Smluvní doložky pro dodavatele podle NIS 2
Článek 21 odst. 2 písm. d) NIS 2 ukládá subjektům řešit bezpečnost ve vztazích s přímými dodavateli a poskytovateli služeb. Článek 21 odst. 1 rozhoduje, jak daleko ta povinnost sahá.
Co článek 21 odst. 2 písm. d) vyžaduje
Článek 21 odst. 2 písm. d) NIS 2 uvádí bezpečnost dodavatelského řetězce jako jedno z deseti minimálních opatření řízení rizik kybernetické bezpečnosti. Směrnice je k rozsahu konkrétní: pokrývá bezpečnostní aspekty vztahu mezi subjektem a jeho přímými dodavateli nebo poskytovateli služeb. Nereguluje celý dodavatelský řetězec a nevyžaduje obecnou šablonovou doložku.
Doprovodnou doložkou je článek 21 odst. 1. Všechna opatření podle článku 21 odst. 2, včetně bezpečnosti vztahu s dodavateli, musí být vhodná a přiměřená rizikům, kterým subjekt čelí. Náklady na implementaci, velikost subjektu, pravděpodobnost incidentů a jejich závažnost vstupují do testu přiměřenosti. Stejná smluvní hloubka se neočekává od šedesátičlenné firmy na odpadové hospodářství a od cloudového poskytovatele první úrovně.
Praktická otázka pro subjekt v působnosti tedy není, které doložky zkopírovat ze šablony, ale na kterých bezpečnostních aspektech každého vztahu s dodavatelem záleží, které důkazy subjekt potřebuje k řízení zbytkového rizika a jak zaznamenat, že rizikově založená volba byla učiněna vědomě.
Článek 21 odst. 2 písm. d) NIS 2
bezpečnost dodavatelského řetězce včetně bezpečnostních aspektů týkajících se vztahů mezi každým subjektem a jeho přímými dodavateli nebo poskytovateli služeb
Jedno z deseti minimálních opatření uvedených v článku 21 odst. 2. Povšimněte si záměrného omezení na přímé dodavatele a poskytovatele služeb. Směrnice doložku nerozšiřuje na subdodavatele dalších úrovní. Body odůvodnění 85 a 90 potvrzují, že posouzení je založené na riziku a zohledňuje specifické zranitelnosti každého dodavatele a celkovou kvalitu jeho postupů kybernetické bezpečnosti.
CIR 2024/2690, příloha bod 5.1.1
Pro účely čl. 21 odst. 2 písm. d) směrnice (EU) 2022/2555 příslušné subjekty stanoví, zavedou a uplatňují politiku bezpečnosti dodavatelského řetězce, která upravuje vztahy s jejich přímými dodavateli a poskytovateli služeb s cílem zmírnit zjištěná rizika pro bezpečnost sítí a informačních systémů.
Prováděcí nařízení Komise 2024/2690 upřesňuje opatření pro dodavatelský řetězec pouze pro subjekty digitální infrastruktury (DNS, registry TLD, cloud, datová centra, CDN, řízené a řízené bezpečnostní služby, on-line tržiště, vyhledávače, sociální sítě, poskytovatelé služeb vytvářejících důvěru). Bod 5 přílohy uvádí kritéria výběru, smluvní požadavky, monitorování a zacházení s ukončením. Pro ostatní odvětví platí národní právo, v Česku § 13 odst. 5 zákona č. 264/2025 Sb. a vyhlášky č. 409/2025 Sb. a 410/2025 Sb.
§ 13 odst. 5 zákona č. 264/2025 Sb.
V případě, že poskytovatel regulované služby zavádí nebo provádí bezpečnostní opatření prostřednictvím dodavatele, je povinen vybírat svého dodavatele v souladu s požadavky vyplývajícími z bezpečnostního opatření a zahrnovat požadavky vyplývající z bezpečnostního opatření do smluv s dodavatelem.
Česko převádí článek 21 odst. 2 písm. d) do § 13 odst. 5 zákona a do vyhlášek. V režimu nižších povinností musí smlouvy s dodavatelem do stanoveného rozsahu obsahovat relevantní požadavky z přílohy č. 2 vyhlášky č. 410/2025 Sb. (§ 3 odst. 5), v režimu vyšších povinností smlouvy s významnými dodavateli relevantní ustanovení z přílohy č. 5 vyhlášky č. 409/2025 Sb. (§ 9 odst. 1 písm. f)). Přiměřenost nese § 13 odst. 2 zákona: opatření „v míře nezbytné“.
