Jsme subjektem veřejné správy podle NIS 2?

Čl. 2 odst. 2 písm. f) směrnice NIS 2 (EU) 2022/2555

Bez ohledu na jejich velikost se tato směrnice vztahuje také na subjekty, jejichž druh je uveden v příloze I nebo II, pro něž platí, že: … f) subjekt je subjektem veřejné správy: i) ústřední vlády, jak je vymezena členským státem podle vnitrostátního práva; nebo ii) na regionální úrovni, jak je vymezena členským státem podle vnitrostátního práva, a na základě posouzení rizik poskytuje služby, jejichž narušení by mohlo mít významný dopad na kritické společenské nebo hospodářské činnosti.

Citováno z českého znění Úředního věstníku (Úř. věst. L 333, 27.12.2022). Dvě poloviny. Ústřední vláda je v působnosti automaticky. Regionální úroveň jen tehdy, když ji členský stát na základě posouzení rizik zahrne. Test velikosti z čl. 2 odst. 1 se neuplatní ani na jednu. Čl. 2 odst. 5 písm. a) navíc dovoluje státům zahrnout i místní úroveň; česká vyhláška zahrnuje obce s rozšířenou působností a městské části Praha 1 až 22.

Čl. 2 odst. 7 směrnice NIS 2 (vynětí)

Tato směrnice se nevztahuje na subjekty veřejné správy, které vykonávají činnosti v oblasti národní bezpečnosti, veřejné bezpečnosti, obrany nebo vymáhání práva, včetně prevence, vyšetřování, odhalování a stíhání trestných činů.

Čl. 2 odst. 8 dovoluje členským státům vyjmout konkrétní subjekty z povinností podle čl. 21 a 23 v souvislosti s těmito činnostmi, a subjekty činné výlučně v těchto oblastech i z dalších povinností. Soudnictví, parlamenty a centrální banky definice subjektu veřejné správy nezahrnuje (čl. 6 bod 35). Česká vyhláška č. 408/2025 Sb. přesto výslovně jmenuje Policejní prezidium, krajská ředitelství policie, Generální inspekci bezpečnostních sborů, kanceláře komor Parlamentu, Ústavní soud a Českou národní banku. Pro český úřad proto rozhoduje výčet ve vyhlášce. Zákon č. 264/2025 Sb. se nevztahuje na systémy, které nakládají s utajovanými informacemi (§ 1 odst. 4).

Zákon č. 264/2025 Sb., § 7 písm. b), a vyhláška č. 408/2025 Sb., bod 1.1 (Česko)

§ 7 zákona: Odchylně od pravidel doporučení Komise 2003/361/ES pro účely tohoto zákona platí, že … b) za podnik se nepovažují organizační složky státu, územní samosprávné celky a Česká národní banka. Vyhláška č. 408/2025 Sb., bod 1.1: I. Poskytovatelem regulované služby v režimu vyšších povinností je a) ústřední orgán státní správy, b) jiný správní úřad s celostátní působností neuvedený v písmeni a), … s) kraj, nebo t) hlavní město Praha. II. Poskytovatelem regulované služby v režimu nižších povinností je a) správní úřad nebo jeho součást s krajskou, okresní nebo jinou územní působností, b) profesní komora, c) vysoká škola, d) Akademie věd České republiky, e) obec s rozšířenou působností, nebo f) městská část Praha 1 až Praha 22.

Regulovanou službou je „výkon svěřených pravomocí“ (bod 1.1). Velikost se u státu a samosprávy nepočítá, protože podle § 7 písm. b) zákona nejsou podnikem; rozhoduje jen, zda je úřad ve výčtu. Kraje a Praha jsou ve vyšším režimu, obce s rozšířenou působností a pražské městské části v nižším. U profesních komor se výčet nevztahuje na jejich regionální struktury (poznámka pod čarou č. 8 vyhlášky).

NÚKIB je kybernetickým úřadem pro celou veřejnou správu. Ústřední orgány státní správy a další úřady z bodu 1.1 I. vyhlášky jsou v režimu vyšších povinností: službu ohlašují přes Portál NÚKIB (§ 6 odst. 1 zákona), zavádějí opatření podle vyhlášky č. 409/2025 Sb., provádějí audit kybernetické bezpečnosti alespoň jednou za 2 roky (§ 16 odst. 4) a hlásí incidenty NÚKIB (§ 15 odst. 1 zákona).

Kraje a hlavní město Praha jsou v režimu vyšších povinností, obce s rozšířenou působností a městské části Praha 1 až Praha 22 v režimu nižších povinností (vyhláška č. 408/2025 Sb., bod 1.1). Výčet platí od účinnosti vyhlášky 1. listopadu 2025 (§ 4 vyhlášky) a žádný další krajský předpis není potřeba. Úřady v nižším režimu zavádějí opatření podle vyhlášky č. 410/2025 Sb. a incidenty s významným dopadem hlásí Národnímu CERT (§ 15 odst. 2 zákona č. 264/2025 Sb.).

ENISA zveřejňuje přehled transpozice NIS 2 s vnitrostátními zákony a příslušnými orgány jednotlivých členských států. Je to nejjednodušší výchozí bod pro přeshraniční úřady a organizace sdílených služeb, které řeší, u kterého regulátora se v které zemi hlásí.

Čl. 2 odst. 2 písm. f) zavazuje veřejnou správu v celé EU. Česko ho provádí zákonem č. 264/2025 Sb. a vyhláškou č. 408/2025 Sb., jiné státy vlastními zákony, například Nizozemsko (Cyberbeveiligingswet) nebo Rakousko (NISG). Pravidlo bez ohledu na velikost je všude stejné. Každý stát sám rozhoduje, co je ústřední správa a které regionální a místní subjekty zahrne.