NIS 2, když máte sídlo mimo EU

Čl. 26 odst. 2 směrnice NIS 2 (2022/2555)

Pro účely této směrnice se má za to, že hlavní provozovna subjektu podle odst. 1 písm. b) v Unii je umístěna v členském státě, v němž jsou převážně přijímána rozhodnutí týkající se opatření k řízení kybernetických bezpečnostních rizik. Nelze-li takový členský stát určit, nebo nejsou-li tato rozhodnutí přijímána v Unii, má se za to, že hlavní provozovna je v členském státě, v němž daný subjekt provádí činnosti k zajištění kybernetické bezpečnosti. Nelze-li takový členský stát určit, má se za to, že dotčený subjekt má hlavní provozovnu v členském státě, v němž má provozovnu s nejvyšším počtem zaměstnanců v Unii.

Kaskáda, která určuje, který stát na vás dohlíží. Platí pro digitální služby jmenované v čl. 26 odst. 1 písm. b). Nejdřív rozhodnutí o kybernetické bezpečnosti, pak činnosti k jejímu zajištění, nakonec provozovna s nejvíce zaměstnanci v Unii.

Čl. 26 odst. 3 směrnice NIS 2 (2022/2555)

Jestliže subjekt uvedený v odst. 1 písm. b) není v Unii usazen, ale nabízí v Unii služby, určí svého zástupce v Unii. Tento zástupce musí být usazen v jednom z členských států, v němž jsou služby nabízeny. Má se za to, že tento subjekt podléhá pravomoci členského státu místa usazení zástupce. Neexistuje-li zástupce v Unii určený podle tohoto odstavce, může právní kroky proti subjektu za porušení této směrnice podniknout kterýkoli členský stát, v němž tento subjekt poskytuje služby.

Povinnost pro digitální poskytovatele mimo EU podle čl. 26 odst. 1 písm. b). Zástupce je kontaktní místo a ukotvuje pravomoc. Článek 27 přidává registr: subjekty předají údaje příslušnému úřadu, včetně údajů o zástupci, a jednotná kontaktní místa je postoupí agentuře ENISA (čl. 27 odst. 2 a 4).

§ 1 odst. 2 a § 67 zákona č. 264/2025 Sb. (Česko)

Tento zákon se vztahuje na osoby, které jsou usazeny na území České republiky. Tento zákon se dále vztahuje na osoby, které na území České republiky zajišťují sítě nebo poskytují služby elektronických komunikací podle jiného právního předpisu, bez ohledu na místo jejich usazení. [§ 1 odst. 2] / […] Zástupcem je osoba usazená v České republice, které osoba poskytující služby registrace doménových jmen nebo poskytovatel některé z uvedených regulovaných služeb udělili zmocnění zastupovat je ve vztahu k povinnostem podle tohoto zákona. [§ 67 odst. 1]

Český zákon sleduje směrnici. Kdo v Česku poskytuje některou z digitálních služeb podle § 67 odst. 1 a nemá hlavní provozovnu v EU nebo EHP ani zástupce v jiném členském státě, musí si ustanovit zástupce v Česku. Se zástupcem v Česku se považuje za usazeného v Česku; stejně tak, pokud si zástupce neustanovil v žádném členském státě (§ 67 odst. 2). Ustanovení zástupce nemění odpovědnost poskytovatele za dodržování zákona (§ 67 odst. 3).

NÚKIB dohlíží na subjekty usazené v Česku, ať jde o českou dceřinou společnost, nebo o zahraniční společnost s pobočkou. Podle NÚKIB ohlašuje službu vždy zahraniční společnost, jíž je pobočka součástí; protože zahraniční společnosti nejsou v českých základních registrech, pověří plnou mocí zástupce, který jedná přes Portál NÚKIB, dostupný jen v češtině. U digitálních služeb s hlavní provozovnou nebo zástupcem v Česku předává NÚKIB identifikační údaje agentuře ENISA (§ 65 odst. 1 písm. d) zákona).

ENISA vede registr digitálních poskytovatelů podle čl. 27 odst. 1: provozovatelé DNS, registry domén nejvyšší úrovně, subjekty poskytující služby registrace jmen domén, cloud, datová centra, sítě pro doručování obsahu, řízené a řízené bezpečnostní služby, on-line tržiště, vyhledávače a sociální sítě. Údaje do něj postupují jednotná kontaktní místa členských států. Registr umožňuje přeshraniční dohled v praxi.

Každý členský stát má vlastní prováděcí zákon a příslušný úřad; v Česku je to zákon č. 264/2025 Sb. a NÚKIB. Kaskáda článku 26 je ve směrnici, takže je v celé Unii stejná. Liší se portál, jazyk a místní úřad, se kterým skutečně jednáte.