Kybernetické pojištění podle NIS 2
Pojištění může vyplácet nároky. Neprovádí technická a organizační opatření, která vyžaduje článek 21 NIS 2.
Přehled
Kybernetické pojištění a NIS 2 sedí na různých vrstvách. Kybernetická pojistka je soukromá smlouva mezi subjektem a pojistitelem, která po incidentu vyplácí definované náklady. NIS 2 je veřejné právo: článek 21 stanoví technická a organizační opatření, která musí základní a důležité subjekty zavést, článek 23 stanoví povinnost hlásit incidenty, článek 3 odst. 4 stanoví registrační povinnost. V Česku tyto povinnosti nese poskytovatel regulované služby podle zákona č. 264/2025 Sb. Žádná z nich nepřechází na pojistitele, když se pojistka podepíše.
Česká úprava to říká přímo. Poskytovatel regulované služby je povinen zavádět a provádět bezpečnostní opatření (§ 13 odst. 2 zákona č. 264/2025 Sb.). Vyhláška č. 409/2025 Sb. uvádí přenesení nebo sdílení rizika mezi metodami zvládání rizik, u rizika nad hranicí akceptovatelnosti ale žádá implementovat vhodná bezpečnostní opatření, snížit hodnotu rizika nebo riziko eliminovat (příloha č. 4 odst. 6). Článek 21 odst. 1 NIS 2 vyžaduje vhodná a přiměřená opatření s ohledem na stav techniky a náklady na provádění. Podepsaná pojistka není ani opatřením, ani jeho náhradou.
Praktická otázka pro poskytovatele regulované služby tedy nezní, zda mít kybernetické pojištění, ale jak pojistka souvisí s podkladovými opatřeními. Většina pojistek vyžaduje tato opatření jako předpoklad krytí. Tatáž opatření jsou ta, na která se NÚKIB dívá při kontrole.
Článek 21 odst. 1 NIS 2
Členské státy zajistí, aby základní a důležité subjekty přijaly vhodná a přiměřená technická, provozní a organizační opatření k řízení bezpečnostních rizik, jimž čelí sítě a informační systémy, jež tyto subjekty používají pro svůj provoz nebo poskytování svých služeb, a k předcházení incidentům nebo minimalizaci jejich dopadů na příjemce jejich služeb a na další služby. S ohledem na nejnovější technický vývoj a případně na příslušné evropské a mezinárodní normy a na náklady na provádění musí opatření uvedená v prvním pododstavci zajišťovat úroveň bezpečnosti sítí a informačních systémů odpovídající existující míře rizika.
Zdroj: směrnice (EU) 2022/2555, článek 21 odst. 1. Referenčními body jsou stav techniky, relevantní normy a náklady na implementaci. Pojištění na seznamu není.
CIR 2024/2690, příloha, body 1.1.1 a 2.1.1
Pro účely čl. 21 odst. 2 písm. a) směrnice (EU) 2022/2555 politika bezpečnosti sítí a informačních systémů: a) stanoví přístup příslušných subjektů k řízení bezpečnosti jejich sítí a informačních systémů; […] Pro účely čl. 21 odst. 2 písm. a) směrnice (EU) 2022/2555 příslušné subjekty zřídí a spravují vhodný rámec řízení rizik, aby identifikovaly a řešily rizika pro bezpečnost sítí a informačních systémů.
Zdroj: prováděcí nařízení Komise (EU) 2024/2690, příloha. Podrobné požadavky na řízení rizik pro subjekty digitální infrastruktury jsou rámovány kolem rámce řízení rizik s opatřeními, ne kolem finančního přenosu rizika.