Kteří dodavatelé jsou v rozsahu
Článek 21 odst. 2 písm. d) cílí na přímé dodavatele a poskytovatele služeb, ne na celý dodavatelský řetězec. Od subjektu se očekává, že určí, kteří dodavatelé zpracovávají, předávají nebo ukládají data, na kterých subjekt závisí, nebo jejichž výpadek by zasáhl jeho regulovanou službu. Dodavatel kancelářských potřeb je mimo rozsah, cloudový hoster zákaznické databáze je v rozsahu. V Česku míří vyhláška č. 410/2025 Sb. na dodavatele do stanoveného rozsahu (§ 3 odst. 5) a vyhláška č. 409/2025 Sb. na významné dodavatele, tedy ty, jejichž plnění je významné z hlediska kybernetické bezpečnosti regulované služby (§ 2 písm. h)). Výběrovým kritériem je riziko, které dodavatel přináší, ne hodnota smlouvy.
Co smluvní vrstva typicky pokrývá
V Česku vyjmenovávají možná smluvní ujednání přílohy vyhlášek: příloha č. 2 vyhlášky č. 410/2025 Sb. má 14 druhů ustanovení, příloha č. 5 vyhlášky č. 409/2025 Sb. jich má 18. Patří k nim bezpečnost informací a mlčenlivost, audit dodavatele, řetězení dodavatelů, exit strategie, kybernetické bezpečnostní incidenty související s plněním smlouvy, kontinuita činností a SLA. Do smlouvy patří ta relevantní, ne všechna. Hloubka se kalibruje podle rizikové třídy dodavatele, neuplatňuje se jednotně.
Jak subjekt dodavatele ověřuje
Směrnice je technologicky a certifikačně neutrální. Důkazem může být dotazník pro dodavatele, uznávaná certifikace jako ISO 27001 nebo SOC 2, nedávná zpráva z penetračního testu nebo smluvní auditní doložka uplatněná výběrově. Vyhláška č. 409/2025 Sb. žádá u významných dodavatelů hodnocení rizik před uzavřením smlouvy a pravidelnou kontrolu zavedených opatření vlastními silami nebo přes třetí stranu (§ 9 odst. 2 písm. a) a c)). Subjekt rozhoduje, která forma je vhodná pro rizikovou třídu každého dodavatele, a toto rozhodnutí dokumentuje.
Přímí dodavatelé, řetězení přes přímou smlouvu
Článek 21 odst. 2 písm. d) jmenuje přímé dodavatele a poskytovatele služeb a směrnice neukládá přenášet smlouvu na každého subdodavatele. Česká úprava jde dál: přílohy vyhlášek počítají s ustanovením o řetězení dodavatelů a v režimu vyšších povinností musí smlouva s významným dodavatelem, je-li toto ustanovení relevantní, zajistit, že se subdodavatelé zaváží dodržovat ujednání mezi vámi a dodavatelem v plném rozsahu (příloha č. 5 písm. e) vyhlášky č. 409/2025 Sb.). Řešíte to přes přímou smlouvu, ne vlastními smlouvami s každým subdodavatelem.
Přiměřená riziku, ne pevný standard
Článek 21 odst. 1 vyžaduje, aby opatření byla vhodná a přiměřená, s ohledem na stav techniky, náklady na provádění, velikost subjektu, míru vystavení rizikům, pravděpodobnost incidentů a jejich závažnost. V Česku zákon mluví o opatřeních „v míře nezbytné“ (§ 13 odst. 2) a vyhlášky žádají jen relevantní ustanovení z příloh. Standardní objednávka nepotřebuje úplnou auditní doložku, pokud je riziko dodavatele nízké. Poskytovatel řízených bezpečnostních služeb si zaslouží hlubší doložku než dodavatel hardwaru. Rozhodnutí se dokumentuje, ne standardizuje.
Vyhlášky č. 409/2025 Sb. a 410/2025 Sb.
Česká úprava je konkrétnější než směrnice. Režim nižších povinností: při uzavírání smlouvy s dodavatelem do stanoveného rozsahu zohlednit hrozby a zranitelnosti dodavatele a kvalitu jeho produktů a postupů a do smlouvy dát relevantní požadavky z přílohy č. 2 (§ 3 odst. 5 vyhlášky č. 410/2025 Sb.). Režim vyšších povinností: identifikovat a evidovat významné dodavatele, prokazatelně je o tom písemně informovat, dát do smluv relevantní ustanovení z přílohy č. 5 a plnění smluv pravidelně přezkoumávat (§ 9 vyhlášky č. 409/2025 Sb.).
ENISA: Threat Landscape for Supply Chain Attacks (přehled hrozeb pro dodavatelský řetězec)
Opakované zprávy ENISA o útocích na dodavatelský řetězec rámují rizikový obraz, na který směrnice reaguje. ENISA nevydává smluvní šablonu. Její práce je zmíněna v bodech odůvodnění směrnice o riziku dodavatelského řetězce a informuje metodiku rizik dodavatelů skupiny pro spolupráci, ale není závazným smluvním standardem.
