Jsem výrobce strojů podle NIS 2?
Příloha II, bod 5 směrnice NIS 2 řadí výrobu mezi další kritická odvětví; výrobci strojů jsou v písmenu d), oddíl NACE 28. Česká vyhláška č. 408/2025 Sb. to provádí v bodě 7.3: výrobce strojů a zařízení, který je středním nebo velkým podnikem, je poskytovatelem regulované služby v režimu nižších povinností.
Krátká verze
Zákon č. 264/2025 Sb. řadí výrobní průmysl mezi regulovaná odvětví (§ 4 odst. 1 písm. a) bod 3). Vyhláška č. 408/2025 Sb. v něm vyjmenovává pět služeb podle oddílů 26 až 30 klasifikace CZ-NACE; výroba strojů a zařízení jinde nezařazených, oddíl 28, je bod 7.3. Pokud stroje vyrábíte a jste nad prahem velikosti, zákon se na vás vztahuje.
Velikost posuzuje § 4 odst. 1 písm. b) zákona podle doporučení Komise 2003/361/ES: 50 a více zaměstnanců, nebo obrat i bilanční suma nad 10 milionů eur. Stačí jedno z toho: buď počet zaměstnanců, nebo obě finanční hodnoty. Pod oběma hranicemi jste mimo, pokud vás NÚKIB neregistruje z jiného důvodu podle § 5 zákona. Výrobce strojů je přitom v režimu nižších povinností i jako velký podnik; vyšší režim má výroba jen výjimečně, například sériová výroba osobních automobilů (bod 7.4).
Výrobu strojů dělá zvláštní OT. Výrobní buňka má PLC, SCADA, HMI, řídicí systémy robotů a nad tím ERP a MES. Do stanoveného rozsahu (§ 12 zákona) patří všechna aktiva související s regulovanou službou, tedy i tato. Jako metodiku pro OT lze použít řadu norem IEC 62443 nebo stavební bloky IND německé metodiky IT-Grundschutz; závazné jsou ale požadavky vyhlášky č. 410/2025 Sb.
Příloha II, bod 5 směrnice NIS 2 (2022/2555): výroba
a) výroba zdravotnických prostředků a diagnostických zdravotnických prostředků in vitro […]; b) výroba počítačů, elektronických a optických přístrojů a zařízení: podniky vykonávající kteroukoliv z hospodářských činností ve smyslu sekce C oddílu 26 klasifikace NACE Rev. 2; c) výroba elektrických zařízení: […] oddílu 27 […]; d) výroba strojů a zařízení j. n.: podniky vykonávající kteroukoliv z hospodářských činností ve smyslu sekce C oddílu 28 klasifikace NACE Rev. 2; e) výroba motorových vozidel, přívěsů a návěsů: […] oddílu 29 […]; f) výroba ostatních dopravních prostředků a zařízení: […] oddílu 30 […].
Výrobci strojů jsou pod písmenem d). Směrnice mluví o podnicích, které vykonávají „kteroukoliv“ z činností oddílu 28, nejen hlavní činnost. Příloha II je seznam dalších kritických odvětví: subjekty z ní jsou podle směrnice důležité, ne základní. Česká vyhláška tomu odpovídá režimem nižších povinností.
Čl. 2 odst. 1 směrnice NIS 2: test velikosti
Tato směrnice se vztahuje na veřejné a soukromé subjekty, jejichž druhy jsou uvedeny v příloze I nebo II a které jsou považovány podle článku 2 přílohy doporučení 2003/361/ES za střední podniky, nebo které překračují stropy pro střední podniky stanovené v odstavci 1 uvedeného článku a které poskytují služby nebo vykonávají činnosti v rámci Unie.
Velikost se měří definicí malých a středních podniků EU: 50 a více zaměstnanců, nebo roční obrat i bilanční suma nad 10 milionů eur. Stačí jedno z toho. Směrnice zná několik případů, kdy na velikosti nezáleží (čl. 2 odst. 2); výroba strojů mezi ně nepatří. V Česku stanoví stejný práh § 4 odst. 1 písm. b) zákona č. 264/2025 Sb.
Vyhláška č. 408/2025 Sb., příloha, bod 7.3 (Česko)
Výrobce strojů a zařízení jinde nezařazených ve smyslu oddílu 28 klasifikace CZ-NACE je poskytovatelem regulované služby v režimu nižších povinností v případě, že je velkým nebo středním podnikem.
Česká vyhláška nedělí výrobce strojů podle velikosti do dvou režimů: střední i velký výrobce je v režimu nižších povinností a řídí se vyhláškou č. 410/2025 Sb. Za přestupek hrozí v tomto režimu pokuta až 175 milionů Kč nebo 1,4 % čistého celosvětového ročního obratu, podle toho, co je vyšší (§ 59 odst. 4 písm. b) zákona). Do režimu vyšších povinností by vás posunula jen registrace podle § 5 nebo jiná vaše služba ve vyšším režimu, protože pro organizaci platí jeden režim.