§ 13 odst. 2 zákona č. 264/2025 Sb. a vyhláška č. 409/2025 Sb., příloha č. 4 odst. 6 (Česko)
Poskytovatel regulované služby je povinen v rámci stanoveného rozsahu zavádět a provádět bezpečnostní opatření podle § 14 v míře nezbytné pro zajištění kybernetické bezpečnosti regulované služby. […] Pokud je hodnota rizika vyšší než hranice akceptovatelnosti, je třeba implementovat vhodná bezpečnostní opatření, snížit hodnotu rizika nebo eliminovat riziko a zajistit požadovanou úroveň bezpečnosti informací
Zdroj: § 13 odst. 2 zákona a příloha č. 4 odst. 6 vyhlášky č. 409/2025 Sb. (režim vyšších povinností). Povinnost zavádět opatření nese poskytovatel sám. Vyhláška uvádí přenesení nebo sdílení rizika jako jednu z metod zvládání rizik, u rizika nad hranicí akceptovatelnosti ale žádá opatření, snížení nebo eliminaci. Vyhláška č. 410/2025 Sb. pro režim nižších povinností metodu zvládání rizik nepředepisuje. Pojištění není v zákoně ani ve vyhláškách jmenováno jako prostředek splnění povinnosti.
Náklady na incident a odpovědnost vůči třetím stranám
Mezi běžné hlavičky krytí patří náklady na reakci na incident (forenzika, právní služby, komunikace), ztráty z přerušení provozu vázané na krytou kybernetickou událost, náklady na obnovu dat a odpovědnost vůči třetím stranám za nároky zákazníků nebo subjektů údajů. Některé pojistky se rozšiřují na platby výkupného v jurisdikcích, kde je to zákonné, s výhradou prověření vůči sankcím.
Pokuty, předchozí vědomost, válka a infrastruktura
Regulační pokuty jsou v několika jurisdikcích EU z důvodů veřejného pořádku nepojistitelné. Mezi běžné výluky také patří známé nenapravené zranitelnosti, nezáplatované systémy pod smluvně dohodnutými úrovněmi, válečné akty a státem podporované útoky (znění trhu Lloyd’s je v zásadě přijato) a výpadky veřejné infrastruktury mimo kontrolu subjektu.
Předpoklady a záruky
Většina kybernetických upisovatelů vyžaduje, aby pojištěný subjekt udržoval definované minimum: vícefaktorové ověřování, zálohování, záplatování, osvětové školení, plán reakce na incident. Toto jsou tytéž položky pokryté článkem 21 odst. 2 NIS 2 a CIR. Pojistka může zaniknout nebo vyplácet snížené částky, pokud opatření v zárukách nebyla v okamžiku škody zavedena.
Povinnost podle článku 21 není přenositelná
Článek 21 se obrací na subjekt. Opatření, dokumentace a dohled vedení podle článku 20 zůstávají uvnitř subjektu. Pojistná smlouva je finanční ujednání po události; nepřemísťuje zákonnou povinnost jednat před událostí. V Česku tuto povinnost nese poskytovatel regulované služby (§ 13 odst. 2 zákona č. 264/2025 Sb.) a požadavky na vrcholné vedení stanoví § 4 vyhlášek č. 409/2025 Sb. a 410/2025 Sb.
O opatřeních rozhoduje přiměřenost, ne pojistné
Článek 21 odst. 1 jmenuje tři referenční body: stav techniky, relevantní normy a náklady na provádění. Test přiměřenosti se uplatňuje na samotná technická a organizační opatření. V Česku zákon mluví o opatřeních „v míře nezbytné“ (§ 13 odst. 2) a o nákladech nemluví. Vyšší pojistné posouzení přiměřenosti neposouvá; poskytovatel stále musí prokázat, že opatření odpovídají rizikům, která subjekt skutečně nese.
NÚKIB a vyhláška č. 409/2025 Sb.
Ve FAQ k novému zákonu o kybernetické bezpečnosti se NÚKIB k pojištění nevyjadřuje (stav k říjnu 2026). Rozhoduje text: poskytovatel zavádí a provádí bezpečnostní opatření sám (§ 13 odst. 2 zákona č. 264/2025 Sb.) a vyhláška pro vyšší režim připouští přenesení nebo sdílení rizika jen jako jednu z metod zvládání rizik, u rizika nad hranicí akceptovatelnosti žádá opatření (příloha č. 4 odst. 6). Od subjektu se očekává, že opatření zavede, ne že je obejde platbou.
