Jsme poskytovatel služeb vytvářejících důvěru podle NIS 2?
Poskytovatelé služeb vytvářejících důvěru jsou v příloze I NIS 2, odvětví 8. Čl. 2 odst. 2 písm. a) bod ii) je zahrnuje bez ohledu na velikost, kvalifikované i nekvalifikované. Velikost rozhoduje jen o kategorii: kvalifikovaný poskytovatel je vždy základním subjektem. V Česku to vyhláška č. 408/2025 Sb. promítá do režimů. Nařízení eIDAS platí souběžně a upravuje samotnou službu.
Stručně
Poskytovatelem služeb vytvářejících důvěru je fyzická nebo právnická osoba, která poskytuje jednu či více služeb vytvářejících důvěru ve smyslu čl. 3 bodu 16 nařízení eIDAS (EU) č. 910/2014 ve znění nařízení (EU) 2024/1183: mimo jiné vydávání a ověřování platnosti certifikátů, vytváření a ověřování elektronických podpisů a pečetí, jejich uchovávání, správu prostředků pro vytváření podpisů na dálku, elektronická potvrzení atributů, elektronická časová razítka, elektronické doporučené doručování, elektronickou archivaci a zaznamenávání do elektronické knihy záznamů. Příloha I NIS 2 je jmenuje výslovně v odvětví 8 (digitální infrastruktura).
Čl. 2 odst. 2 písm. a) bod ii) NIS 2 pak vypíná test velikosti, což u většiny ostatních odvětví neplatí: směrnice se vztahuje na poskytovatele služeb vytvářejících důvěru bez ohledu na jejich velikost. Kvalifikovaní poskytovatelé (čl. 3 bod 20 eIDAS) jsou navíc vždy základními subjekty (čl. 3 odst. 1 písm. b) NIS 2). Dvoučlenný kvalifikovaný poskytovatel, který vydává kvalifikované certifikáty pro elektronické podpisy, má stejnou kategorii jako certifikační autorita s 500 zaměstnanci.
Nekvalifikovaní poskytovatelé jsou v působnosti také, bez ohledu na velikost. Velký nekvalifikovaný poskytovatel je základním subjektem, menší důležitým (čl. 3 odst. 1 písm. a) a odst. 2 NIS 2). V Česku to vyhláška č. 408/2025 Sb., bod 16.12, převádí do režimů: kvalifikovaný poskytovatel a velký nekvalifikovaný jsou v režimu vyšších povinností, nekvalifikovaný střední podnik, malý podnik nebo mikropodnik v režimu nižších povinností. Souběžně běží nařízení eIDAS pro samotnou službu a zákon č. 264/2025 Sb. pro kybernetické povinnosti firmy (bezpečnostní opatření, hlášení incidentů).
Směrnice NIS 2 (EU) 2022/2555, příloha I, odvětví 8 (digitální infrastruktura)
8. Digitální infrastruktura: provozovatelé výměnných uzlů internetu; provozovatelé DNS, s výjimkou operátorů kořenových jmenných serverů; registry domén nejvyšší úrovně (TLD); poskytovatelé služeb cloud computingu; poskytovatelé služeb datových center; poskytovatelé sítí pro doručování obsahu; poskytovatelé služeb vytvářejících důvěru; poskytovatelé veřejných sítí elektronických komunikací; poskytovatelé veřejně dostupných služeb elektronických komunikací.
Citováno z českého znění Úředního věstníku (Úř. věst. L 333, 27.12.2022). Poskytovatelé služeb vytvářejících důvěru jsou jedním z druhů subjektů v odvětví 8. Výčet nerozlišuje kvalifikované a nekvalifikované poskytovatele; to rozlišení dělá až čl. 3 NIS 2 a nařízení eIDAS.
Čl. 2 odst. 2 písm. a) bod ii) a čl. 3 odst. 1 písm. b) NIS 2 + čl. 3 bod 20 eIDAS
Čl. 2 odst. 2 NIS 2: Bez ohledu na jejich velikost se tato směrnice vztahuje také na subjekty, jejichž druh je uveden v příloze I nebo II, pro něž platí, že: a) služby jsou poskytovány: … ii) poskytovateli služeb vytvářejících důvěru. Čl. 3 odst. 1 písm. b) NIS 2: [Pro účely této směrnice se za základní subjekty považují] kvalifikovaní poskytovatelé služeb vytvářejících důvěru, registry domén nejvyšší úrovně a provozovatelé DNS bez ohledu na jejich velikost. Čl. 3 bod 20 eIDAS: „kvalifikovaným poskytovatelem služeb vytvářejících důvěru“ poskytovatel služeb vytvářejících důvěru, který poskytuje jednu či více kvalifikovaných služeb vytvářejících důvěru a kterému orgán dohledu udělil status kvalifikovaného poskytovatele.
