Osobní odpovědnost řídícího orgánu podle NIS 2
Čl. 20 směrnice NIS 2 přiřazuje řídícímu orgánu tři povinnosti: schválit opatření k řízení kybernetických bezpečnostních rizik, dohlížet na jejich uplatňování a absolvovat školení. Porušení těchto povinností mění v osobní nárok vůči jednotlivci národní právo, v Česku péče řádného hospodáře.
Co článek 20 vlastně říká
Čl. 20 směrnice (EU) 2022/2555 klade povinnost kybernetické bezpečnosti na řídící orgán každého základního a důležitého subjektu. Řídící orgán musí schválit opatření k řízení rizik vyžadovaná čl. 21, dohlížet na jejich uplatňování a může nést odpovědnost, poruší-li subjekt čl. 21.
Čl. 20 odst. 2 přidává samostatnou povinnost: členové řídícího orgánu musí absolvovat školení, aby získali dostatečné znalosti k identifikaci rizik a posouzení postupů řízení kybernetických bezpečnostních rizik. Směrnice zároveň vybízí k podobnému školení zaměstnanců.
Směrnice je ukládá řídícímu orgánu, tedy fyzickým osobám. V Česku jsou požadavky na vrcholné vedení jedním z bezpečnostních opatření, která zavádí poskytovatel (§ 13 odst. 2, § 14 odst. 1 písm. a) bod 2 a odst. 2 písm. b) zákona); za jejich nezavedení odpovídá v přestupkovém řízení poskytovatel (§ 59 odst. 1 a 2 písm. f)). NIS 2 sama nezakládá soukromoprávní nárok vůči jednateli, zvyšuje ale standard chování, podle kterého národní právo posuzuje jednání člena orgánu. V Česku je tímto standardem péče řádného hospodáře podle § 159 občanského zákoníku a §§ 51 až 53 zákona o obchodních korporacích.
Směrnice EU
Členské státy zajistí, aby řídící orgány základních a důležitých subjektů schválily opatření k řízení kybernetických bezpečnostních rizik přijatá těmito subjekty za účelem dosažení souladu s článkem 21, dohlížely nad jeho uplatňováním a mohly nést odpovědnost, poruší-li subjekty uvedený článek.
Čl. 20 odst. 1 NIS 2 (směrnice (EU) 2022/2555). Povinnost je přiřazena přímo řídícímu orgánu, ne společnosti jako samostatné právnické osobě.
Prováděcí nařízení EU
Pro účely čl. 21 odst. 2 písm. a) směrnice (EU) 2022/2555 příslušné subjekty zřídí a spravují vhodný rámec řízení rizik, aby identifikovaly a řešily rizika pro bezpečnost sítí a informačních systémů. Příslušné subjekty provedou a zdokumentují posouzení rizik a na základě výsledků vypracují, zavedou a sledují plán ošetření rizik. Výsledky posouzení rizik a zbytková rizika přijímají řídící orgány nebo v příslušných případech osoby, které jsou odpovědné a mají pravomoc řídit rizika, za předpokladu, že příslušné subjekty zajistí odpovídající podávání zpráv řídícím orgánům.
Prováděcí nařízení Komise (EU) 2024/2690, příloha, bod 2.1.1. Nařízení zavazuje úzkou skupinu poskytovatelů digitální infrastruktury a digitálních služeb uvedených v čl. 1; český zákon na ně odkazuje v § 18. Pro ostatní odvětví je měřítkem kvality, ne závazným standardem.
Národní úprava (Česko)
Vrcholné vedení se prokazatelně seznamuje a) se zprávou o přezkoumání systému řízení bezpečnosti informací, b) se zprávou o hodnocení rizik, c) s plánem zvládání rizik, d) s výsledky analýzy dopadů a e) s výsledky auditů kybernetické bezpečnosti a kontrol v oblasti kybernetické bezpečnosti.
