IT společnosti ve skupině jako poskytovatelé řízených služeb podle NIS 2
Když centrální IT vaší skupiny slouží dceřiným společnostem, může být tato IT společnost v působnosti NIS 2 sama o sobě. Příloha I odvětví 9 (řízení služeb IKT mezi podniky) jmenuje poskytovatele řízených služeb a řízených bezpečnostních služeb. Čl. 6 body 39 a 40 je definují. V Česku jde o regulované služby podle vyhlášky č. 408/2025 Sb. (body 16.13 a 16.14).
Stručná verze
Řada českých a evropských skupin sdružuje své IT do jednoho centrálního oddělení nebo jedné servisní společnosti, která pro zbytek skupiny provozuje infrastrukturu, aplikace a bezpečnost. Otázka NIS 2 zní, zda se tato IT společnost sama o sobě počítá jako poskytovatel řízených služeb (MSP), odděleně od toho, co dělá mateřská společnost nebo dceřiné společnosti.
Záleží na tom, protože poskytovatelé řízených služeb a řízených bezpečnostních služeb spadají do přílohy I odvětví 9 směrnice (řízení služeb IKT mezi podniky). Pokud zde působíte a jste alespoň středním podnikem, jste v působnosti. V Česku je střední podnik v režimu nižších povinností a velký v režimu vyšších povinností (vyhláška č. 408/2025 Sb., body 16.13 a 16.14). Sami o sobě. S vlastním ohlášením služby, vlastním řízením rizik a vlastní povinností hlásit incidenty. Příslušnost ke skupině nic z toho nepohlcuje.
Stránka prochází tři vrstvy. Zaprvé, co směrnice skutečně říká v příloze I odvětví 9 a v čl. 6 bodech 39 a 40. Zadruhé, třídílný test, který vám řekne, zda IT společnost ve skupině spadá do působnosti. Zatřetí, česká úprava, výklad z praxe a chybné výklady, které slýcháme nejčastěji.
Příloha I sektor 9 směrnice NIS 2 (2022/2555)
Řízení služeb IKT (mezi podniky): poskytovatelé řízených služeb; poskytovatelé řízených bezpečnostních služeb.
Příloha I odvětví 9 (v českém znění „Řízení služeb IKT (mezi podniky)“) jmenuje poskytovatele řízených služeb a řízených bezpečnostních služeb jako druhy subjektů v působnosti. Mají vlastní odvětví, oddělené od přílohy I odvětví 8 (digitální infrastruktura: cloud, datová centra, DNS, CDN, služby vytvářející důvěru).
Čl. 6 body 39 a 40 směrnice NIS 2
Pro účely této směrnice se rozumí: […] 39) „poskytovatelem řízených služeb“ subjekt, který poskytuje služby související s instalací, správou, provozem nebo údržbou produktů IKT, sítí, infrastruktury, aplikací nebo jakýchkoli jiných sítí a informačních systémů, a to prostřednictvím asistence nebo aktivní správy, které jsou prováděny buď v prostorách zákazníků, nebo na dálku; 40) „poskytovatelem řízených bezpečnostních služeb“ poskytovatel řízených služeb, který provádí činnosti související s řízením kybernetických bezpečnostních rizik nebo poskytuje asistenci pro tyto činnosti;
Čl. 6 bod 39 definuje poskytovatele řízených služeb, bod 40 poskytovatele řízených bezpečnostních služeb. Testem je to, co subjekt dělá (instalace, správa, provoz, údržba, aktivní správa), nikoli to, zda fakturuje externím zákazníkům.
Česko: § 2 odst. 3 písm. g) zákona č. 264/2025 Sb. a vyhláška č. 408/2025 Sb., bod 16.13
řízenou službou služba související s instalací, správou, provozem nebo údržbou technických aktiv, a to prostřednictvím asistence nebo aktivní správy, které jsou prováděny v prostorách zákazníků nebo na dálku […] Poskytovatel řízené služby, s výjimkou služby uvedené v bodu 16.14, poskytující tuto službu zákazníkům, kteří nejsou spotřebiteli, je I. poskytovatelem regulované služby v režimu vyšších povinností v případě, že je velkým podnikem, nebo II. poskytovatelem regulované služby v režimu nižších povinností v případě, že je středním podnikem.
