Oznámení o selháních v plnění NIS 2
Směrnice EU 2019/1937 chrání oznámení o porušení v oblasti bezpečnosti sítí a informačních systémů. V Česku ji provádí zákon č. 171/2023 Sb., o ochraně oznamovatelů. Tato stránka popisuje rámec, není to právní poradenství pro konkrétní případ.
Čím tato stránka je
Oznamování protiprávního jednání je samostatná právní kolej, oddělená od hlášení incidentů podle NIS 2. Zaměstnanec, smluvní partner nebo uchazeč o práci, který oznámí selhání v plnění NIS 2, je chráněn směrnicí EU 2019/1937. Směrnice uvádí bezpečnost sítí a informačních systémů výslovně ve své příloze, v části I bodě J, jako chráněnou oblast oznamování.
V Česku směrnici provádí zákon č. 171/2023 Sb., o ochraně oznamovatelů, účinný od 1. srpna 2023. Vnitřní oznamovací systém musí mimo jiné zavést zaměstnavatel, který k 1. lednu daného roku zaměstnává nejméně 50 zaměstnanců. Oznámení přijímá také Ministerstvo spravedlnosti.
Oznámení oznamovatele vnějšímu orgánu nenahrazuje vlastní hlášení incidentu podle článku 23 NIS 2 (v Česku §§ 15 a 16 zákona č. 264/2025 Sb.). Obě povinnosti může spustit tatáž událost a každá běží na vlastních hodinách.
Směrnice EU 2019/1937, příloha, část I bod J
J. Ustanovení čl. 2 odst. 1 písm. a) bodu x) – ochrana soukromí a osobních údajů a bezpečnost sítí a informačních systémů: […] iii) směrnice Evropského parlamentu a Rady (EU) 2016/1148 ze dne 6. července 2016 o opatřeních k zajištění vysoké společné úrovně bezpečnosti sítí a informačních systémů v Unii
Příloha vyjmenovává oblasti, v nichž je oznámení chráněno. Bezpečnost sítí a informačních systémů je v části I bodě J, spolu s ochranou soukromí a osobních údajů. NIS 2 zrušila směrnici 2016/1148 a odkazy na ni se považují za odkazy na NIS 2 (čl. 44 NIS 2), takže oznámení o selháních v plnění NIS 2 spadají do tohoto rozsahu.
Směrnice EU 2019/1937, článek 4 (osobní působnost)
Tato směrnice se vztahuje na oznamující osoby pracující v soukromém nebo veřejném sektoru, které získaly informace o porušení v pracovním kontextu, alespoň v rozsahu: […]
Osobní působnost pokrývá zaměstnance, osoby samostatně výdělečně činné, akcionáře, členy správních, řídicích a dohledových orgánů, dobrovolníky, placené i neplacené stážisty a osoby pracující pod dohledem zhotovitelů, subdodavatelů a dodavatelů. Chráněni jsou také uchazeči o práci a bývalí pracovníci. Zda se musí přijímat anonymní oznámení, nechává směrnice na členských státech (čl. 6 odst. 2). Český zákon počítá s oznámením, ze kterého lze dovodit totožnost oznamovatele; anonymnímu oznamovateli náleží ochrana od okamžiku, kdy jeho totožnost vyjde najevo.
Zákon č. 171/2023 Sb., o ochraně oznamovatelů (vnitřní oznamovací systém)
Vnitřní oznamovací systém zavede povinný subjekt, kterým se pro účely tohoto zákona rozumí […] zaměstnavatel zaměstnávající k 1. lednu příslušného kalendářního roku nejméně 50 zaměstnanců, není-li povinnou osobou podle zákona o některých opatřeních proti legalizaci výnosů z trestné činnosti a financování terorismu
Rozhoduje počet zaměstnanců k 1. lednu daného roku. Zaměstnavatel pod touto hranicí může vnitřní systém zřídit dobrovolně, od 50 zaměstnanců musí. Některé subjekty mají povinnost bez ohledu na počet zaměstnanců, například pojišťovny. Zaměstnavatelé do 249 zaměstnanců mohou vnitřní systém sdílet. Vnějším kanálem je Ministerstvo spravedlnosti.