Oddíl 28 CZ-NACE nebo některý ze sousedů
Vyjděte ze svých kódů CZ-NACE (vede je Český statistický úřad v Registru ekonomických subjektů). Vyrábíte-li stroje a zařízení oddílu 28, jste výrobce strojů podle bodu 7.3. Sousední body jsou 7.1 (oddíl 26), 7.2 (oddíl 27), 7.4 (oddíl 29) a 7.5 (oddíl 30); výroba zdravotnických prostředků je v Česku v odvětví zdravotnictví (body 18.7 a 18.8). Vyhláška u výroby nestanoví podmínku hlavní činnosti ani podílu na obratu; ta platí jen u vody a odpadů. Smíšený provoz posuzujte podle toho, co skutečně vyrábí.
50 zaměstnanců nebo 10 milionů eur
Čl. 2 odst. 1 směrnice a § 4 odst. 1 písm. b) zákona chtějí alespoň střední podnik. Definice malých a středních podniků má dva prahy: 50 a více zaměstnanců, nebo roční obrat i bilanční suma nad 10 milionů eur. Propojené a partnerské podniky se započítávají. S.r.o. s 35 lidmi ve skupině se 400 lidmi se obvykle počítá se skupinou. Výjimkou je propojený nebo partnerský podnik, jehož technická aktiva jsou zcela oddělena od aktiv, která používáte pro regulovanou službu (§ 7 písm. c) zákona).
Vaše stopa OT
Zmapujte výrobní buňku jednou: PLC, SCADA, HMI, roboti, CNC, MES, ERP, inženýrské stanice, krabičky dodavatelů pro vzdálený přístup. Tento seznam patří do evidence aktiv ve stanoveném rozsahu (§ 12 zákona) a je i rozsahem hodnocení rizik. Osvědčená praxe: shodná aktiva evidujte jako jednu položku s počtem kusů (dvanáct shodných CNC). IT i OT jsou v rozsahu. Odpověď „OT je fyzicky oddělené, takže je mimo“ neobstojí: aktivum, které ještě nebylo posouzeno, je ze zákona součástí rozsahu (§ 12 odst. 4).
Příloha II je stále NIS 2
Subjekty z přílohy II jsou podle směrnice důležité, ne základní. V Česku tomu odpovídá režim nižších povinností: bezpečnostní opatření podle § 14 odst. 2 zákona a vyhlášky č. 410/2025 Sb., hlášení incidentů s významným dopadem Národnímu CERT a pokuta až 175 milionů Kč nebo 1,4 % obratu (proti 250 milionům Kč nebo 2 % ve vyšším režimu, § 59 odst. 4). Nižší režim neznamená žádné povinnosti: jeho opatření pokrývají všechny oblasti čl. 21 odst. 2 směrnice, jen méně podrobně.
OT je v působnosti, tečka
Zákon pracuje s aktivy: technickým aktivem je technický nebo programový prostředek anebo vybavení (§ 2 odst. 1 písm. f)), tedy i PLC, SCADA a roboti. Vyšší režim pro ně má dokonce samostatné opatření, „zabezpečení průmyslových, řídících a obdobných specifických technických aktiv“ (§ 14 odst. 1 písm. b) bod 11). Mezinárodní normou, kterou strojírenská praxe pro OT používá, je řada IEC 62443; stavební bloky IND má i německá metodika IT-Grundschutz. Posouzení, které OT vynechá, zákonu neodpovídá.
NÚKIB / vyhláška č. 410/2025 Sb.
NÚKIB je v Česku úřadem pro kybernetickou bezpečnost. Výrobce strojů v režimu nižších povinností zavádí opatření podle vyhlášky č. 410/2025 Sb. a vede přehled bezpečnostních opatření podle její přílohy č. 1, aktualizovaný alespoň jednou ročně (§ 3 odst. 2). K režimu nižších povinností vydává NÚKIB na Portálu NÚKIB manuál a vzory. Pro OT může jako metodika posloužit řada IEC 62443 nebo stavební bloky IND.1 až IND.3 německé metodiky IT-Grundschutz.
VDMA
Německé strojírenské sdružení VDMA (Verband Deutscher Maschinen- und Anlagenbau) vydává pro své členy oborová vodítka k NIS 2, aktu o kybernetické odolnosti a IEC 62443 a vede pracovní skupiny k bezpečnosti OT. Pro českého výrobce je to užitečný zdroj praxe, ne výklad českého zákona.
