Jsme poskytovatel řízených služeb podle NIS 2?
NIS 2 přidala poskytovatele řízených služeb (MSP) jako nové odvětví, které v NIS 1 nebylo. Pokud vzdáleně provozujete IT zákazníků, velmi pravděpodobně spadáte do působnosti. Příloha I, odvětví 9, jmenuje činnost, čl. 6 bod 39 ji definuje. Test velikosti platí a výjimky bez ohledu na velikost se na MSP nevztahují.
Stručně
NIS 1 poskytovatele řízených služeb jako kategorii vůbec neznala. Směrnice z roku 2022 je doplnila. Příloha I, odvětví 9, uvádí řízení služeb IKT (mezi podniky) a čl. 6 bod 39 dává právní definici: subjekt, který poskytuje služby související s instalací, správou, provozem nebo údržbou produktů IKT, sítí, infrastruktury, aplikací nebo jakýchkoli jiných sítí a informačních systémů, a to prostřednictvím asistence nebo aktivní správy, buď v prostorách zákazníků, nebo na dálku. Zákon č. 264/2025 Sb. definuje řízenou službu téměř stejně (§ 2 odst. 3 písm. g)). Pokud vás to popisuje, jste s největší pravděpodobností MSP v působnosti.
MSP a MSSP jsou dvě kategorie. Čl. 6 bod 40 definuje MSSP jako poskytovatele řízených služeb, který provádí činnosti související s řízením kybernetických bezpečnostních rizik nebo pro tyto činnosti poskytuje asistenci; český zákon obdobně v § 2 odst. 3 písm. h). Obě jsou v příloze I, odvětví 9, a ve vyhlášce č. 408/2025 Sb. jako body 16.13 a 16.14. Firma může být obojím zároveň. Většina obecných IT firem jsou MSP, ne MSSP. Čisté SOC je MSSP.
Test velikosti platí. NIS 2 se obvykle vztahuje na střední a větší podniky: alespoň 50 zaměstnanců, nebo obrat i bilanční suma nad 10 milionů eur (čl. 2 odst. 1, doporučení 2003/361/ES). Čl. 2 odst. 2 vyjmenovává případy bez ohledu na velikost: sítě a služby elektronických komunikací, služby vytvářející důvěru, registry TLD a provozovatele DNS a několik dalších. Řízené služby mezi nimi nejsou. Vyhláška č. 408/2025 Sb. to potvrzuje: velký MSP je v režimu vyšších povinností, střední v režimu nižších a malý MSP pod testem velikosti regulován není, pokud ho NÚKIB neurčí podle § 5 zákona.
Směrnice NIS 2 (EU) 2022/2555, příloha I, odvětví 9
9. Řízení služeb IKT (mezi podniky): poskytovatelé řízených služeb; poskytovatelé řízených bezpečnostních služeb.
NIS 1 toto odvětví vůbec neobsahovala. NIS 2 ho zavedla jako nové, což je jedno z největších praktických rozšíření působnosti ve směrnici. MSP i MSSP patří do téhož odvětví 9 přílohy I. Upřesnění „mezi podniky“ má význam: služby spotřebitelům odvětví 9 nepokrývá, služby jiným firmám ano. Vyhláška č. 408/2025 Sb. to říká výslovně: regulovaná je služba poskytovaná „zákazníkům, kteří nejsou spotřebiteli“.
Čl. 6 bod 39 směrnice NIS 2 (definice MSP)
„poskytovatelem řízených služeb“ subjekt, který poskytuje služby související s instalací, správou, provozem nebo údržbou produktů IKT, sítí, infrastruktury, aplikací nebo jakýchkoli jiných sítí a informačních systémů, a to prostřednictvím asistence nebo aktivní správy, které jsou prováděny buď v prostorách zákazníků, nebo na dálku.