Dvě definice nad sebou. Čl. 3 bod 16 eIDAS říká, co je služba vytvářející důvěru; po novele nařízením (EU) 2024/1183 patří mezi ně i elektronická archivace, elektronická potvrzení atributů a elektronické knihy záznamů. Čl. 3 bod 20 říká, kdo je kvalifikovaný poskytovatel: ten, komu status udělil orgán dohledu a jehož status je vyznačen v důvěryhodném seznamu (čl. 21 odst. 3 a čl. 22 eIDAS). NIS 2 pak říká: poskytovatel služeb vytvářejících důvěru je v působnosti bez ohledu na počet zaměstnanců či obrat, a je-li kvalifikovaný, je vždy základním subjektem.
Zákon č. 264/2025 Sb. a vyhláška č. 408/2025 Sb., bod 16.12 (Česko)
Poskytovatel služby vytvářející důvěru podle přímo použitelného předpisu Evropské unie je I. poskytovatelem regulované služby v režimu vyšších povinností v případě, že je a) kvalifikovaným poskytovatelem služby vytvářející důvěru, nebo b) nekvalifikovaným poskytovatelem služby vytvářející důvěru a zároveň velkým podnikem, nebo II. poskytovatelem regulované služby v režimu nižších povinností v případě, že je nekvalifikovaným poskytovatelem a zároveň středním podnikem, malým podnikem, nebo mikropodnikem.
Nařízení eIDAS platí přímo. Český doprovodný zákon č. 297/2016 Sb. svěřuje úkoly orgánu dohledu Digitální a informační agentuře, která také zveřejňuje důvěryhodné seznamy (§ 13 odst. 1 a 3). Kybernetické povinnosti podle NIS 2 stojí navrch: ukládá je zákon č. 264/2025 Sb. a dozoruje NÚKIB. Bezpečnostní opatření se u služeb vytvářejících důvěru řídí prováděcím nařízením Komise (EU) 2024/2690 (§ 18 odst. 1 zákona), ve vyšším režimu v rozsahu pro základní subjekty, v nižším pro důležité (§ 18 odst. 4).
Poskytujete službu vytvářející důvěru?
Porovnejte svou nabídku s čl. 3 bodem 16 eIDAS ve znění nařízení (EU) 2024/1183. Uzavřený výčet zahrnuje vydávání a ověřování platnosti certifikátů pro elektronické podpisy, pečetě a autentizaci internetových stránek, vytváření a ověřování elektronických podpisů a pečetí, jejich uchovávání, správu prostředků pro vytváření podpisů a pečetí na dálku, vydávání a ověřování elektronických potvrzení atributů, elektronická časová razítka, elektronické doporučené doručování, elektronickou archivaci a zaznamenávání do elektronické knihy záznamů. Služba je zpravidla poskytována za úplatu. Nespadá-li vaše nabídka do žádné z těchto kategorií, nejste poskytovatelem služeb vytvářejících důvěru, ať používáte kryptografie sebevíc.
Jste poskytovatel, nebo jen uživatel?
Poskytovatel vydává nebo provozuje službu vytvářející důvěru pro jiné. Firma, která podepisuje vlastní faktury přes externí kvalifikovanou podpisovou službu, je uživatelem této služby, ne jejím poskytovatelem. Poradenská firma, která klientovi pomáhá zavést podpisové postupy, je také uživatelem. Status poskytovatele závisí na tom, zda samotnou službu vytvářející důvěru vytváříte, ověřujete, doručujete nebo uchováváte pro někoho jiného za úplatu.
Kvalifikovaný, nebo nekvalifikovaný?
Podívejte se do českého důvěryhodného seznamu, který zveřejňuje Digitální a informační agentura (§ 13 odst. 3 zákona č. 297/2016 Sb.). Jste-li tam uvedeni jako kvalifikovaný poskytovatel, jste základním subjektem a v Česku v režimu vyšších povinností bez ohledu na velikost (vyhláška č. 408/2025 Sb., bod 16.12). Nejste-li uvedeni, jste nekvalifikovaní: velký podnik je ve vyšším režimu, střední podnik, malý podnik nebo mikropodnik v nižším. V působnosti jste v obou případech. Dvou- a tříčlenní kvalifikovaní poskytovatelé jsou v tomto odvětví běžní.
