Dceřiná společnost a holding podle NIS 2

Článek 2 NIS 2 (působnost)

Tato směrnice se vztahuje na veřejné a soukromé subjekty, jejichž druhy jsou uvedeny v příloze I nebo II a které jsou považovány podle článku 2 přílohy doporučení 2003/361/ES za střední podniky, nebo které překračují stropy pro střední podniky stanovené v odstavci 1 uvedeného článku a které poskytují služby nebo vykonávají činnosti v rámci Unie.

Působnost se váže na subjekt, který sám provádí činnost podle přílohy I nebo II. Čl. 2 odst. 2 a 3 doplňují případy „bez ohledu na velikost“ (DNS, registry TLD, poskytovatelé služeb vytvářejících důvěru, poskytovatelé veřejných sítí elektronických komunikací, výhradní poskytovatelé služeb zásadních pro kritické činnosti, kritické subjekty podle CER a další), které zatahují jednotlivé subjekty i pod práh středního podniku.

Doporučení Komise 2003/361/ES, příloha čl. 3 odst. 3 a čl. 6 odst. 2 (propojené podniky)

„Propojenými podniky“ se rozumějí podniky, mezi nimiž existuje některý z následujících vztahů: a) podnik vlastní většinu hlasovacích práv, která náležejí společníkům nebo členům, v jiném podniku, b) podnik má právo jmenovat nebo odvolat většinu členů správního, řídicího nebo dozorčího orgánu jiného podniku, […] K údajům uvedeným v prvním a druhém pododstavci je připojeno 100 % hodnot všech podniků, které jsou s daným podnikem přímo či nepřímo propojeny, pokud tyto hodnoty nejsou již zahrnuty do konsolidované účetní závěrky.

To je pravidlo, které NIS 2 přejímá odkazem v čl. 2 odst. 1. Dceřiná společnost s 30 zaměstnanci, kterou většinově vlastní mateřská společnost se 400 zaměstnanci, se pro test velikosti počítá jako součást skupiny se 430 zaměstnanci. Bod odůvodnění 16 umožňuje členským státům zohlednit, jak je subjekt na partnerských a propojených podnicích nezávislý, zejména u sítí a informačních systémů. Výchozí bod ale zní: čísla sečtěte.

§ 4 odst. 1 písm. b) a § 7 zákona č. 264/2025 Sb. (Česko)

Odchylně od pravidel doporučení Komise 2003/361/ES pro účely tohoto zákona platí, že a) čl. 3 odst. 4 doporučení Komise 2003/361/ES se neuplatní, […] c) za partnerský nebo propojený podnik se nepovažují osoby, jejichž technická aktiva jsou zcela oddělena od technických aktiv, která používá posuzovaná osoba při poskytování regulované služby

Zákon zachovává logiku pro každý subjekt zvlášť: službu ohlašuje její poskytovatel (§ 6 odst. 1). Velikost se posuzuje podle doporučení 2003/361/ES (§ 4 odst. 1 písm. b)) a NÚKIB ve FAQ připomíná, že se u holdingů započítávají i partnerské a propojené podniky. § 7 písm. c) je česká podoba bodu odůvodnění 16: osoby se zcela oddělenými technickými aktivy se nezapočítávají. Ostatní členské státy se řídí stejným doporučením. Znění transpozice se liší. Mechanika nikoli.

Česko posuzuje velikost podle doporučení 2003/361/ES (§ 4 odst. 1 písm. b) zákona) se dvěma odchylkami v § 7: neuplatní se čl. 3 odst. 4 doporučení a nezapočítávají se podniky se zcela oddělenými technickými aktivy. Dceřiná společnost je samostatná právnická osoba a ohlášení regulované služby činí sama za sebe; mateřská společnost ji neohlašuje. Podle NÚKIB odpovídají dceřiné společnosti v rámci jednoho holdingu za plnění povinností vůči regulačnímu orgánu v zemi, kde jsou regulované (Pobočky zahraničních společností, 4. května 2026).

Materiály ENISA k působnosti se řídí směrnicí: působnost je pro každý subjekt, velikost se sčítá podle 2003/361/ES. Neexistuje zkratka v podobě „registrace skupiny“. Argument nezávislosti podle bodu odůvodnění 16 existuje. Je to však výjimka, kterou musíte prokázat, ne cesta k plánování.

Nizozemský Cyberbeveiligingswet a rakouské nové znění NISG zachovávají působnost pro každý subjekt a přejímají doporučení o malých a středních podnicích. Znění se liší. Pravidlo sčítání propojených podniků nikoli.