Co lze nahlásit
Zákon č. 171/2023 Sb. chrání oznámení o možném protiprávním jednání, které mimo jiné porušuje předpisy v oblasti ochrany osobních údajů, soukromí a bezpečnosti sítí elektronických komunikací a informačních systémů, nebo má znaky přestupku s horní hranicí pokuty alespoň 100 000 Kč. Oznámení o povinnosti podle NIS 2, například o nezavedení bezpečnostních opatření nebo nenahlášení incidentu podle zákona č. 264/2025 Sb., do rozsahu spadá.
Nejprve vnitřní, vnější souběžně
Vnitřní oznamovací systém u povinného subjektu (zaměstnavatel od 50 zaměstnanců). Vnějším kanálem je Ministerstvo spravedlnosti; ochrana náleží i tomu, kdo oznámení podá orgánu veřejné moci příslušnému podle jiného předpisu. Oznamovatel si může vybrat. Směrnice v čl. 7 odst. 2 vybízí k vnitřnímu oznámení, pokud lze porušení účinně řešit interně, ale nečiní z něj podmínku.
Povinnost dokumentace
Příslušná osoba vede o přijatých oznámeních elektronickou evidenci a oznámení s dokumenty uchovává 5 let ode dne přijetí. Přístup k nim má jen příslušná osoba. Osobní údaje se řídí zásadami GDPR.
Důvěrnost totožnosti
Směrnice ukládá nesdělovat totožnost oznamující osoby bez jejího výslovného souhlasu nikomu kromě oprávněných pracovníků (čl. 16 odst. 1). Český zákon dovoluje poskytnout informace o totožnosti oznamovatele jen s jeho písemným souhlasem, ledaže je příslušná osoba musí poskytnout orgánům veřejné moci podle jiných předpisů; oznamovatele o tom musí předem vyrozumět. Příslušnou osobou může být jen bezúhonná, zletilá a plně svéprávná fyzická osoba, která postupuje nestranně.
Zákaz odvetných opatření
Oznamovatel nesmí být vystaven odvetnému opatření. Český zákon vyjmenovává například rozvázání nebo neprodloužení pracovního poměru, snížení mzdy, přeložení na jinou práci, neumožnění odborného rozvoje nebo pracovní posudek. Ochrana se vztahuje i na osoby, které oznamovateli pomohly, na jeho blízké a kolegy. Směrnice navíc obrací důkazní břemeno: pokud osoba prokáže, že oznámila a utrpěla újmu, má se za to, že šlo o odvetné opatření, a opak musí prokázat ten, kdo opatření přijal (čl. 21 odst. 5).
NÚKIB jako věcně příslušný úřad
NÚKIB kontroluje plnění zákona č. 264/2025 Sb. a projednává přestupky podle něj (§ 42 odst. 3 písm. s) a t), § 62 odst. 1). Přijímá a vyhodnocuje také podněty v oblasti kybernetické bezpečnosti (§ 42 odst. 5 písm. h)). Oznámení, že subjekt nezavedl bezpečnostní opatření nebo neohlásil regulovanou službu, spadá věcně do jeho působnosti. Ochrana před odvetnými opatřeními náleží i tomu, kdo oznámení podá přímo orgánu veřejné moci příslušnému podle jiného předpisu.
Úřad pro ochranu osobních údajů (ÚOOÚ)
ÚOOÚ je dozorovým úřadem podle GDPR. NIS 2 a GDPR se překrývají, když incident zahrnuje osobní údaje. Oznámení může jmenovat oba právní základy a podat se lze i přímo ÚOOÚ jako věcně příslušnému úřadu. NÚKIB a ÚOOÚ si mohou vyměňovat informace, aby se stejné porušení netrestalo dvakrát (§ 64 odst. 5 zákona č. 264/2025 Sb.).
