Jsem banka podle NIS 2?
Úvěrové instituce jsou v příloze I, sektoru 3 NIS 2 i v bodě 17.1 vyhlášky č. 408/2025 Sb. Bezpečnostní opatření a hlášení incidentů pro ně ale podle § 70 zákona č. 264/2025 Sb. upravuje nařízení DORA. Ohlášení regulované služby a hlášení údajů NÚKIB § 70 nevylučuje.
Krátká verze
Banky do působnosti patří. Příloha I, sektor 3 směrnice uvádí „úvěrové instituce ve smyslu čl. 4 bodu 1 nařízení Evropského parlamentu a Rady (EU) č. 575/2013“ (CRR). Česká vyhláška č. 408/2025 Sb. je vede v bodě 17.1: úvěrová instituce, která je velkým podnikem, je v režimu vyšších povinností, střední v režimu nižších.
Směrnice má ale v čl. 4 pravidlo pro odvětvové předpisy a český zákon ho provádí v § 70: stanoví-li jiný předpis EU povinnosti k bezpečnostním opatřením nebo hlášení incidentů alespoň se srovnatelným účinkem, ustanovení zákona o těchto povinnostech „se neuplatní, a to včetně ustanovení o dozoru“. DORA (nařízení (EU) 2022/2554) sama v čl. 1 odst. 2 stanoví, že je pro finanční subjekty odvětvovým aktem pro účely čl. 4 NIS 2. Banka podléhající DORA proto zavádí opatření a hlásí incidenty podle DORA, ne podle §§ 13 až 16 zákona.
Výjimka ale není úplná. § 70 se týká jen bezpečnostních opatření, hlášení incidentů a dozoru nad nimi. Povinnost ohlásit regulovanou službu NÚKIB (§ 6 odst. 1) a nahlásit kontaktní a doplňující údaje (§ 11) v jeho textu není. Ani směrnice v čl. 4 nevyjímá registraci podle čl. 3 odst. 4. NÚKIB, Komise a ENISA tak mají přehled o všech subjektech, i když jejich věcné povinnosti upravuje jiný předpis.
NIS 2, příloha I, sektor 3, a čl. 4 (směrnice (EU) 2022/2555)
úvěrové instituce ve smyslu čl. 4 bodu 1 nařízení Evropského parlamentu a Rady (EU) č. 575/2013 [příloha I, sektor 3, Bankovnictví] / Pokud ustanovení odvětvových právních aktů Unie vyžadují, aby základní nebo důležité subjekty přijaly opatření k řízení kybernetických bezpečnostních rizik nebo aby oznamovaly významné incidenty, a pokud je účinek těchto opatření alespoň rovnocenný účinku povinností stanovených v této směrnici, příslušná ustanovení této směrnice, včetně ustanovení o dohledu a vymáhání v kapitole VII, se na takové subjekty nepoužijí. [čl. 4 odst. 1]
Příloha I banky do působnosti zařazuje. Článek 4 pak vyjímá věcné povinnosti, je-li odvětvový akt alespoň rovnocenný. Registraci podle čl. 3 odst. 4 nevyjímá.
DORA (nařízení (EU) 2022/2554), čl. 1 odst. 1 a 2
Za účelem dosažení vysoké společné úrovně digitální provozní odolnosti stanoví toto nařízení následující jednotné požadavky týkající se bezpečnosti sítí a informačních systémů podporujících obchodní procesy finančních subjektů: […] [čl. 1 odst. 1] / Ve vztahu k finančním subjektům určeným jako základní nebo důležité subjekty podle vnitrostátních předpisů provádějících článek 3 směrnice (EU) 2022/2555 se toto nařízení pro účely článku 4 uvedené směrnice považuje za odvětvový právní akt Unie. [čl. 1 odst. 2]
DORA je sektorově specifický akt, který spouští článek 4 NIS 2. Je přímo použitelným právem EU. Pokrývá řízení rizik IKT, ohlašování incidentů souvisejících s IKT, testování digitální provozní odolnosti, riziko třetích stran v oblasti IKT a sdílení informací. Tyto kapitoly dohromady se považují za rovnocenné svým účinkem článkům 21 a 23 NIS 2, takže tyto články NIS 2 u subjektů podléhajících DORA ustupují.