Čl. 6 bod 40 doplňuje definici MSSP: poskytovatel řízených služeb, který provádí činnosti související s řízením kybernetických bezpečnostních rizik nebo pro tyto činnosti poskytuje asistenci. Směrnice volí slovesa záměrně: instalace, správa, provoz, údržba, aktivní správa. Prodej produktu bez průběžného provozu definici nesplňuje. Help desk, který resetuje hesla, aniž by systémy provozoval, ji také nesplňuje.
Zákon č. 264/2025 Sb., § 2 odst. 3 písm. g), a vyhláška č. 408/2025 Sb., bod 16.13 (Česko)
§ 2 odst. 3 písm. g) zákona: [Pro účely tohoto zákona se dále rozumí] řízenou službou služba související s instalací, správou, provozem nebo údržbou technických aktiv, a to prostřednictvím asistence nebo aktivní správy, které jsou prováděny v prostorách zákazníků nebo na dálku. Vyhláška č. 408/2025 Sb., bod 16.13: Poskytovatel řízené služby, s výjimkou služby uvedené v bodu 16.14, poskytující tuto službu zákazníkům, kteří nejsou spotřebiteli, je I. poskytovatelem regulované služby v režimu vyšších povinností v případě, že je velkým podnikem, nebo II. poskytovatelem regulované služby v režimu nižších povinností v případě, že je středním podnikem.
Česká definice mluví o technických aktivech, tedy podle § 2 odst. 1 písm. f) zákona o technických nebo programových prostředcích a vybavení. Bod 16.14 vyhlášky upravuje stejně řízenou bezpečnostní službu (MSSP). U obou služeb se bezpečnostní opatření řídí prováděcím nařízením (EU) 2024/2690 (§ 18 odst. 1 zákona), ve vyšším režimu v rozsahu pro základní subjekty, v nižším pro důležité (§ 18 odst. 4). Hlásí se každý incident s významným dopadem na poskytování služby (§ 18 odst. 2).
Aktivně provozujete IT zákazníků?
Čl. 6 bod 39 NIS 2 i § 2 odst. 3 písm. g) zákona č. 264/2025 Sb. jmenují slovesa, která se počítají: instalace, správa, provoz, údržba, aktivní správa. V prostorách zákazníka nebo na dálku. Vztah se zákazníkem musí být průběžný, ne jednorázová instalace. Čistý webhosting bez správy je mimo. Prodej softwarové licence bez další péče je mimo. Provoz řízeného firewallu, záplatování serverů zákazníka, správa jeho tenanta Microsoft 365, vzdálená správa koncových zařízení: to vše se počítá. Zákazníci musí být firmy nebo úřady, ne spotřebitelé (vyhláška č. 408/2025 Sb., bod 16.13).
Jste střední nebo větší?
Čl. 2 odst. 1 NIS 2 a doporučení 2003/361/ES: alespoň 50 zaměstnanců, nebo obrat i bilanční suma nad 10 milionů eur. Test se uplatní na právnickou osobu. Výjimky bez ohledu na velikost v čl. 2 odst. 2 se týkají elektronických komunikací, služeb vytvářejících důvěru, registrů TLD a provozovatelů DNS a několika dalších případů; MSP mezi nimi nejsou. V Česku je velký MSP v režimu vyšších povinností, střední v režimu nižších (vyhláška č. 408/2025 Sb., bod 16.13). Malý MSP pod testem velikosti je mimo, pokud ho NÚKIB neurčí podle § 5 zákona č. 264/2025 Sb.
Poskytujete také bezpečnostní služby?
Čl. 6 bod 40 NIS 2 a § 2 odst. 3 písm. h) zákona č. 264/2025 Sb. definují řízenou bezpečnostní službu jako řízenou službu, která spočívá v činnostech souvisejících s řízením kybernetických bezpečnostních rizik nebo v asistenci pro ně. SOC, řízená detekce a reakce, služba řízení zranitelností: to jsou činnosti MSSP. Obecná IT firma, která provozuje servery a koncová zařízení, je MSP. Firma, která navíc provozuje bezpečnostní nástroje zákazníka, je obojím. Pro režim je to jedno: v bodech 16.13 i 16.14 vyhlášky č. 408/2025 Sb. je velký podnik ve vyšším režimu a střední v nižším.