Velikost nerozhoduje o působnosti
Čl. 2 odst. 2 NIS 2 vyjmenovává případy, kdy se test velikosti neuplatní, a poskytovatelé služeb vytvářejících důvěru jsou mezi nimi. Důvod je strukturální: škoda z kompromitovaného kvalifikovaného certifikátu nezávisí na velikosti poskytovatele. Každý podpis, pečeť nebo časové razítko vydané pod ním ztrácí důvěryhodnost. Dvoučlenná certifikační autorita může narušit podpisový řetězec celého členského státu. Proto je test velikosti vypnutý a kvalifikovaní poskytovatelé jsou vždy základními subjekty.
Dva souběžné režimy: eIDAS a zákon o kybernetické bezpečnosti
Článek 19 eIDAS, který dříve upravoval bezpečnost služeb vytvářejících důvěru, zrušil čl. 42 NIS 2 s účinkem od 18. října 2024. Bezpečnostní opatření a hlášení incidentů dnes plynou z NIS 2, v Česku ze zákona č. 264/2025 Sb. Nařízení eIDAS dál upravuje samotnou službu: kvalifikovaný poskytovatel se alespoň jednou za 24 měsíců podrobí auditu subjektu posuzování shody, který potvrzuje i soulad s čl. 21 NIS 2 (čl. 20 odst. 1), a narušení bezpečnosti oznamuje orgánu dohledu do 24 hodin (čl. 24 odst. 2 písm. fb)); nekvalifikovaný podle čl. 19a. Orgánem dohledu podle eIDAS je v Česku Digitální a informační agentura, kybernetickým úřadem NÚKIB.
NÚKIB / zákon č. 264/2025 Sb. (strana NIS 2)
NÚKIB je kybernetickým úřadem podle zákona č. 264/2025 Sb. Službu mu ohlašujete přes Portál NÚKIB do 60 dnů od splnění podmínek (§ 6 odst. 1). Kvalifikovaný poskytovatel je v režimu vyšších povinností a incidenty hlásí NÚKIB; nekvalifikovaný poskytovatel v nižším režimu hlásí incidenty s významným dopadem Národnímu CERT (§ 15, postup podle § 16). U služeb vytvářejících důvěru je i oznámení po prvotním hlášení splatné do 24 hodin od zjištění incidentu, ne do 72 hodin (§ 16 odst. 3 písm. a)). Bezpečnostní opatření se řídí prováděcím nařízením (EU) 2024/2690 (§ 18 odst. 1 a 4).
Digitální a informační agentura (strana eIDAS)
Digitální a informační agentura plní úkoly orgánu dohledu podle nařízení eIDAS (§ 13 odst. 1 zákona č. 297/2016 Sb.) a zveřejňuje důvěryhodné seznamy (§ 13 odst. 3). Uděluje status kvalifikovaného poskytovatele, přijímá zprávy o posouzení shody (čl. 20 odst. 1 eIDAS) a oznámení o narušení bezpečnosti do 24 hodin (čl. 24 odst. 2 písm. fb)). Je-li incident zároveň hlášeným incidentem podle zákona č. 264/2025 Sb., hlásíte ho oběma úřadům.
Pokyny ENISA a evropská peněženka digitální identity
ENISA vydala technické prováděcí pokyny k prováděcímu nařízení (EU) 2024/2690, které pro služby vytvářející důvěru v Česku platí přes § 18 zákona č. 264/2025 Sb. Novela eIDAS (nařízení (EU) 2024/1183) zároveň zavedla evropskou peněženku digitální identity a nové služby vytvářející důvěru, například elektronická potvrzení atributů a elektronickou archivaci, a tím okruh poskytovatelů rozšiřuje.
Vnitrostátní transpoziční zákony
eIDAS je nařízení, takže pravidla pro služby vytvářející důvěru jsou v celé EU jednotná. NIS 2 je směrnice a každý členský stát ji provádí sám: Česko zákonem č. 264/2025 Sb., jiné státy vlastními zákony, například Nizozemsko (Cyberbeveiligingswet) nebo Rakousko (NISG). Příloha I, odvětví 8, a pravidlo bez ohledu na velikost z čl. 2 odst. 2 platí všude. Příslušný úřad pro stranu NIS 2 se liší podle země.
Nekvalifikované služby vytvářející důvěru jsou mimo NIS 2.
