Dodavatelé subjektů NIS 2 nejsou automaticky subjekty NIS 2
O působnosti rozhoduje, co jste, ne komu prodáváte. Vztahy se zákazníky vás dovnitř nevtáhnou. Povinnosti vašeho zákazníka k vám přicházejí přes jeho smlouvu: zákon mu ukládá zahrnout bezpečnostní požadavky do smluv s dodavateli (§ 13 odst. 5 zákona č. 264/2025 Sb.).
Stručná verze
O tom, zda se na vaši společnost vztahuje NIS 2, rozhoduje článek 2 směrnice, v Česku § 4 zákona č. 264/2025 Sb. Dva testy. Vaše služba musí být v seznamu (přílohy I a II směrnice, v Česku vyhláška č. 408/2025 Sb.). A musíte splnit práh velikosti (střední podnik podle doporučení Komise 2003/361/ES), s několika výjimkami bez ohledu na velikost. Kdo jsou vaši zákazníci, v testu není.
Prodej zákazníkovi spadajícímu pod NIS 2 vás tedy do působnosti nedostává. Ohlašovací povinnost máte jen tehdy, když vaše vlastní služba a vaše vlastní velikost samy o sobě projdou testem (§ 4 a § 6 odst. 1 zákona č. 264/2025 Sb.). Pokud neprojdou, nic neohlašujete, i kdyby každý zákazník na vašem seznamu byl uvnitř. Česká výjimka: NÚKIB může z moci úřední registrovat službu, jejíž narušení může způsobit závažný zásah do schopnosti poskytovat jinou regulovanou službu poskytovatele v režimu vyšších povinností (§ 5 písm. c), § 6 odst. 3). O tom ale rozhoduje NÚKIB v řízení s vaší firmou, ne zákazník.
Dodavatelským řetězcem putuje smlouva, ne zákon. Čl. 21 odst. 2 písm. d) směrnice a § 13 odst. 5 českého zákona ukládají regulovanému subjektu řídit bezpečnost vztahů se svými dodavateli. Jeho nástrojem je smlouva: ustanovení, dotazníky, žádosti o doklady. Tlak cítíte, protože odpověď chce váš zákazník, ne proto, že s vámi jedná NÚKIB.
Směrnice NIS 2 (EU) 2022/2555, čl. 2 odst. 1
Tato směrnice se vztahuje na veřejné a soukromé subjekty, jejichž druhy jsou uvedeny v příloze I nebo II a které jsou považovány podle článku 2 přílohy doporučení 2003/361/ES za střední podniky, nebo které překračují stropy pro střední podniky stanovené v odstavci 1 uvedeného článku a které poskytují služby nebo vykonávají činnosti v rámci Unie.
Působnost je vázána na dvě skutečnosti o samotném subjektu: sektor v příloze I nebo II a velikostní práh. Vztahy se zákazníky, smlouvy a vazby v dodavatelském řetězci v textu nejsou a působnost nerozšiřují. Čl. 2 odst. 2 až 4 přidává několik výjimek bez ohledu na velikost pro konkrétní typy subjektů, ale žádnou z nich nespouští to, že jste něčím dodavatelem.
Čl. 21 odst. 2 písm. d) NIS 2 + prováděcí nařízení Komise (EU) 2024/2690, příloha, oddíl 5
bezpečnost dodavatelského řetězce včetně bezpečnostních aspektů týkajících se vztahů mezi každým subjektem a jeho přímými dodavateli nebo poskytovateli služeb.
Čl. 21 odst. 2 písm. d) ukládá povinnost regulovanému subjektu (odběrateli), ne dodavateli. Příloha prováděcího nařízení (EU) 2024/2690, oddíl 5, z toho pro digitální poskytovatele dělá politiku bezpečnosti dodavatelského řetězce a seznam dodavatelů a poskytovatelů služeb. Dodavatel dělá to, co stojí ve smlouvě. Úřad jedná s odběratelem.
§ 13 odst. 5 zákona č. 264/2025 Sb. (Česko)
V případě, že poskytovatel regulované služby zavádí nebo provádí bezpečnostní opatření prostřednictvím dodavatele, je povinen vybírat svého dodavatele v souladu s požadavky vyplývajícími z bezpečnostního opatření a zahrnovat požadavky vyplývající z bezpečnostního opatření do smluv s dodavatelem.
Povinnost dopadá na poskytovatele regulované služby, ne na jeho dodavatele. Podrobnosti stanoví vyhlášky: v režimu nižších povinností zohlední odběratel při smlouvě s dodavatelem do stanoveného rozsahu jeho hrozby a zranitelnosti a do smlouvy dá relevantní požadavky z přílohy č. 2 vyhlášky č. 410/2025 Sb. (§ 3 odst. 5). V režimu vyšších povinností eviduje významné dodavatele a do smluv s nimi dává relevantní ustanovení z přílohy č. 5 vyhlášky č. 409/2025 Sb. (§ 9). Dodavatele tím do působnosti zákona nevtahuje.