Technické implementační pokyny ENISA
ENISA vydala technická prováděcí vodítka k prováděcímu nařízení (EU) 2024/2690, která mapují opatření podle čl. 21 na ISO/IEC 27001:2022, NIST CSF 2.0 a další standardy (mapovací tabulka ve verzi 1.2 ze srpna 2025, licence CC BY 4.0). Nařízení samo platí pro digitální poskytovatele, ne pro výrobce strojů; vodítka ale mohou posloužit jako inspirace. Pro OT je podstatná řada IEC 62443.
Zákon o kybernetické bezpečnosti je pro velké průmyslové skupiny, ne pro naši strojírnu s 80 lidmi.
Práh je 50 zaměstnanců, nebo obrat i bilanční suma nad 10 milionů eur. Strojírna s 80 lidmi, která vyrábí stroje oddílu 28 CZ-NACE, je poskytovatelem regulované služby v režimu nižších povinností (bod 7.3 vyhlášky č. 408/2025 Sb.). Nižší režim existuje právě pro střední firmy: méně podrobná opatření a nižší horní hranice pokut, ale stejné oblasti zabezpečení.
Děláme jen finální montáž, skutečná výroba je u našich dodavatelů.
Vyhláška mluví o výrobci strojů a zařízení ve smyslu oddílu 28 CZ-NACE a směrnice o podnicích, které vykonávají „kteroukoliv“ z činností tohoto oddílu. Prodáváte-li hotové stroje nebo moduly pod vlastním jménem, jste výrobce, i když velká část dílů vzniká u dodavatelů. Rozhoduje to, co skutečně děláte, ne vyprávění o hodnotovém řetězci.
Většinou vyvážíme, takže se pravidla EU nepoužijí.
Zákon se vztahuje na osoby usazené v Česku (§ 1 odst. 2 zákona č. 264/2025 Sb.), ne podle toho, kam prodáváte. Je-li vaše společnost usazena v Česku a splňuje podmínky služby a velikosti, je regulovaná bez ohledu na to, kde jsou zákazníci. Vývozci jsou poskytovateli regulované služby jako každý jiný výrobce.
Osvědčený postup pro střední strojírnu: nejdřív jednostránkové posouzení působnosti (kódy CZ-NACE, počet zaměstnanců, obrat, zdůvodnění), pak srovnání opatření z vyhlášky č. 410/2025 Sb. se stávajícím IT a OT. Začněte tím, co už pro IT máte, a OT věnujte samostatnou pozornost.
Opatření zavádíte a incidenty hlásíte nejpozději do 1 roku od doručení rozhodnutí o registraci (§ 13 odst. 4 a § 15 odst. 4 zákona). Na začátek patří nejnaléhavější opatření: evidence aktiv, hodnocení rizik, dodavatelé, řešení incidentů, základní segmentace OT, vícefaktorové ověřování na inženýrských stanicích a krabičkách pro vzdálený přístup. Co nestihnete, zapište do přehledu bezpečnostních opatření s termínem, prioritou a odpovědnou osobou (vyhláška č. 410/2025 Sb., § 3 odst. 2 písm. a) bod 2). NÚKIB ve svých častých otázkách uvádí, že předpisy „nepředpokládají, že budou v zákonné lhůtě zavedena všechna bezpečnostní opatření“, je-li odklad odůvodněný.
- Směrnice (EU) 2022/2555 (NIS 2), příloha II, bod 5 (výroba) a čl. 2 odst. 1 (působnost a test velikosti): https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Doporučení Komise 2003/361/ES, příloha, článek 2 (definice malých a středních podniků): https://eur-lex.europa.eu/eli/reco/2003/361/oj
- Klasifikace ekonomických činností CZ-NACE, oddíly 26 až 30 (sdělení Českého statistického úřadu č. 400/2024 Sb.)
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 4 (podmínky registrace) a § 59 (pokuty): https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_4
- Vyhláška č. 408/2025 Sb., o regulovaných službách, příloha, bod 7.3: https://e-sbirka.gov.cz/sb/2025/408/2025-11-01
- Vyhláška č. 410/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu nižších povinností: https://e-sbirka.gov.cz/sb/2025/410/2025-11-01; NÚKIB, Často kladené otázky k novému zákonu: https://portal.nukib.gov.cz/informacni-servis/faq/faq-novy-zakon-o-kyberneticke-bezpecnosti
- ENISA, technická prováděcí vodítka k prováděcímu nařízení (EU) 2024/2690, mapovací tabulka v1.2 (srpen 2025); pro OT řada IEC 62443 a stavební bloky IND.1 až IND.3 německé metodiky IT-Grundschutz
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Registrace a hlášení
Ohlásit službu NÚKIB
Vaše firma ohlásí regulovanou službu NÚKIB, ten pak rozhodne o registraci.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
