NIS2 pro poskytovatele cloudu: kdy je poskytovatel služeb cloud computingu regulovaný

Co je služba cloud computingu

Definici nesou čtyři znaky: zákazník si zdroje spravuje sám, dostane se k nim přes síť, soubor zdrojů roste a zmenšuje se podle potřeby a zdroje sdílí více zákazníků.

To odpovídá výpočetnímu výkonu a úložišti jako službě (IaaS), platformám, jako jsou databáze jako služba (PaaS), a softwaru, který mnoho zákazníků používá přes síť (SaaS).

Jeden server s pevnou kapacitou, který provozujete pro jednoho zákazníka, tyto znaky obvykle nemá. Může ale spadat pod jiný řádek, například služba datového centra nebo řízená služba.

§ 2 odst. 3 písm. c) zákona č. 264/2025 Sb. · čl. 6 bod 30 NIS 2

Od jaké velikosti je poskytovatel dotčený

Režim nižších povinností: střední podnik, tedy alespoň 50 zaměstnanců, nebo roční obrat i bilanční suma nad 10 milionů eur.

Režim vyšších povinností: velký podnik, tedy alespoň 250 zaměstnanců, nebo obrat nad 50 milionů eur a zároveň bilanční suma nad 43 milionů eur. Ve vyšším režimu je i poskytovatel státního cloud computingu podle zákona o informačních systémech veřejné správy.

Na rozdíl například od služeb vytvářejících důvěru nebo veřejných sítí elektronických komunikací nejsou poskytovatelé cloudu regulovaní bez ohledu na velikost: malý podnik a mikropodnik bod 16.8 nezahrnuje.

Počítá se podle doporučení 2003/361/ES. Započítat se mohou i partnerské a propojené podniky, ne však ty, jejichž technická aktiva jsou zcela oddělena od aktiv, která používáte pro regulovanou službu (§ 7 písm. c) zákona).

§ 4 odst. 1 a § 7 zákona č. 264/2025 Sb. · vyhláška č. 408/2025 Sb., bod 16.8

Co se nepočítá

Využívat cloudové služby, například e-mail, účetnictví nebo úložiště u poskytovatele, neznamená nabízet cloudovou službu. Přes bod 16.8 pak vaše firma regulovaná není. Poskytovatel je jedním z vašich dodavatelů, se kterým počítáte ve svých opatřeních, pokud je vaše firma regulovaná z jiného důvodu.

Cloud, který vaše firma provozuje jen pro sebe, také není nabízená služba. Pokud ho jedna firma provozuje za úplatu pro jiné firmy ve stejném koncernu, nechte to posoudit případ od případu.

Podrobnější pravidla pro poskytovatele cloudu

Pro poskytovatele služeb cloud computingu stanoví bezpečnostní opatření prováděcí nařízení (EU) 2024/2690. Zákon č. 264/2025 Sb. na něj v § 18 odst. 1 přímo odkazuje a obecné pravidlo „v míře nezbytné“ podle § 13 odst. 2 se na tyto služby nepoužije. V režimu vyšších povinností se řídíte ustanoveními nařízení pro základní subjekty, v režimu nižších pro důležité subjekty (§ 18 odst. 4). Jako nařízení platí ve stejném znění v každé zemi EU.

Nařízení také stanoví, kdy je incident u těchto poskytovatelů významný. Hlásíte všechny incidenty s významným dopadem na poskytování regulované služby (§ 18 odst. 2 zákona), přes Portál NÚKIB.

U poskytovatelů cloudu rozhoduje o příslušném státu hlavní provozovna v EU: stát, ve kterém se převážně rozhoduje o opatřeních k řízení kybernetických bezpečnostních rizik (čl. 26 odst. 2 NIS 2). Má-li poskytovatel hlavní provozovnu v jiném státě EU, plní v Česku podle § 18 odst. 3 zákona jen povinnost zavádět opatření podle odstavce 1; ostatní povinnosti plní ve státě hlavní provozovny.

§ 18 zákona č. 264/2025 Sb. · prováděcí nařízení (EU) 2024/2690 · čl. 26 NIS 2

A katalog C5 německého úřadu BSI?

C5 je katalog kritérií pro cloudové služby, který vydává německý úřad BSI. Český zákon ani NIS2 atestaci C5 nevyžadují. Někteří zákazníci se na ni ale ptají a existující atestace může posloužit jako doklad pro vaše opatření.