Ministerstvo spravedlnosti jako vnější kanál
Ministerstvo spravedlnosti přijímá a posuzuje oznámení podle zákona č. 171/2023 Sb. a poskytuje metodickou a poradenskou pomoc ve věcech ochrany oznamovatelů. Je výchozí vnější adresou. O přijetí oznámení vyrozumí oznamovatele do 7 dnů a oznámení posoudí do 30 dnů, ve složitých případech s prodloužením až o 30 dnů.
Oznámení oznamovatele NÚKIB nahrazuje naše hlášení incidentu.
Nenahrazuje. Článek 23 NIS 2 a §§ 15 a 16 zákona č. 264/2025 Sb. kladou povinnost hlásit na poskytovatele regulované služby. Oznámení třetí osoby otevírá u úřadu samostatnou věc. Vlastní prvotní hlášení do 24 hodin a oznámení do 72 hodin běží nezávisle.
Máme 60 zaměstnanců, ale nikdo nikdy nic nenahlásil, takže kanál nepotřebujeme.
Zákon č. 171/2023 Sb. váže povinnost na počet zaměstnanců k 1. lednu, ne na to, zda už někdo něco oznámil. Za neurčení příslušné osoby nebo nezajištění možnosti podat oznámení hrozí povinnému subjektu pokuta až 1 000 000 Kč. Zaměstnavatelé s 50 až 249 zaměstnanci museli vnitřní systém zavést do 15. prosince 2023.
Můžeme propustit osobu, která podala hlášení, protože výkon klesl.
Směrnice předpokládá, že újma po oznámení je odvetným opatřením, a důkazní břemeno nese ten, kdo opatření přijal (čl. 21 odst. 5). Povinný subjekt, který odvetné opatření umožní, se podle zákona č. 171/2023 Sb. dopouští přestupku. Rozhodnutí o oznamovateli přijatá po oznámení podléhají zvýšenému dohledu; jejich důvody si řádně zdokumentujte.
Po oznámení o selhání v plnění NIS 2 běží souběžně dvoje hodiny. Hodiny jedna jsou lhůty podle zákona č. 171/2023 Sb.: vyrozumění o přijetí oznámení do 7 dnů a vyrozumění o výsledku posouzení do 30 dnů, ve složitých případech s prodloužením až o 30 dnů, nejvýše dvakrát. Hodiny dva jsou jakákoli povinnost hlásit incident, kterou podstata oznámení spustí; to je vlastní povinnost poskytovatele regulované služby podle zákona č. 264/2025 Sb., ne oznamovatele.
Nejčistší postup u středně velkých subjektů: jedna určená příslušná osoba, druhá jako zástupce, písemný formulář pro příjem, který zachytí podstatu bez nucení k odhalení totožnosti, a písemný záznam, který eviduje každý krok s časovým razítkem. Záznam je jediným důkazem, který později existuje, pokud se soud zeptá, jak bylo oznámení vyřízeno.
- Směrnice (EU) 2019/1937 ze dne 23. října 2019 o ochraně osob, které oznamují porušení práva Unie (Úř. věst. L 305, 26.11.2019, s. 17), příloha část I bod J, články 4, 6, 7, 8, 9, 16 a 21: https://eur-lex.europa.eu/eli/dir/2019/1937/oj
- Zákon č. 171/2023 Sb., o ochraně oznamovatelů: https://e-sbirka.gov.cz/sb/2023/171
- Směrnice (EU) 2022/2555 (NIS 2) ze dne 14. prosince 2022, články 21, 23, 27 a 44: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, §§ 15 a 16, § 42, § 62 a § 64 odst. 5: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_42
- Ministerstvo spravedlnosti, příjem oznámení podle zákona č. 171/2023 Sb.: https://justice.cz
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