Chyba. Nekvalifikovaní poskytovatelé jsou v příloze I, odvětví 8, a čl. 2 odst. 2 písm. a) bod ii) NIS 2 je zahrnuje bez ohledu na velikost. Kvalifikace rozhoduje jen o kategorii. V Česku je nekvalifikovaný poskytovatel časových razítek se 60 zaměstnanci v režimu nižších povinností (vyhláška č. 408/2025 Sb., bod 16.12), velký nekvalifikovaný poskytovatel v režimu vyšších povinností.
eIDAS už kybernetickou bezpečnost pokrývá, takže NIS 2 nic nepřidává.
Článek 19 eIDAS, který upravoval bezpečnost služeb vytvářejících důvěru, už neplatí: zrušil ho čl. 42 NIS 2 s účinkem od 18. října 2024. Bezpečnostní opatření a hlášení incidentů proto plynou z NIS 2, v Česku ze zákona č. 264/2025 Sb.: opatření podle prováděcího nařízení (EU) 2024/2690 od řízení rizik po kryptografii, dodavatele a řízení přístupu (§ 18 odst. 1) a hlášení incidentů NÚKIB nebo Národnímu CERT s prvotním hlášením do 24 hodin (§§ 15 a 16). eIDAS k tomu přidává vlastní požadavky na službu. Dva souběžné režimy, žádný nenahrazuje druhý.
Jsme příliš malí na NIS 2.
Pro poskytovatele služeb vytvářejících důvěru je velikost špatná otázka. Čl. 2 odst. 2 písm. a) bod ii) NIS 2 vás zahrnuje bez ohledu na počet zaměstnanců, obrat či bilanční sumu, kvalifikované i nekvalifikované. Dvoučlenná kvalifikovaná certifikační autorita je ve stejné kategorii jako nadnárodní: základní subjekt, v Česku režim vyšších povinností. Důvod je na straně uživatelů: každý podpis vydaný pod kompromitovaným kvalifikovaným certifikátem ztrácí důvěryhodnost bez ohledu na to, kdo certifikát vydal.
Typický případ: kvalifikovaný poskytovatel s 12 zaměstnanci, který vydává kvalifikované certifikáty pro elektronické podpisy, podrobuje se auditu posouzení shody podle eIDAS alespoň jednou za 24 měsíců a je zapsán v českém důvěryhodném seznamu, který zveřejňuje Digitální a informační agentura. Působnost NIS 2 je automatická podle čl. 2 odst. 2 písm. a) bodu ii). Vyhláška č. 408/2025 Sb. (bod 16.12) ho řadí do režimu vyšších povinností. Dva úřady, dva kanály hlášení, jedna firma.
Co praktici skutečně dělají: vezmou doklady z auditu podle čl. 20 eIDAS, který už ověřuje i soulad s čl. 21 NIS 2, a využijí je pro odpovídající opatření podle prováděcího nařízení (EU) 2024/2690 (kryptografie, řízení přístupu, zvládání incidentů, kontinuita činností). Ohlásí službu přes Portál NÚKIB. Doplní, co eIDAS nepokrývá: požadavky na dodavatele ve smlouvách (§ 13 odst. 5 zákona č. 264/2025 Sb.) a kanál hlášení incidentů NÚKIB vedle oznámení Digitální a informační agentuře. Oba režimy se překrývají v kryptografii a reakci na incidenty; vše ostatní je navíc.
- Směrnice (EU) 2022/2555 (NIS 2), příloha I odvětví 8, čl. 2 odst. 2 písm. a) bod ii), čl. 3 odst. 1 písm. b) a čl. 42: https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:32022L2555
- Nařízení (EU) č. 910/2014 (eIDAS) ve znění nařízení (EU) 2024/1183, čl. 3 body 16, 19 a 20, čl. 19a, 20, 22 a 24: https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:02014R0910-20241018
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, §§ 4 až 8, 15, 16 a 18: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_18
- Vyhláška č. 408/2025 Sb., o regulovaných službách, příloha, bod 16.12: https://e-sbirka.gov.cz/sb/2025/408/2025-11-01
- Zákon č. 297/2016 Sb., o službách vytvářejících důvěru pro elektronické transakce, § 13 (Digitální a informační agentura, důvěryhodné seznamy): https://e-sbirka.gov.cz/sb/2016/297/2023-04-01#par_13
- Prováděcí nařízení Komise (EU) 2024/2690 (technické a metodické požadavky na opatření), k němuž vydala ENISA technické prováděcí pokyny: https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:32024R2690
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Registrace a hlášení
Ohlásit službu NÚKIB
Vaše firma ohlásí regulovanou službu NÚKIB, ten pak rozhodne o registraci.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