CIR 2024/2690 příloha oddíl 5
Pro jedenáct typů subjektů digitální infrastruktury v působnosti CIR 2024/2690 stanoví bod 5 přílohy konkrétnější specifikaci politiky dodavatelů: kritéria výběru, smluvní požadavky, monitorování po celý životní cyklus smlouvy, podmínky ukončení. V Česku se tito poskytovatelé řídí CIR přímo (§ 18 zákona č. 264/2025 Sb.). Pro všechna ostatní odvětví zůstává CIR užitečnou orientací, ale rozhodují vyhlášky č. 409/2025 Sb. a 410/2025 Sb.
Jediný dodatek k dodavatelské smlouvě, podepsaný všemi, uzavírá článek 21 odst. 2 písm. d).
Směrnice ukládá subjektům řešit bezpečnostní aspekty vztahu, což článek 21 odst. 1 váže na test přiměřenosti pro každého dodavatele. Jediný dodatek uplatněný jednotně odporuje přiměřenosti a vytváří buď přesmluvněné malé dodavatele, nebo podsmluvněné kritické poskytovatele. České přílohy vyhlášek také žádají jen relevantní ustanovení, ne všechna. Obhajitelným artefaktem je politika rizik dodavatelů plus riziková klasifikace pro každého dodavatele, se smluvními doložkami odvozenými z této klasifikace.
Certifikace ISO 27001 na straně dodavatele nahrazuje všechna práva na audit a důkaz.
Uznávaná certifikace je přijatelným důkazem pro mnoho rizikových tříd dodavatelů, ale článek 21 odst. 2 písm. d) ISO 27001 nejmenuje a nepřenáší povinnost na certifikační orgán. Subjekt zůstává odpovědný za vztah podle § 13 odst. 5 zákona č. 264/2025 Sb. Kde je riziko dodavatele vysoké nebo rozsah certifikace vylučuje odebíranou službu, zůstávají dodatečná ověřovací práva vhodná. Příloha č. 5 vyhlášky č. 409/2025 Sb. počítá s ustanovením o kontrole zavedených bezpečnostních opatření (pravidla zákaznického auditu) a příloha č. 2 vyhlášky č. 410/2025 Sb. s ustanovením o auditu dodavatele.
Malí dodavatelé jsou mimo rozsah povinnosti subjektu k bezpečnosti dodavatelů.
Článek 21 odst. 2 písm. d) malé dodavatele nevyjímá. Vlastní působnost dodavatele podle NIS 2 podle článku 2 je samostatná otázka. Povinností subjektu je řešit bezpečnostní aspekty svého přímého vztahu s dodavatelem bez ohledu na velikost dodavatele, kalibrovaná na riziko, které ten dodavatel přináší. Dvoučlenný zálohovací hoster zacházející s kritickými daty přitahuje více pozornosti než tisícičlenný poskytovatel cateringu.
Auditoři posuzující bezpečnost dodavatelů v subjektech NIS 2 typicky žádají tři artefakty v pořadí: politiku rizik dodavatelů, která stanoví logiku klasifikace, inventář dodavatelů s uplatněnou klasifikací a vzorek smluv z každé rizikové třídy ukazující, jak se politika odráží. Samotné smluvní doložky jsou poslední vrstvou, ne první.
Česko nemá obdobu německé domněnky souladu přes IT-Grundschutz. Smluvní vrstvu tu strukturují přílohy vyhlášek: příloha č. 2 vyhlášky č. 410/2025 Sb. a příloha č. 5 vyhlášky č. 409/2025 Sb. Poskytovatelé digitálních služeb se řídí bodem 5 přílohy CIR (§ 18 zákona č. 264/2025 Sb.). Samotná směrnice neukládá jednotný seznam doložek.
- Směrnice (EU) 2022/2555 (NIS 2), článek 21 odst. 2 písm. d) a článek 21 odst. 1: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Body odůvodnění 85 a 90 směrnice (EU) 2022/2555: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Prováděcí nařízení Komise (EU) 2024/2690, příloha bod 5: https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 13 odst. 2 a 5: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_13
- Vyhláška č. 410/2025 Sb., § 3 odst. 5 a příloha č. 2: https://e-sbirka.gov.cz/sb/2025/410/2025-11-01#par_3; vyhláška č. 409/2025 Sb., § 9 a příloha č. 5: https://e-sbirka.gov.cz/sb/2025/409/2025-11-01#par_9
- ENISA, přehled hrozeb útoků na dodavatelský řetězec (Threat Landscape for Supply Chain Attacks): https://www.enisa.europa.eu
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Bezpečnost dodavatelského řetězce
Zaznamenejte, co máte s dodavateli sjednáno
U každého dodavatele: co říká smlouva o bezpečnosti?
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