ENISA
Technické implementační pokyny ENISA k NIS 2 jsou postaveny kolem opatření uvedených v článku 21 odst. 2 a příloze CIR. Zveřejněné pokyny agentury nepovažují kybernetické pojištění za jedno z opatření; objevuje se, pokud vůbec, jako součást širších možností subjektu pro zacházení s riziky v rámci rámce řízení rizik.
GDV. Gesamtverband der Deutschen Versicherungswirtschaft
Německý pojišťovací svaz vydává oborová vzorová znění pro kybernetické krytí (AVB Cyber) a průzkumy trhu. Veřejné materiály svazu popisují kybernetické pojištění jako jeden prvek širšího přístupu k řízení rizik a poukazují na minimum technických opatření jako obvyklý předpoklad upisování.
Mýtus: Kybernetická pojistka přenáší povinnost podle NIS 2 na pojistitele.
Povinnosti podle článků 20, 21, 23 a 27 NIS 2 se obracejí na subjekt. Pojistitel je protistranou v soukromé smlouvě, ne regulovaným subjektem, který by vstoupil do povinností provozovatele. V Česku nese povinnost zavádět bezpečnostní opatření poskytovatel regulované služby (§ 13 odst. 2 zákona č. 264/2025 Sb.).
Mýtus: Regulační pokuty pojistka kryje.
Pokuty za přestupky podle § 59 a § 60 zákona č. 264/2025 Sb. (česká transpozice správních pokut podle článků 34 a 36 NIS 2) se napříč jurisdikcemi EU obecně považují za nepojistitelné z důvodů veřejného pořádku. Standardní znění je vylučují. Náklady na obhajobu jsou samostatná otázka a často jsou kryty s výhradou limitů.
Mýtus: Pojistné je zaplaceno, takže výplata je automatická.
Kybernetické upisování je podmíněno prohlášeními v zárukách o opatřeních subjektu. Pokud opatření v zárukách (vícefaktorové ověřování, úrovně záplatování, režim zálohování, plán reakce na incident) nebyla v okamžiku škody zavedena, může pojistitel výplatu snížit nebo odmítnout. Tato opatření v zárukách sledují opatření podle článku 21 odst. 2 NIS 2.
Makléři a risk manažeři běžně popisují kybernetické pojištění jako vrstvu navrch fungujícího bezpečnostního programu, ne jako jeho náhradu. Pořadí, které popisují, je: nejprve implementovat opatření podle článku 21, zdokumentovat je, pak oslovit trh. Upisovatelé žádají stejnou dokumentaci, jakou žádá audit NIS 2. Inventář aktiv, registr dodavatelů, minimum záplatování, výsledky testů záloh, plán reakce na incident, záznamy z osvětového školení.
Z pohledu NIS 2 je tedy relevantní otázka pro provozovatele praktická. Má subjekt důkaz o opatřeních podle článku 21 odst. 2? Jsou smluvní záruky v kybernetické pojistce v souladu se skutečnou úrovní provozovatele? Pokud se ty dvě věci rozcházejí, mezera se ukáže dvakrát: jednou u dozorového orgánu při auditu NIS 2, jednou u pojistitele při nároku.
- Směrnice (EU) 2022/2555 (NIS 2), článek 21. https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Prováděcí nařízení Komise (EU) 2024/2690, příloha. https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 13 odst. 2, § 59 a § 60: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_13
- Vyhláška č. 409/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností, příloha č. 4 (hodnocení rizik): https://e-sbirka.gov.cz/sb/2025/409/2025-11-01
- ENISA. Technické pokyny k provádění NIS 2 (Technical Implementation Guidance): https://www.enisa.europa.eu/publications
- GDV (německý pojišťovací svaz). Cyber-Versicherung und unverbindliche Musterbedingungen (AVB Cyber): https://www.gdv.de/
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