Je vaše služba v seznamu?
Příloha I (vysoce kritická odvětví): energetika, doprava, bankovnictví, infrastruktura finančních trhů, zdravotnictví, pitná voda, odpadní voda, digitální infrastruktura, řízení služeb IKT, veřejná správa, vesmír. Příloha II (další kritická odvětví): poštovní služby, odpady, chemické látky, potraviny, výroba (zdravotnické prostředky, elektronika, elektrická zařízení, stroje, vozidla), digitální poskytovatelé, výzkum. V Česku rozhoduje konkrétní služba ve vyhlášce č. 408/2025 Sb. Pokud vaše podnikání v seznamu není, jste venku, ať prodáváte komukoli. Malá tiskárna, která dodává nemocnici, je stále tiskárna.
Jste střední podnik nebo větší?
Prahem je definice v doporučení Komise 2003/361/ES: alespoň 50 zaměstnanců, nebo obrat i bilanční suma nad 10 milionů eur. Pod ní jste venku, ledaže vás zachytí výjimka bez ohledu na velikost: v Česku například veřejné sítě a služby elektronických komunikací (body 16.1 a 16.2 vyhlášky č. 408/2025 Sb.), služby vytvářející důvěru (bod 16.12) nebo registrace z moci úřední podle § 5 zákona, například jako výhradní poskytovatel služby nebo jako služba, jejíž narušení může závažně zasáhnout do schopnosti poskytovatele v režimu vyšších povinností poskytovat jeho regulovanou službu (§ 5 písm. c)).
Vylučuje vás některá výjimka?
I když testy 1 a 2 projdete, může vás vyjmout čl. 2 odst. 7 směrnice (národní bezpečnost, veřejná bezpečnost, obrana, vymáhání práva), nebo může mít přednost odvětvový předpis: finanční subjekty pod DORA plní opatření a hlášení incidentů podle DORA (§ 70 zákona č. 264/2025 Sb.), službu ale NÚKIB stále ohlašují. To, že dodáváte regulovanému subjektu, není výjimka a samo o sobě ani spouštěč. Do působnosti vás může dostat jen rozhodnutí NÚKIB podle § 5 písm. c) zákona, pokud by narušení vaší služby závažně zasáhlo regulovanou službu zákazníka v režimu vyšších povinností.
Působnost na úrovni subjektu
Článek 2 váže směrnici na konkrétní subjekt podle jeho vlastních vlastností. Automaticky odvozená působnost neexistuje; i česká registrace podle § 5 písm. c) je rozhodnutí NÚKIB o vaší vlastní službě. DORA funguje stejně (finanční subjekty podle typu a velikosti). Směrnice CER funguje stejně (kritické subjekty podle sektoru). CRA funguje stejně (výrobci produktů s digitálními prvky). Každý nástroj vymezuje působnost podle toho, čím regulovaná strana je, ne podle toho, komu prodává.
Kaskádují smlouvy, ne zákon
Odběratel odpovídá za řízení bezpečnostních rizik svých dodavatelů (čl. 21 odst. 2 písm. d) NIS 2, § 13 odst. 5 zákona č. 264/2025 Sb.). Jeho nástrojem je smlouva, takže dodavatelé cítí obchodní, ne regulatorní tlak. Kolik dokladů může odběratel žádat, řídí přiměřenost: rizikový dodavatel softwaru dostane hlubší dotazník, kancelářský SaaS lehčí. Jako dodavatel čtěte tyto žádosti jako obchodní podmínky, ne jako příkazy úřadu.
NÚKIB: § 4 a § 13 odst. 5 zákona oddělují odběratele a dodavatele
§ 4 zákona č. 264/2025 Sb. a vyhláška č. 408/2025 Sb. posuzují služby a velikost samotného poskytovatele. § 13 odst. 5 činí poskytovatele regulované služby odpovědným za smlouvy s dodavateli. Ani jedno ustanovení nevtahuje do působnosti dodavatele, který podmínky sám nesplňuje. Kalkulačka NÚKIB posuzuje službu a velikost toho, kdo ji vyplňuje, ne jeho zákazníků. Dostanete-li od zákazníka v režimu vyšších povinností písemné oznámení, že jste jeho významným dodavatelem (vyhláška č. 409/2025 Sb., § 9 odst. 1 písm. e)), je to informace pro vaši smlouvu, ne registrace.
ENISA: působnost podle článku 2, riziko dodavatelů podle článku 21
Implementační vodítka ENISA pojednávají o působnosti a opatřeních pro dodavatelský řetězec jako o dvou samostatných otázkách. Působnost je příloha I nebo II plus velikost. Bezpečnost dodavatelů je jedním z opatření, které subjekt v působnosti provádí jako součást vlastního řízení rizik. Dodavatele to do NIS 2 nevtahuje. Registr ENISA podle článku 27 uvádí jen subjekty, které jsou samy v působnosti.
