Jsme dodavatelem pitné vody v působnosti NIS 2?

Směrnice NIS 2 (EU) 2022/2555, příloha I, odvětví 6 Pitná voda

dodavatelé a distributoři vody určené k lidské spotřebě ve smyslu čl. 2 bodu 1 písm. a) směrnice Evropského parlamentu a Rady (EU) 2020/2184, s výjimkou distributorů, pro něž je distribuce vody určené k lidské spotřebě nepodstatnou částí jejich obecné činnosti spočívající v distribuci komodit a zboží

Test odvětví je jednoduchý. Dodáváte-li nebo distribuujete-li pitnou vodu jako hlavní činnost, odvětví 6 se uplatní. Výjimka je úzká: týká se distributorů jiného zboží, kteří pitnou vodu předávají jen okrajově. Česká vyhláška ji vyjadřuje číslem: provozovatel vodovodu je regulován, jen pokud mu tato služba přinesla alespoň 5 % obratu za poslední účetní období (bod 10.1). Vodárenská společnost ani vodárenská divize městské firmy pod výjimku nespadají.

Čl. 2 odst. 1 NIS 2 + doporučení 2003/361/ES + vyhláška č. 408/2025 Sb., bod 10.1

Tato směrnice se vztahuje na veřejné a soukromé subjekty, jejichž druhy jsou uvedeny v příloze I nebo II a které jsou považovány podle článku 2 přílohy doporučení 2003/361/ES za střední podniky, nebo které překračují stropy pro střední podniky stanovené v odstavci 1 uvedeného článku a které poskytují služby nebo vykonávají činnosti v rámci Unie.

Test velikosti: alespoň 50 zaměstnanců, nebo roční obrat i bilanční suma nad 10 milionů eur. Vyhláška č. 408/2025 Sb. k němu přidává podmínku 5 % obratu ze služby a určuje režim: velký podnik vyšší, střední nižší. Objemový práh česká úprava nemá; o vyšším režimu rozhoduje velikost, případně určení podle § 5 zákona č. 264/2025 Sb.

Vyhláška č. 408/2025 Sb., příloha, bod 10.1 (Česko)

Provozovatel vodovodu podle zákona o vodovodech a kanalizacích, jehož příjmy spojené s touto službou tvořily alespoň 5 % jeho obratu za poslední účetní období, je I. poskytovatelem regulované služby v režimu vyšších povinností v případě, že je velkým podnikem, nebo II. poskytovatelem regulované služby v režimu nižších povinností v případě, že je středním podnikem.

Zákon č. 264/2025 Sb. je českými vstupními dveřmi: službu z vyhlášky a středního nebo velkého poskytovatele žádá § 4 odst. 1. Vyhláška míří na provozovatele, tedy na toho, kdo vodovod provozuje a drží povolení krajského úřadu (§ 2 odst. 5 zákona č. 274/2001 Sb.). Kde vodovod vlastní obec a provozuje ho vodárenská společnost, je regulována ta společnost. Provozování přitom podle § 2 odst. 3 téhož zákona nezahrnuje správu a rozvoj vodovodů.

NÚKIB je kybernetickým úřadem pro vodárny. Službu mu ohlašujete přes Portál NÚKIB do 60 dnů od splnění podmínek (§ 6 odst. 1 zákona č. 264/2025 Sb.) a po doručení rozhodnutí o registraci hlásíte do 30 dnů kontaktní a doplňující údaje (§ 11). Incidenty hlásíte ve vyšším režimu NÚKIB, v nižším režimu jen ty s významným dopadem Národnímu CERT (§ 15). Ve vyšším režimu provádíte audit kybernetické bezpečnosti alespoň jednou za 2 roky (vyhláška č. 409/2025 Sb., § 16 odst. 4).

Povolení k provozování vodovodu vydává krajský úřad (§ 6 a § 28 odst. 2 písm. a) zákona č. 274/2001 Sb.). Státní správu na úseku vodovodů a kanalizací jinak vykonávají hlavně obecní úřady obcí s rozšířenou působností jako vodoprávní úřady (§ 27 odst. 1); ministerstvem je podle tohoto zákona Ministerstvo zemědělství. NIS 2 na tom nic nemění. Kybernetické povinnosti podle zákona č. 264/2025 Sb. běží souběžně s povinnostmi podle zákona o vodovodech a kanalizacích.

Technické prováděcí pokyny ENISA vykládají prováděcí nařízení (EU) 2024/2690. To v Česku závazně platí pro digitální služby podle § 18 zákona č. 264/2025 Sb., ne pro vodárny; vás váže vyhláška č. 409/2025 Sb. nebo č. 410/2025 Sb. Mapovací tabulka ENISA na ISO 27001 a NIST CSF 2.0 se přesto hodí, pokud už provozujete ISMS.

Ostatní členské státy vycházejí ze stejné přílohy I, například Rakousko (NISG), Nizozemsko (Cyberbeveiligingswet) nebo Belgie (zákon NIS2). Liší se dozorový úřad a doplňující podmínky. Podmínka 5 % obratu je česká, v textu směrnice není.