Vyhláška č. 409/2025 Sb., § 4 odst. 2 (režim vyšších povinností). V režimu nižších povinností se vrcholné vedení prokazatelně seznamuje se stavem plnění opatření v přehledu bezpečnostních opatření (vyhláška č. 410/2025 Sb., § 4 písm. d)). Obě vyhlášky ukládají vedení i školení. Osobní odpovědnost v nich ani v zákoně č. 264/2025 Sb. není; plyne z obecného práva právnických osob a obchodních korporací.
Schválit, dohlížet, školit
Čl. 20 odst. 1 vyžaduje, aby řídící orgán schválil opatření podle čl. 21 a dohlížel na jejich uplatňování. Čl. 20 odst. 2 vyžaduje školení. Obě povinnosti se váží k jednotlivým členům řídícího orgánu.
Česká úprava
Vyhlášky ukládají vrcholnému vedení zajistit zdroje, prokazatelně se seznamovat se stavem opatření a absolvovat školení; slovo schválení nepoužívají. Výši náhrady škody neurčují, vymezují standard chování. Pokuty podle § 59 zákona č. 264/2025 Sb. míří na poskytovatele, ne na jednatele. Proti členovi statutárního orgánu míří jen dočasný zákaz výkonu funkce v režimu vyšších povinností (§ 58).
Péče řádného hospodáře jako most k odpovědnosti
§ 159 odst. 1 občanského zákoníku vyžaduje, aby člen voleného orgánu vykonával funkci s nezbytnou loajalitou i s potřebnými znalostmi a pečlivostí. Zákon o obchodních korporacích dodává pravidlo podnikatelského úsudku (§ 51 odst. 1), měřítko jiné rozumně pečlivé osoby (§ 52 odst. 1) a důkazní břemeno na straně člena orgánu (§ 52 odst. 2). Nesplnění povinností podle čl. 20 a vyhlášek může v takovém sporu sloužit jako důkaz, že péče řádného hospodáře byla porušena.
Osobní odpovědnost běží vůči společnosti, ne vůči třetím stranám
Nárok na náhradu škody z porušení péče řádného hospodáře je nárokem společnosti vůči jejímu vlastnímu členovi orgánu. Uplatní se, když ho společnost začne vymáhat, například na popud společníků, insolvenčního správce nebo nového vedení. NIS 2 nezakládá přímý nárok úřadu ani třetích osob vůči jednotlivci; zakládá porušení, ze kterého nárok vychází. Nenahradí-li člen orgánu škodu, kterou byl povinen nahradit, může ručit věřitelům společnosti (§ 159 odst. 3 občanského zákoníku).
Péče řádného hospodáře se měří praxí v oboru
Soud přihlíží k péči, kterou by v obdobné situaci vynaložila jiná rozumně pečlivá osoba v postavení člena obdobného orgánu (§ 52 odst. 1 zákona o obchodních korporacích). NIS 2, prováděcí nařízení a české vyhlášky nyní vymezují část tohoto měřítka pro kybernetickou bezpečnost. Vedení, které opatření ignoruje, jde proti standardu, který je teď zapsán v předpisech.
NÚKIB
NÚKIB stanoví povinnosti vedení ve vyhláškách č. 409/2025 Sb. a č. 410/2025 Sb. (§ 4) a ve svém FAQ připomíná, že z hlediska odpovědnosti za plnění zákonných povinností je každá organizace samostatným subjektem. Pro školení vedení nabízí vlastní online kurzy a jejich certifikát uznává jako doklad o splnění požadavků na poučení vrcholného vedení.
Zákon o obchodních korporacích
Zákon o obchodních korporacích převádí péči řádného hospodáře do měřitelných pravidel: pečlivě jedná, kdo mohl při podnikatelském rozhodování v dobré víře rozumně předpokládat, že jedná informovaně a v obhajitelném zájmu společnosti (§ 51 odst. 1); v soudním sporu musí člen orgánu svou péči prokázat sám (§ 52 odst. 2). NIS 2 a vyhlášky upřesňují, co znamená jednat informovaně v kybernetické bezpečnosti.