§ 70 zákona č. 264/2025 Sb. (Česko)
Pokud přímo použitelný předpis Evropské unie nebo jiný právní předpis, který zapracovává příslušný předpis Evropské unie, stanoví povinnosti v oblasti zavádění a provádění bezpečnostních opatření nebo hlášení kybernetických bezpečnostních incidentů a tyto povinnosti mají alespoň srovnatelný účinek jako povinnosti podle tohoto zákona, ustanovení tohoto zákona upravující povinnosti zavádět a provádět bezpečnostní opatření a hlásit kybernetické bezpečnostní incidenty se neuplatní, a to včetně ustanovení o dozoru nad dodržováním uvedených povinností. [§ 70 odst. 1]
Srovnatelný účinek má podle § 70 odst. 3 i ustanovení přímo použitelného předpisu EU, o kterém to tento předpis sám stanoví; DORA to stanoví v čl. 1 odst. 2. Pro českou banku tak platí dvě roviny. Česká národní banka dohlíží na plnění DORA. NÚKIB přijímá ohlášení regulované služby a údaje podle §§ 6 a 11, které § 70 nevylučuje. Obojí jsou skutečné povinnosti, jedna nenahrazuje druhou.
Jste úvěrová instituce podle čl. 4 odst. 1 bodu 1 CRR?
Bankovnictví v NIS 2 i bod 17.1 vyhlášky č. 408/2025 Sb. používají definici z CRR: úvěrová instituce přijímá od veřejnosti vklady nebo jiné splatné prostředky a poskytuje úvěry na vlastní účet. Máte-li bankovní licenci od ČNB nebo ECB, sedíte v ní. Platební instituce a instituce elektronických peněz mají ve vyhlášce vlastní body 17.4 a 17.5 s podmínkami podle objemu transakcí; investiční podniky a další finanční subjekty posuzujte podle DORA.
Opatření a hlášení incidentů podle DORA, ne podle zákona
§ 70 zákona č. 264/2025 Sb. a čl. 4 NIS 2 přenechávají věcné povinnosti nařízení DORA. Kapitola II DORA (řízení rizik IKT) nahrazuje bezpečnostní opatření podle §§ 13 a 14 zákona a čl. 21 NIS 2. Kapitola III DORA (hlášení incidentů souvisejících s IKT) nahrazuje hlášení podle §§ 15 a 16 zákona a čl. 23 NIS 2. Technické podrobnosti stanoví RTS a ITS k DORA, podle kterých dohlíží ČNB. Vedete jeden rámec řízení rizik podle DORA, ne dva.
Ohlášení služby u NÚKIB zůstává
Čl. 3 odst. 4 NIS 2 ukládá základním a důležitým subjektům předat úřadu soubor údajů (název, adresa a kontaktní údaje včetně rozsahu IP adres, odvětví, státy, kde služby poskytují). V Česku tomu odpovídá ohlášení regulované služby do 60 dnů od splnění podmínek (§ 6 odst. 1) a kontaktní a doplňující údaje do 30 dnů od doručení rozhodnutí o registraci (§ 11 odst. 1), vše přes Portál NÚKIB. Změny údajů hlásíte do 14 dnů (§ 11 odst. 2). § 70 tyto povinnosti nevylučuje.
Test srovnatelného účinku (čl. 4 NIS 2, § 70 zákona)
Výjimka platí jen tam, kde má odvětvový předpis „alespoň srovnatelný účinek“ (§ 70 odst. 1). Zákon to rozepisuje: opatření musí odpovídat alespoň §§ 13 a 14, hlášení alespoň §§ 15 a 16 (§ 70 odst. 2), nebo to předpis EU sám stanoví (§ 70 odst. 3), jako DORA v čl. 1 odst. 2. Kdyby odvětvový předpis nestačil, povinnosti podle zákona by se vrátily. U bank pod DORA tomu tak není.
Ohlášení je informační, ne věcná povinnost
Ohlášení a údaje stojí mimo § 70, protože slouží jinému účelu. Věcné povinnosti (opatření, hlášení incidentů) řídí chování. Ohlášení dává NÚKIB a přes něj Komisi a ENISA úplný přehled o tom, kdo poskytuje regulované služby. V tomto přehledu musí být i banky pod DORA, jinak by v něm byly díry. NÚKIB každé 2 roky informuje Komisi o počtech poskytovatelů regulovaných služeb v jednotlivých odvětvích (§ 65 odst. 1 písm. a) zákona).