Vlastní zákony, stejný princip u dodavatelů
Směrnice je minimální harmonizace (čl. 5): členské státy smějí jít nad její rámec a Česko to dělá, například o obranný průmysl. I v Česku se ale působnost váže na službu a velikost samotného subjektu, ne na to, komu dodává. Nizozemská firma na nakládání s odpady, která dodává belgickému provozovateli energetiky, se posuzuje podle svých vlastních činností a velikosti podle nizozemského práva.
Náš zákazník je v působnosti, takže jsme i my.
Ne. Čl. 2 odst. 1 směrnice a § 4 zákona č. 264/2025 Sb. se na vás vztahují podle vaší služby a vaší velikosti. Postavení vašeho zákazníka v testu není. Smluvní bezpečnostní ustanovení, která vám zákazník předloží, možná dodržet musíte. Poskytovatelem regulované služby vás to nedělá, jen smluvní stranou.
NIS 2 kaskáduje dolů dodavatelským řetězcem.
Ne. Kaskádují smlouvy, zákon ne. Odběratel odpovídá za bezpečnost vztahů se svými dodavateli a přenáší ji do smluv (§ 13 odst. 5 zákona, čl. 21 odst. 2 písm. d) NIS 2). Zavázáni jste odběrateli (smlouvou), ne úřadu (zákonem). Totéž pro subdodavatele: smluvní požadavky míří na přímého dodavatele; zda je máte přenést na své subdodavatele, určí vaše smlouva.
Zákazník nám řekl, ať se zaregistrujeme u NÚKIB, takže musíme.
Ne. Ohlásit službu NÚKIB (§ 6 odst. 1 zákona č. 264/2025 Sb.) musí jen ten, kdo sám splňuje podmínky registrace podle § 4. Zákazník vám povinnost ohlášení vymyslet nemůže. Trvá-li na ní, zeptejte se, kterou službu z vyhlášky č. 408/2025 Sb. a jaký práh velikosti má na mysli. Není-li odpověď ve vyhlášce, povinnost neexistuje. Jiná věc je, když jste například poskytovatel řízených služeb (body 16.13 a 16.14) a střední podnik: pak jste regulovaní sami za sebe.
Jste-li odběratel v režimu nižších povinností, zohledníte při smlouvě s dodavatelem do stanoveného rozsahu jeho hrozby, zranitelnosti a kvalitu jeho bezpečnostních postupů a do smlouvy dáte relevantní požadavky z přílohy č. 2 vyhlášky č. 410/2025 Sb. (§ 3 odst. 5). V režimu vyšších povinností stanovíte pravidla pro dodavatele, řídíte rizika s nimi spojená, evidujete významné dodavatele, písemně je o tom informujete a do smluv s nimi dáte relevantní ustanovení z přílohy č. 5 vyhlášky č. 409/2025 Sb. (§ 9). Hloubku dokladů škálujete podle rizika: rizikový dodavatel softwaru dostane hlubší dotaz než firma, která vám tiskne vizitky.
Jste-li dodavatel a váš zákazník je regulovaný, proveďte test působnosti nejdřív na sobě. Neprojdete-li jím, poskytovatelem regulované služby nejste. Zákazník vám přesto pošle smluvní bezpečnostní požadavky. Čtěte je jako obchodní podmínky: vyjednávejte rozsah, hloubku dokladů, právo na audit a lhůty pro oznámení incidentu. Projdete-li testem sami, ohlaste službu NÚKIB (§ 6 odst. 1) a plňte povinnosti podle svého režimu bez ohledu na to, co chce kterýkoli zákazník.
- Směrnice (EU) 2022/2555 (NIS 2), článek 2 (působnost), příloha I a příloha II (odvětví), čl. 21 odst. 2 písm. d) (bezpečnost dodavatelského řetězce) a čl. 21 odst. 3 (zohlednění zranitelností specifických pro dodavatele): https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Prováděcí nařízení Komise (EU) 2024/2690 ze dne 17. října 2024, příloha, oddíl 5 (bezpečnost dodavatelského řetězce; platí pro digitální poskytovatele): https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Doporučení Komise 2003/361/ES, článek 2 přílohy (práh středního podniku: alespoň 50 zaměstnanců, nebo obrat i bilanční suma nad 10 milionů eur): https://eur-lex.europa.eu/eli/reco/2003/361/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 4 a § 13 odst. 5: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_13; vyhláška č. 410/2025 Sb., § 3 odst. 5 a příloha č. 2: https://e-sbirka.gov.cz/sb/2025/410/2025-11-01#par_3; vyhláška č. 409/2025 Sb., § 9 a příloha č. 5: https://e-sbirka.gov.cz/sb/2025/409/2025-11-01#par_9
- Implementační vodítka ENISA k NIS 2 a specifikace registru subjektů podle čl. 27: působnost podle čl. 2 rozhoduje o tom, zda je subjekt registrován; opatření pro dodavatelský řetězec podle čl. 21 rozhodují o tom, co subjekt v působnosti dělá ohledně svých dodavatelů.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