Technical Implementation Guidance agentury ENISA
Agentura Evropské unie pro kybernetickou bezpečnost (ENISA) zveřejňuje Technical Implementation Guidance k opatřením podle čl. 21 NIS 2 a mapuje je na ISO 27001, NIST CSF 2.0, ETSI 319 401 a CEN/TS 18026. Pokyny jsou nezávazné, auditoři je ale berou jako referenční text pro stav techniky.
Kybernetickou bezpečnost jsme delegovali na manažera kybernetické bezpečnosti, takže vedení je z obliga.
Čl. 20 odst. 1 klade povinnost schválení a dohledu na samotný řídící orgán a české vyhlášky ukládají povinnosti přímo vrcholnému vedení. Provedení lze delegovat, povinnosti vedení ne. Člen voleného orgánu vykonává funkci osobně (§ 159 odst. 2 občanského zákoníku).
Když jednatel není technik, povinnost se na něj osobně vztahovat nemůže.
Čl. 20 odst. 2 vyžaduje, aby členové řídícího orgánu absolvovali školení, které jim dá dostatečné znalosti k posouzení postupů řízení rizik. A podle § 159 odst. 1 občanského zákoníku se o tom, kdo péče řádného hospodáře není schopen, ač to musel zjistit, a nevyvodí z toho důsledky, má za to, že jedná nedbale. Nedostatek odbornosti tedy obranou není.
Pojištění D&O kryje jakoukoli odpovědnost podle NIS 2.
Pojistky D&O obvykle kryjí nároky společnosti vůči členovi orgánu z porušení péče řádného hospodáře, tedy místo, kam porušení čl. 20 dopadá. Pojistky běžně vylučují pokuty (například pokuty podle § 59 zákona č. 264/2025 Sb., které míří na poskytovatele), úmyslné jednání a vědomá porušení. Výluky, spoluúčast a spouštěče krytí se liší pojistka od pojistky; zde je popisujeme, nepředjímáme je.
V praxi povinnost podle čl. 20 vytváří tři záznamy. Písemné schválení opatření podle čl. 21 řídícím orgánem, nebo aspoň doklad, že se s nimi prokazatelně seznámil. Záznam o dohledu, který ukazuje, že vedení dostávalo zprávy o stavu a reagovalo. Záznam o školení každého člena vedení.
NÚKIB při kontrole, auditoři, pojistitelé a v nepříznivém scénáři nové vedení nebo insolvenční správce budou tyto tři záznamy hledat. Bez nich se povinnost podle čl. 20 snadno stane podkladem nároku z porušení péče řádného hospodáře, vznikne-li společnosti škoda.
- Směrnice (EU) 2022/2555 (NIS 2), čl. 20 a 21: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Prováděcí nařízení Komise (EU) 2024/2690, příloha, bod 2.1.1: https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 58 (zákaz výkonu funkce) a § 59 (přestupky): https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_58
- Zákon č. 89/2012 Sb., občanský zákoník, § 159 (péče řádného hospodáře): https://e-sbirka.gov.cz/sb/2012/89/2026-01-01#par_159
- Zákon č. 90/2012 Sb., o obchodních korporacích, §§ 51 až 53: https://e-sbirka.gov.cz/sb/2012/90/2024-07-19#par_51
- Vyhláška č. 410/2025 Sb., § 4: https://e-sbirka.gov.cz/sb/2025/410/2025-11-01#par_4; vyhláška č. 409/2025 Sb., § 4: https://e-sbirka.gov.cz/sb/2025/409/2025-11-01#par_4
- ENISA, Technical Implementation Guidance k opatřením řízení rizik podle NIS 2: https://www.enisa.europa.eu
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Řízení a odpovědnost
Zajistit školení vedení
Každý člen vrcholného vedení, vstupně a pak pravidelně.
Posouzení účinnosti
Zapište přezkoumání vedením
Vedení kontroluje, zda opatření fungují, a schvaluje vaše dokumenty.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
