Odpovědnost vedení podle NIS 2: co české právo vyžaduje od vedení

Na koho se povinnosti vztahují

Povinnosti vrcholného vedení platí pro každého poskytovatele regulované služby, v režimu vyšších i nižších povinností. Tak zákon č. 264/2025 Sb. nazývá firmy, na které se NIS 2 vztahuje.

Vrcholným vedením je statutární orgán nebo jiná osoba či skupina osob v obdobném řídícím postavení. Ve společnosti s ručením omezeným jsou to jednatelé, v akciové společnosti zpravidla představenstvo.

vyhláška č. 410/2025 Sb., § 4 · vyhláška č. 409/2025 Sb., § 4 odst. 1

Jak funguje odpovědnost

Pokud vedení poruší své povinnosti a způsobí společnosti škodu, odpovídá za ni vlastní společnosti. Říká se tomu vnitřní odpovědnost: nárok má společnost, ne úřad ani zákazník.

Měřítkem je péče řádného hospodáře: funkci vykonáváte s nezbytnou loajalitou i s potřebnými znalostmi a pečlivostí (§ 159 odst. 1 občanského zákoníku). Pečlivě jedná, kdo mohl při podnikatelském rozhodování v dobré víře rozumně předpokládat, že jedná informovaně a v obhajitelném zájmu společnosti (§ 51 odst. 1 zákona o obchodních korporacích). V soudním sporu nese důkazní břemeno člen orgánu (§ 52 odst. 2). K ujednáním společnosti, která jeho odpovědnost omezují, se nepřihlíží (§ 53 odst. 2).

Zda nárok vznikne a v jaké výši, závisí na konkrétním případu. Nenahradí-li člen orgánu škodu, kterou byl povinen nahradit, ručí věřitelům společnosti za její dluh v tomto rozsahu, pokud se na společnosti nemohou domoci plnění (§ 159 odst. 3 občanského zákoníku).

§ 159 občanského zákoníku · §§ 51 až 53 zákona o obchodních korporacích

Co může udělat úřad

Pokuty ukládá NÚKIB poskytovateli, ne vedení (§ 59, § 62 odst. 1 zákona). Za nezavedení opatření nebo nesplnění povinnosti hlásit incidenty je horní hranice 250 milionů Kč nebo 2 % čistého celosvětového ročního obratu v režimu vyšších povinností a 175 milionů Kč nebo 1,4 % v režimu nižších povinností. Jde o maximální částky.

U poskytovatele v režimu vyšších povinností může NÚKIB členovi statutárního orgánu zakázat výkon funkce. Podmínkou je, že poskytovatel neplní rozhodnutí NÚKIB o odstranění zjištěných nedostatků a člen orgánu v přímé souvislosti s tím opakovaně nebo závažně porušil své povinnosti. Zákaz trvá do odstranění nedostatků, nejméně 6 měsíců, a zapisuje se do obchodního rejstříku. V režimu nižších povinností zákon tuto možnost nemá.

§ 56, § 58 a § 59 odst. 4 zákona č. 264/2025 Sb. · čl. 32 odst. 5 NIS 2

Co může vedení předat

Předat může práci: IT, osobě pověřené kybernetickou bezpečností nebo poskytovateli služeb. Zajištění zdrojů a seznamování se se stavem opatření zůstává na vedení; vyhlášky se obracejí přímo na vrcholné vedení.

Na školení za vedení nemůže jít nikdo jiný. Školení absolvuje vrcholné vedení samo.

Co to znamená pro firmu s 50 až 150 zaměstnanci

Vedení zde často tvoří jedna nebo dvě osoby. Nemusí opatření zavádět vlastníma rukama. Musí vědět, co bylo rozhodnuto, a kontrolovat, že se to děje.

Zaznamenávejte tři věci: kdy se vedení seznámilo se stavem opatření a co rozhodlo, které dokumenty schválilo a kdy, a poslední školení každého člena.

Firma musí zavádění opatření tak jako tak dokumentovat, v režimu nižších povinností přehledem bezpečnostních opatření uchovávaným alespoň 4 roky. Tytéž záznamy ukazují, že vedení své povinnosti splnilo.

vyhláška č. 410/2025 Sb., § 3 odst. 2 · vyhláška č. 409/2025 Sb., § 3