Česká definice mluví o technických aktivech, tedy o technickém nebo programovém prostředku anebo vybavení (§ 2 odst. 1 písm. f) zákona). Vyhláška reguluje řízenou službu poskytovanou zákazníkům, kteří nejsou spotřebiteli; dceřiné společnosti spotřebiteli nejsou. Samostatnou odpověď k vnitroskupinovému IT jsme ve FAQ NÚKIB nenašli (stav k říjnu 2026). V Německu dospěla advokátní kancelář Piltz Legal k závěru, že centrální IT společnosti skupin pod definici poskytovatele řízených služeb obvykle spadají.
Vlastní právní subjekt
Je centrální IT zřízeno jako vlastní právní subjekt (s.r.o., a.s. nebo obdobná forma v jiném členském státě)? Pokud ano, posuzuje se samostatně. Regulovaným subjektem může být jen subjekt s právní osobností (NÚKIB, Pobočky zahraničních společností, 2026). Pokud je IT jen interním nákladovým střediskem bez právní subjektivity, působnost běží přes společnost, která ho provozuje.
Řízené služby pro jiné strany
Instaluje, spravuje, provozuje, udržuje nebo aktivně spravuje subjekt produkty IKT, sítě, infrastrukturu, aplikace nebo systémy pro jiné osoby? Dceřiné společnosti jsou právně oddělené od IT servisní společnosti, a to i uvnitř téže skupiny. Služby pro ně se počítají jako služby pro jiné osoby podle čl. 6 bodu 39 směrnice a § 2 odst. 3 písm. g) zákona č. 264/2025 Sb. Spotřebiteli nejsou, takže jde o zákazníky ve smyslu bodu 16.13 vyhlášky č. 408/2025 Sb.
Splněn práh velikosti
Dosahuje IT subjekt prahu středního podniku (50 nebo více zaměstnanců, nebo obrat nad 10 milionů EUR a zároveň bilanční suma nad 10 milionů EUR; v Česku se částky přepočtou na koruny kurzem ČNB, § 2 odst. 2 vyhlášky č. 408/2025 Sb.)? Pozor na pravidlo propojených podniků podle doporučení Komise 2003/361/ES: počítá zaměstnance a finanční ukazatele za celou skupinu. IT společnost s 30 lidmi uvnitř skupiny se 400 lidmi se počítá na úrovni skupiny. Výjimka § 7 písm. c) zákona pro podniky se zcela oddělenými technickými aktivy skupinovému IT zpravidla nepomůže, protože technická aktiva skupiny samo spravuje.
Každý právní subjekt se posuzuje samostatně
Působnost NIS 2 se určuje pro každý právní subjekt zvlášť. To, že je v působnosti mateřská společnost (řekněme jako výrobce), automaticky nevtahuje dovnitř IT dceřinou společnost. To, že je v působnosti IT dceřiná společnost, nevtahuje dovnitř mateřskou společnost. Každý subjekt ohlašuje své regulované služby, řídí rizika a hlásí incidenty z titulu vlastní povinnosti. V Česku se registruje regulovaná služba konkrétní společnosti (§ 6 zákona č. 264/2025 Sb.).
Působnost rozhoduje funkce, nikoli účel
Čl. 6 bod 39 popisuje, co subjekt dělá, nikoli proč. Služby nemusejí být komerční, oceněné za tržních podmínek ani prodávané externím zákazníkům. IT společnost, která existuje pouze pro obsluhu vlastní skupiny, stále poskytuje řízené služby podle definice. Působnost rozhoduje to, co děláte. To, proč to děláte, nikoli.
Zákon č. 264/2025 Sb. a vyhláška č. 408/2025 Sb.
Česká definice řízené služby (§ 2 odst. 3 písm. g) zákona) stojí na stejné funkci jako čl. 6 bod 39 směrnice. Vyhláška č. 408/2025 Sb. reguluje řízenou službu i řízenou bezpečnostní službu poskytovanou zákazníkům, kteří nejsou spotřebiteli: velký podnik je v režimu vyšších povinností, střední v režimu nižších (body 16.13 a 16.14). Samostatnou odpověď k vnitroskupinovému IT jsme ve FAQ NÚKIB nenašli (stav k říjnu 2026).
Článek 6 je v celé EU stejný
Článek 6 směrnice je jeden soubor definic, který zavazuje každý členský stát. Vnitrostátní zákony je přebírají, často téměř doslova. Česká, německá, nizozemská, rakouská a belgická úprava všechny vycházejí z čl. 6 bodů 39 a 40, takže třídílný test funguje všude podobně.