„Řízené“ je široký seznam sloves, ne marketingová nálepka
Některé firmy si MSP neříkají, a přesto definici splňují. Jiné si tak říkají, a nesplňují ji. Právním testem je výčet sloves v čl. 6 bodu 39 NIS 2 a v § 2 odst. 3 písm. g) zákona: instalace, správa, provoz, údržba a aktivní správa produktů, sítí, infrastruktury, aplikací nebo systémů IKT pro jiné. Pokud tato slovesa popisují, co pro zákazníky opakovaně děláte, jste MSP bez ohledu na to, co stojí na vašem webu.
Vaše vlastní interní IT z vás MSP nedělá
Provoz IT pro sebe není řízená služba. Zákazníkem musí být někdo jiný. Interní IT oddělení, které slouží vlastnímu zaměstnavateli, není MSP. Samostatná servisní společnost ve skupině, která provozuje IT pro sesterské firmy, je jiný případ a obvykle se počítá, protože sesterské firmy jsou samostatné právnické osoby a nejsou spotřebiteli. Tento případ rozebírá stránka o IT ve skupině.
NÚKIB / zákon č. 264/2025 Sb. a vyhláška č. 408/2025 Sb.
NÚKIB je kybernetickým úřadem pro MSP v Česku. Vyhláška č. 408/2025 Sb. jmenuje řízenou službu (bod 16.13) a řízenou bezpečnostní službu (bod 16.14), obě pro zákazníky, kteří nejsou spotřebiteli. Službu ohlašujete přes Portál NÚKIB do 60 dnů od splnění podmínek (§ 6 odst. 1 zákona). Hlásí se každý incident s významným dopadem na službu, posuzovaný podle prováděcího nařízení (EU) 2024/2690 (§ 18 odst. 2): ve vyšším režimu NÚKIB, v nižším Národnímu CERT, oba přes Portál NÚKIB.
Technické pokyny k implementaci od ENISA
Pokyny ENISA vykládají prováděcí nařízení (EU) 2024/2690, které je pro řízené služby v Česku závazné (§ 18 odst. 1 zákona č. 264/2025 Sb.). Mapovací tabulka ENISA převádí jednotlivé body nařízení na ISO 27001, NIST CSF 2.0 a ETSI EN 319 401, takže MSP, který už provozuje ISMS nebo postupy podle ETSI, může velkou část práce využít znovu.
MSP v NL, AT, BE a jinde
Článek 6 směrnice je jedna sada definic pro celou EU a ostatní státy znění přebírají, například Rakousko (NISG), Nizozemsko (Cyberbeveiligingswet) nebo Belgie (zákon NIS2). Pro řízené služby ale platí zvláštní pravidlo příslušnosti: spadají pod členský stát, kde mají hlavní provozovnu v Unii (čl. 26 odst. 1 písm. b) NIS 2). Český zákon proto MSP s hlavní provozovnou v jiném členském státě ukládá jen povinnosti podle § 18 odst. 1 (§ 18 odst. 3). Věcná definice se mezi zeměmi nemění.
My jen reagujeme na tickety, ve skutečnosti systémy zákazníků nespravujeme.
Pokud tickety zahrnují instalaci, konfiguraci, záplatování nebo provoz systémů zákazníka na průběžné bázi, jde o aktivní správu podle čl. 6 bodu 39 NIS 2 a § 2 odst. 3 písm. g) zákona č. 264/2025 Sb. Reaktivní práce neznamená mimo působnost. Help desk, který jen resetuje hesla a nesahá na samotné systémy, je úzká výjimka. Help desk, který záplatuje Windows, restartuje služby nebo rozesílá konfiguraci koncových zařízení, poskytuje řízené služby.
Jsme příliš malí na působnost, výjimka nás stejně vtáhne.