Česká národní banka (dohled nad DORA)
ČNB dohlíží na plnění DORA u českých úvěrových institucí: řízení rizik IKT, hlášení závažných incidentů souvisejících s IKT (čl. 19 DORA), program testování digitální provozní odolnosti a riziko třetích stran v oblasti IKT, včetně kritických poskytovatelů služeb IKT. Tady leží provozní dohled nad bankami.
NÚKIB (ohlášení regulované služby)
NÚKIB přijímá ohlášení regulovaných služeb a kontaktní a doplňující údaje přes Portál NÚKIB. Banka podléhající DORA službu ohlašuje, i když její bezpečnostní opatření a hlášení incidentů upravuje DORA. Dozor nad těmito věcnými povinnostmi NÚKIB podle § 70 nevykonává; vede registraci, předává souhrnné údaje Komisi a zůstává kontaktním místem pro povinnosti, které § 70 nevylučuje.
ECB / jednotný mechanismus dohledu a ČNB
U významných institucí v jednotném mechanismu dohledu vede dohled ECB (DORA je součástí tohoto dohledového cyklu). U méně významných institucí vede dohled ČNB. Žádná z těchto rovin nemění samostatnou roli NÚKIB při ohlášení regulované služby.
DORA zcela nahrazuje zákon o kybernetické bezpečnosti. Podle něj nemusíme dělat nic.
§ 70 zákona č. 264/2025 Sb. přenechává DORA jen bezpečnostní opatření, hlášení incidentů a dozor nad nimi. Ohlášení regulované služby (§ 6) a hlášení údajů (§ 11) v něm nejsou. Neohlášení služby je samostatný přestupek (§ 60 odst. 1 písm. a)), i když je váš program DORA v pořádku.
Jsme jen pod DORA. S NÚKIB nemáme nic společného.
NÚKIB nedozoruje váš rámec řízení rizik; to dělá ČNB. Ohlášení regulované služby a kontaktní a doplňující údaje ale vedete u NÚKIB přes Portál NÚKIB. Změny těchto údajů, například kontaktní osoby, hlásíte do 14 dnů (§ 11 odst. 2 zákona č. 264/2025 Sb.), změny služby, které mohou změnit režim, do 60 dnů (§ 9 odst. 1).
Jsme malá banka, takže jsme mimo.
Podle vyhlášky č. 408/2025 Sb. je úvěrová instituce regulovaná jako střední nebo velký podnik (bod 17.1). Malá úvěrová instituce tam není, NÚKIB ji ale může z moci úřední registrovat podle § 5 zákona, například jako jediného poskytovatele služby nebo jako subjekt kritické infrastruktury. DORA má vlastní působnost nezávislou na prahu velikosti NIS 2. Než napíšete „mimo“, projděte test velikosti, § 5 zákona i působnost DORA.
Věcné povinnosti podle DORA, ohlášení u NÚKIB. Banka nestaví vedle DORA druhý rámec podle §§ 13 a 14 zákona. Kapitola DORA o řízení rizik IKT pokrývá stejnou oblast ve stejné hloubce. Cyklus hlášení závažných incidentů podle čl. 19 DORA nahrazuje hlášení podle §§ 15 a 16 zákona, jen s lhůtami a šablonami DORA.
Na straně ohlášení banka jednou ohlásí regulovanou službu přes Portál NÚKIB, do 30 dnů od doručení rozhodnutí o registraci nahlásí kontaktní a doplňující údaje, změny hlásí do 14 dnů a vede jednostránkový interní záznam, proč se na opatření a hlášení incidentů uplatní § 70 a DORA. Takový záznam je práce na jedno odpoledne a ušetří opakované vysvětlování při každé kontrole.
- Směrnice (EU) 2022/2555 (NIS 2), příloha I, sektor 3, čl. 4 a čl. 3 odst. 4: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Nařízení (EU) 2022/2554 (DORA), čl. 1 (předmět a vztah k NIS 2) a kapitoly II a III: https://eur-lex.europa.eu/eli/reg/2022/2554/oj
- Nařízení (EU) č. 575/2013 (CRR), čl. 4 odst. 1 bod 1: https://eur-lex.europa.eu/eli/reg/2013/575/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 70 (vztah k odvětvovým předpisům EU), § 6 a § 11: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_70
- Vyhláška č. 408/2025 Sb., o regulovaných službách, příloha, bod 17.1: https://e-sbirka.gov.cz/sb/2025/408/2025-11-01
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Registrace a hlášení
Ohlásit službu NÚKIB
Vaše firma ohlásí regulovanou službu NÚKIB, ten pak rozhodne o registraci.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