Zrcadlové transpozice
Nizozemsko (Cyberbeveiligingswet), Rakousko (NISG) a Belgie (NIS2-Wet) vložily definice poskytovatele řízených služeb a řízených bezpečnostních služeb do vnitrostátního práva. V Německu zveřejnila advokátní kancelář Piltz Legal výklad, podle kterého centrální IT společnosti skupin obvykle spadají pod definici MSP. IT společnost ve skupině, která působí přes hranice, může být v působnosti v několika členských státech naráz, s oddělenou registrací u každého vnitrostátního příslušného orgánu.
Interní IT se nepočítá jako MSP.
Záleží na tom, jak je nastaveno. Pokud je centrální IT vlastním právním subjektem a slouží jiným, právně samostatným společnostem skupiny, jsou to řízené služby pro jiné osoby podle čl. 6 bodu 39. Čisté interní nákladové středisko bez právní subjektivity v působnosti samo o sobě není. Servisní s.r.o. uvnitř skupiny obvykle ano.
Počítají se jen komerční MSP s externími zákazníky.
Čl. 6 bod 39 popisuje funkci (instalace, správa, provoz, údržba, aktivní správa produktů IKT, sítí, infrastruktury, aplikací nebo systémů), nikoli komerční účel. Vnitroskupinové IT společnosti, které slouží pouze vlastním dceřiným společnostem, definici stále splňují, pokud tuto funkci vykonávají. Česká definice v § 2 odst. 3 písm. g) zákona č. 264/2025 Sb. také popisuje činnost, ne účel; v Německu dochází ke stejnému závěru výklad Piltz Legal.
Působnost mateřské společnosti automaticky pokrývá IT dceřinou společnost.
NIS 2 se dívá na každý právní subjekt samostatně. Mateřská společnost může být v působnosti jako výrobce podle přílohy II, zatímco IT dceřiná společnost je v působnosti podle přílohy I odvětví 9 jako poskytovatel řízených služeb. Registrace, řízení rizik a hlášení incidentů se vážou ke každému subjektu zvlášť; v Česku ohlašuje každá společnost své regulované služby sama (§ 6 zákona č. 264/2025 Sb.). Jediné místo, kde se skupina posuzuje jako celek, je test velikosti.
Skupiny léta slučovaly své IT do jedné servisní společnosti. Čistší provoz, lepší zacházení s DPH, méně duplicit. NIS 2 tento motiv zčásti obrací. Konsolidovaná IT společnost skupiny, která dříve létala pod regulatorním radarem, může nyní být poskytovatelem regulované služby sama o sobě, s vlastním ohlášením na Portálu NÚKIB, vlastním řízením rizik a vlastní linkou pro hlášení incidentů NÚKIB nebo Národnímu CERT.
Co to v praxi znamená: strukturální rozhodnutí, která jste učinili z daňových nebo provozních důvodů, potřebují druhý pohled s NIS 2 před sebou. Pokud je IT subjekt v působnosti jako poskytovatel řízených služeb, je zároveň dodavatelem svých zákazníků ve skupině a ti po něm mohou chtít smluvní požadavky podle čl. 21 odst. 2 písm. d) (v Česku § 13 odst. 5 zákona č. 264/2025 Sb.). Tito zákazníci mohou sami být v působnosti podle přílohy I nebo II. Tatáž interní smlouva pak spadá pod NIS 2 z obou stran.
- Směrnice (EU) 2022/2555 (NIS 2), čl. 6 body 39 a 40 a příloha I odvětví 9 (řízení služeb IKT mezi podniky): https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Piltz Legal, „Konzern-IT-Gesellschaften unter der NIS 2-Richtlinie“ (německý výklad): https://piltz.legal/news/konzern-it-gesellschaften-unter-der-nis-2-richtlinie
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 2 odst. 3 písm. g) a h), § 4, § 6 a § 7: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_2
- Doporučení Komise 2003/361/ES o definici mikropodniků, malých a středních podniků (pravidlo propojených podniků): https://eur-lex.europa.eu/eli/reco/2003/361/oj
- Vyhláška č. 408/2025 Sb., o regulovaných službách, příloha, body 16.13 a 16.14: https://e-sbirka.gov.cz/sb/2025/408/2025-11-01
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Registrace a hlášení
Ohlásit službu NÚKIB
Vaše firma ohlásí regulovanou službu NÚKIB, ten pak rozhodne o registraci.
Bezpečnost dodavatelského řetězce
Sepište, kdo pro vás pracuje
Seznam vašich dodavatelů a poskytovatelů služeb.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
