NIS2 pro datová centra: kdy datové centrum spadá pod zákon o kybernetické bezpečnosti
Kdo nabízí služby datového centra jiným, například kolokaci, je poskytovatelem regulované služby od středního podniku: střední podnik v režimu nižších povinností, velký v režimu vyšších (vyhláška č. 408/2025 Sb., bod 16.9). Serverovna jen pro vlastní firmu není nabízená služba. Je-li provozovatel subjektem kritické infrastruktury, platí režim vyšších povinností bez ohledu na velikost.
Co je služba datového centra
Myslí se celý provoz: prostory, racky a síť, k tomu rozvod energie a chlazení. Technické vybavení budovy je součástí služby.
Zda pronajímáte prostor, energii a chlazení pro cizí servery (kolokace), nebo servery provozujete sami, nemění nic na tom, zda jde o službu datového centra.
§ 2 odst. 3 písm. d) zákona č. 264/2025 Sb. · čl. 6 bod 31 NIS 2
službou datového centra služba, která zahrnuje prostory, včetně všech zařízení a infrastruktur pro distribuci energie a řízení prostředí, určené k centralizovanému umístění, propojení a provozu informačních technologií a síťových zařízení poskytujících služby zpracování dat
Od jaké velikosti je poskytovatel dotčený
Režim nižších povinností: střední podnik, tedy alespoň 50 zaměstnanců, nebo roční obrat i bilanční suma nad 10 milionů eur.
Režim vyšších povinností: velký podnik, tedy alespoň 250 zaměstnanců, nebo obrat nad 50 milionů eur a zároveň bilanční suma nad 43 milionů eur.
Na rozdíl například od služeb vytvářejících důvěru nebo veřejných sítí elektronických komunikací nejsou datová centra regulovaná bez ohledu na velikost. Provozujete-li datové centrum jen jako součást své cloudové služby, posuzuje se podle bodu 16.8 (cloud), ne 16.9.
Počítá se podle doporučení 2003/361/ES. Započítat se mohou i partnerské a propojené podniky, ne však ty, jejichž technická aktiva jsou zcela oddělena od aktiv, která používáte pro regulovanou službu (§ 7 písm. c) zákona).
§ 4 odst. 1 a § 7 zákona č. 264/2025 Sb. · vyhláška č. 408/2025 Sb., bod 16.9
Vaše vlastní serverovna
Pokud vaše firma provozuje servery jen pro sebe, nenabízíte službu datového centra. Přes bod 16.9 vyhlášky pak regulovaní nejste.
Vaše firma může být regulovaná z jiného důvodu, například jako výrobce, potravinářská nebo odpadová firma. Serverovna pak patří k podpůrným aktivům ve stanoveném rozsahu, která chráníte.
Pokud jedna firma provozuje datové centrum za úplatu pro jiné firmy ve stejném koncernu, nechte to posoudit případ od případu.
Kdy je datové centrum kritickou infrastrukturou
Bez ohledu na velikost firmy může být provozovatel datového centra subjektem kritické infrastruktury. NÚKIB pak registruje jeho službu z moci úřední (§ 5 písm. d), § 6 odst. 3 zákona) a provozovatel je v režimu vyšších povinností (§ 8 odst. 3).
O tom, kdo je subjektem kritické infrastruktury, nerozhoduje zákon o kybernetické bezpečnosti, ale předpis o krizovém řízení a kritické infrastruktuře. Ministerstva a další úřady, které prvky kritické infrastruktury určují, o tom informují NÚKIB (§ 64 odst. 3 zákona).
Vyšší režim znamená u datového centra opatření podle prováděcího nařízení (EU) 2024/2690 v rozsahu pro základní subjekty (§ 18 odst. 4 zákona) a hlášení incidentů s významným dopadem přes Portál NÚKIB.
§ 5 písm. d), § 8 odst. 3, § 18 odst. 4 a § 64 odst. 3 zákona č. 264/2025 Sb.
Podrobnější pravidla pro digitální poskytovatele
Pro poskytovatele služeb datových center stanoví bezpečnostní opatření prováděcí nařízení (EU) 2024/2690 (§ 18 odst. 1 zákona č. 264/2025 Sb.). Obecné pravidlo „v míře nezbytné“ podle § 13 odst. 2 se na tyto služby nepoužije. V režimu vyšších povinností platí ustanovení nařízení pro základní subjekty, v režimu nižších pro důležité subjekty (§ 18 odst. 4).