Čl. 2 odst. 2 NIS 2 malé MSP bez ohledu na velikost nezahrnuje. Výjimky se týkají sítí a služeb elektronických komunikací, služeb vytvářejících důvěru, registrů TLD a provozovatelů DNS a několika dalších případů. MSP mezi nimi nejsou a vyhláška č. 408/2025 Sb. (bod 16.13) reguluje jen střední a velké. Malý MSP pod testem velikosti (méně než 50 zaměstnanců a nepřekročené finanční prahy) je mimo zákon, pokud ho NÚKIB neurčí podle § 5. Regulovaní zákazníci po vás přesto mohou bezpečnostní opatření chtít smluvně, protože požadavky na dodavatele musí mít ve smlouvách (§ 13 odst. 5 zákona č. 264/2025 Sb.).
Obsluhujeme pouze vlastní skupinu, takže jsme interní IT oddělení.
Jsou-li firmy, které obsluhujete, právně samostatné, i v rámci jedné skupiny, poskytujete služby jiným osobám ve smyslu čl. 6 bodu 39. Centrální IT servisní s.r.o., která provozuje infrastrukturu pro sesterské společnosti, je podle NIS 2 MSP; sesterské společnosti navíc nejsou spotřebiteli (vyhláška č. 408/2025 Sb., bod 16.13). Samostatná stránka o IT ve skupině tento případ rozebírá podrobněji.
Typický MSP se 70 zaměstnanci, asi 80 zákazníky z malých a středních firem a službami jako správa koncových zařízení, administrace Microsoft 365, řízené firewally a záplatování serverů zákazníků je jednoznačně v působnosti NIS 2. Příloha I, odvětví 9, zachytí činnost, čl. 6 bod 39 slovesa. Test velikosti splní se 70 zaměstnanci s rezervou. V Česku je to regulovaná služba podle bodu 16.13 vyhlášky č. 408/2025 Sb.; jako střední podnik je v režimu nižších povinností.
Řízení rizik musí pokrýt správní infrastrukturu, která sahá do systémů zákazníků: nástroje RMM, jump hosty, SOC, pokud ho provozujete, a privilegované přístupy. Opatření se řídí prováděcím nařízením (EU) 2024/2690 v rozsahu pro důležité subjekty (§ 18 odst. 1 a 4 zákona č. 264/2025 Sb.). Hlásí se incidenty s významným dopadem na poskytování služby (§ 18 odst. 2). Každou regulovanou službu (16.13, případně 16.14) ohlašujete NÚKIB přes Portál NÚKIB. Smlouvy zákazníků pak obsahují požadavky na dodavatele, které míří na tatáž opatření (§ 13 odst. 5); tady se shoda v dodavatelském řetězci potkává se shodou MSP.
- Směrnice (EU) 2022/2555 (NIS 2), příloha I odvětví 9 (řízení služeb IKT mezi podniky): https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:32022L2555
- Směrnice (EU) 2022/2555 (NIS 2), čl. 6 bod 39 (definice poskytovatele řízených služeb) a čl. 26 (příslušnost): https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:32022L2555
- Směrnice (EU) 2022/2555 (NIS 2), čl. 6 bod 40 (definice poskytovatele řízených bezpečnostních služeb): https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:32022L2555
- Směrnice (EU) 2022/2555 (NIS 2), čl. 2 odst. 1 a 2: https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:32022L2555
- Doporučení Komise 2003/361/ES o definici mikropodniků, malých a středních podniků: https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:32003H0361
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 2 odst. 3 písm. g) a h), §§ 4 až 8 a § 18: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_18
- Vyhláška č. 408/2025 Sb., o regulovaných službách, příloha, body 16.13 a 16.14: https://e-sbirka.gov.cz/sb/2025/408/2025-11-01
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Registrace a hlášení
Ohlásit službu NÚKIB
Vaše firma ohlásí regulovanou službu NÚKIB, ten pak rozhodne o registraci.
Bezpečnost dodavatelského řetězce
Sepište, kdo pro vás pracuje
Seznam vašich dodavatelů a poskytovatelů služeb.
Bezpečnost dodavatelského řetězce
Zaznamenejte, co máte s dodavateli sjednáno
U každého dodavatele: co říká smlouva o bezpečnosti?
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
