Jsme jako energetická firma v působnosti NIS 2?

Směrnice NIS 2 (EU) 2022/2555, Příloha I odvětví 1 (energetika)

1. Energetika: a) elektřina: elektroenergetické podniky ve smyslu čl. 2 bodu 57 směrnice Evropského parlamentu a Rady (EU) 2019/944, které zastávají funkci „dodávky“ ve smyslu čl. 2 bodu 12 uvedené směrnice; provozovatelé distribuční soustavy …; provozovatelé přenosové soustavy …; výrobci …; nominovaní organizátoři trhu s elektřinou …; účastníci trhu …, kteří poskytují služby agregace, odezvy strany poptávky nebo ukládání energie …; provozovatelé dobíjecích bodů …; b) dálkové vytápění a chlazení: provozovatelé dálkového vytápění nebo dálkového chlazení …; c) ropa: provozovatelé ropovodů; provozovatelé zařízení na těžbu, rafinaci a zpracování ropy a skladovacích a přenosových zařízení; ústřední správci zásob …; d) zemní plyn: dodavatelské podniky …; provozovatelé distribuční soustavy …; provozovatelé přepravní soustavy …; provozovatelé skladovacího zařízení …; provozovatelé zařízení LNG …; plynárenské podniky …; provozovatelé zařízení na rafinaci a zpracování zemního plynu; e) vodík: provozovatelé výroby, skladování a přepravy vodíku.

Příloha I vymezuje okruh. Vyjmenovává druhy subjektů s odkazem na definice v energetických předpisech EU. Výslovně jmenuje i účastníky trhu, kteří poskytují agregaci, odezvu strany poptávky nebo ukládání energie, a provozovatele dobíjecích bodů, tedy i firmy, které nemají podobu klasické energetické společnosti. V Česku tyto druhy převádí na konkrétní služby vyhláška č. 408/2025 Sb.

Čl. 2 odst. 1 NIS 2 + doporučení 2003/361/ES

Tato směrnice se vztahuje na veřejné a soukromé subjekty, jejichž druhy jsou uvedeny v příloze I nebo II a které jsou považovány podle článku 2 přílohy doporučení 2003/361/ES za střední podniky, nebo které překračují stropy pro střední podniky stanovené v odstavci 1 uvedeného článku a které poskytují služby nebo vykonávají činnosti v rámci Unie.

Test velikosti je alespoň 50 zaměstnanců, nebo roční obrat i bilanční suma nad 10 milionů eur. Platí pro právnickou osobu, ne pro jednotlivé provozy. V Česku se částky v eurech přepočítávají na koruny kurzem České národní banky k poslednímu dni před posuzovaným rokem (vyhláška č. 408/2025 Sb., § 2 odst. 2) a propojené nebo partnerské podniky se nezapočítávají, jsou-li jejich technická aktiva zcela oddělena (§ 7 písm. c) zákona č. 264/2025 Sb.). Výrobce vodíku s 30 zaměstnanci a obratem 8 milionů eur bývá pod laťkou. Provozovatel distribuční soustavy s 200 zaměstnanci je jasně nad ní. Vyhláška ale u některých služeb reguluje i menší poskytovatele, například výrobnu elektřiny od 100 MW nebo distribuční soustavu s nejméně 90 000 odběrnými místy.

Vyhláška č. 408/2025 Sb., příloha, bod 2.3 (Česko)

Držitel licence na distribuci elektřiny podle energetického zákona je I. poskytovatelem regulované služby v režimu vyšších povinností v případě, že a) je velkým podnikem, nebo b) je provozovatelem regionální distribuční soustavy elektřiny, k níž je připojeno nejméně 90 000 odběrných míst zákazníků, nebo II. poskytovatelem regulované služby v režimu nižších povinností v případě, že je středním podnikem.

Zákon č. 264/2025 Sb. je českými vstupními dveřmi: § 4 odst. 1 vyžaduje službu z vyhlášky a středního nebo velkého poskytovatele, § 8 rozděluje poskytovatele do režimu vyšších a nižších povinností. Vyhláška č. 408/2025 Sb. pak pro energetiku jmenuje služby, většinou podle energetického zákona (č. 458/2000 Sb.): výrobu, přenos, distribuci, obchod a ukládání elektřiny, agregaci, odezvu strany poptávky, dobíjecí stanice, ropu, zemní plyn, teplo a vodík. Většinou platí: velký podnik vyšší režim, střední nižší. U bodu 2.3 navíc rozhoduje počet odběrných míst bez ohledu na velikost.

NÚKIB je kybernetický úřad podle zákona č. 264/2025 Sb. Službu mu ohlašujete přes Portál NÚKIB do 60 dnů od splnění podmínek (§ 6 odst. 1) a NÚKIB o registraci rozhodne. Do 30 dnů od doručení rozhodnutí nahlásíte kontaktní a doplňující údaje, jejich změny pak do 14 dnů (§ 11). Incidenty hlásí poskytovatel ve vyšším režimu NÚKIB, v nižším režimu jen incidenty s významným dopadem Národnímu CERT, oba přes Portál NÚKIB (§§ 15 a 16). Ve vyšším režimu provádíte audit kybernetické bezpečnosti alespoň jednou za 2 roky (vyhláška č. 409/2025 Sb., § 16 odst. 4).

Energetický regulační úřad uděluje licence k podnikání v energetických odvětvích (§ 3 odst. 3 zákona č. 458/2000 Sb., energetický zákon) a vykonává dohled nad trhy v energetických odvětvích (§ 17 odst. 4). Právě licence ERÚ rozhoduje u většiny bodů vyhlášky č. 408/2025 Sb. o tom, kterou regulovanou službu poskytujete. Povinnosti podle zákona č. 264/2025 Sb. ale dozoruje NÚKIB, ne ERÚ.

Technické prováděcí pokyny ENISA vykládají prováděcí nařízení (EU) 2024/2690. To v Česku závazně platí jen pro digitální služby podle § 18 zákona č. 264/2025 Sb., ne pro energetiku; energetické firmy váže vyhláška č. 409/2025 Sb. nebo č. 410/2025 Sb. Ostatní členské státy vycházejí ze stejné přílohy I, ale mohou ji upravit, jak ukazuje česká vyhláška. Liší se i úřady: odvětvovou roli mají ACER a národní energetičtí regulátoři, kybernetickou roli národní příslušné orgány. Přeshraniční energetické firmy proto spadají pod více regulátorů najednou.