Nařízení také stanoví, kdy je incident u těchto poskytovatelů významný. Hlásíte všechny incidenty s významným dopadem na poskytování regulované služby (§ 18 odst. 2 zákona), přes Portál NÚKIB.
§ 18 zákona č. 264/2025 Sb. · prováděcí nařízení (EU) 2024/2690
Příklad
Smyšlená firma: regionální poskytovatel kolokace Datacentrum Příklad s.r.o. se 60 zaměstnanci, dvěma lokalitami a zákazníky z řad malých a středních firem. Není subjektem kritické infrastruktury.
Kolokace je služba datového centra. Se 60 zaměstnanci je firma středním podnikem, a tedy poskytovatelem regulované služby v režimu nižších povinností (bod 16.9).
Protože není subjektem kritické infrastruktury a NÚKIB ji neregistroval podle § 5, zůstává v režimu nižších povinností.
Ohlašuje službu přes Portál NÚKIB a zavádí opatření v hloubce, kterou prováděcí nařízení (EU) 2024/2690 vyžaduje pro důležité subjekty.
Seznam jejích aktiv začíná technickým vybavením budovy: přípojka k síti, UPS, záložní zdroj, chlazení, požární ochrana a přístup. Následuje síť, racky a monitoring.
Jak to probíhá v průvodci
V průvodci na nisd2.eu začíná práce seznamem toho, s čím vaše firma pracuje.
Jeden krok se ptá na procesy, software, zařízení, prostory a sítě a na to, kdo je dodává. Z toho vznikne seznam vašich aktiv.
V profilu firmy uvedete, zda jste subjektem kritické infrastruktury. Teprve pak se objeví krok určený subjektům kritické infrastruktury.
U každého kroku je předpis, vysvětlený jednoduchými slovy.
Na konci vedení schválí dokumenty v aplikaci pod vlastním účtem.
Časté otázky
Je kolokace službou datového centra podle NIS2?
Ano. Kolokace poskytuje prostory, energii a chlazení pro cizí IT. To spadá pod definici v § 2 odst. 3 písm. d) zákona č. 264/2025 Sb.
Platí NIS2 pro naši vlastní serverovnu?
Ne jako služba datového centra, pokud ji provozujete jen pro vlastní firmu. Pokud je vaše firma dotčená z jiného důvodu, chráníte serverovnu v rámci svých opatření.
Od jaké velikosti je datové centrum dotčené?
Od středního podniku, tedy od 50 zaměstnanců, nebo s ročním obratem i bilanční sumou nad 10 milionů eur (vyhláška č. 408/2025 Sb., bod 16.9). Je-li provozovatel subjektem kritické infrastruktury, je v režimu vyšších povinností bez ohledu na velikost.
Je každé datové centrum kritickou infrastrukturou?
Ne. Subjekty kritické infrastruktury určují příslušné úřady podle předpisu o krizovém řízení a kritické infrastruktuře a informují o tom NÚKIB (§ 64 odst. 3 zákona č. 264/2025 Sb.). Ostatní datová centra jsou regulovaná podle velikosti (bod 16.9).
Zdroje
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 2 odst. 3 písm. d), §§ 4, 5, 8, 18 a 64: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_2
- Směrnice (EU) 2022/2555 (NIS 2), čl. 6 bod 31 a příloha I: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Prováděcí nařízení Komise (EU) 2024/2690: https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Vyhláška č. 408/2025 Sb., o regulovaných službách, příloha, bod 16.9: https://e-sbirka.gov.cz/sb/2025/408/2025-11-01
- Doporučení Komise 2003/361/ES: https://eur-lex.europa.eu/eli/reco/2003/361/oj
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Řízení rizik
Sepište, co vaše firma má
Seznam procesů, programů a zařízení, se kterými pracujete.
Registrace a hlášení
Ohlásit službu NÚKIB
Vaše firma ohlásí regulovanou službu NÚKIB, ten pak rozhodne o registraci.
Kolik průvodce stojí
4 800 € bez DPH ročně, plus DPH
30 dní na vrácení penězNa fakturu, splatnost 30 dní. Zrušení do 30 dnů od první objednávky: faktura se stornuje nebo se peníze vrátí.
Řízené zavedení NIS 2 krok za krokem
Historie změn a schválení, kterou můžete ukázat úřadu
Termíny a upozornění ke každému požadavku
Bezpečnostní dotazník pro vaše dodavatele
Export do PDF nebo CSV kdykoli
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
