více zaměstnanců NEBO (obrat nad 10 mil. EUR A bilanční suma nad 10 mil. EUR), podle doporučení Komise 2003/361/ES) v regulovaném odvětví; v Česku podle § 4 odst. 1 zákona č. 264/2025 Sb. Některé služby jsou regulované bez ohledu na velikost (§ 4 odst. 1 písm. b) a § 5 zákona, vyhláška č. 408/2025 Sb.). Vaši regulovaní zákazníci ale musí, pokud přes vás zavádějí nebo provádějí bezpečnostní opatření, dát jeho požadavky do smlouvy s vámi (§ 13 odst. 5 zákona, provádí čl. 21 odst. 2 písm. d) NIS 2). Za nesplnění povinností zákazníka vám NÚKIB pokutu neuloží, ale můžete přijít o zakázky. Jako kdokoli jiný však musíte na výzvu NÚKIB poskytnout informace a součinnost při zvládání incidentu (§ 17 odst. 3); kdo to neudělá, dopouští se přestupku (§ 60 odst. 1 písm. b)).
Co se stane, když soulad nesplním?▾
Pokud vaši regulovaní zákazníci nevybírají dodavatele podle požadavků bezpečnostních opatření nebo je nezahrnou do smluv (§ 59 odst. 1 písm. g) a odst. 2 písm. g) zákona č. 264/2025 Sb.), hrozí jim v režimu vyšších povinností pokuta až do 250 mil. Kč nebo až do 2 % čistého celosvětového ročního obratu, v režimu nižších povinností až do 175 mil. Kč nebo až do 1,4 %, podle toho, která částka je vyšší (§ 59 odst. 4). Buď budou vyžadovat, abyste soulad splnili, nebo vás nahradí dodavatelem, který to dokáže. Praktickým důsledkem je ztracený obchod, ne pokuta od NÚKIB.
Kolik stojí soulad dodavatele?▾
Pro malou firmu je hlavním nákladem čas. Kolik, závisí na tom, co už máte zavedeno: směrnice žádá opatření přiměřená riziku a velikosti subjektu (čl. 21 odst. 1 NIS 2), český zákon je ukládá „v míře nezbytné“ (§ 13 odst. 2 zákona č. 264/2025 Sb.) a neregulovaný dodavatel dluží jen to, co sjedná se svými zákazníky.
Mohu soulad s NIS2 použít jako prodejní argument?▾
Ano. Když dokážete prokázat bezpečnostní postupy v souladu s NIS2 s doloženými důkazy, usnadníte svému zákazníkovi plnění jeho povinnosti týkající se dodavatelského řetězce.
Co když se můj zákazník zatím nezeptal?▾
Může se zeptat. Regulované firmy měly své služby ohlásit NÚKIB do 60 dnů od splnění podmínek (§ 6 odst. 1 zákona č. 264/2025 Sb.), většina do 31. prosince 2025, a povinnost dávat požadavky do smluv s dodavateli (§ 13 odst. 5) platí v obou režimech. Když požadavku předejdete, bude odpověď snadná, až přijde.
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Bezpečnost dodavatelského řetězce
Sepište, kdo pro vás pracuje
Seznam vašich dodavatelů a poskytovatelů služeb.
Bezpečnost dodavatelského řetězce
Zaznamenejte, co máte s dodavateli sjednáno
U každého dodavatele: co říká smlouva o bezpečnosti?
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
