Kdo je v působnosti NIS 2: úplný test podle článku 2 a zákona č. 264/2025 Sb.
Článek 2 NIS 2 stanoví celounijní test působnosti. Tři části: odvětví (příloha I nebo II), velikost (střední nebo větší podle doporučení 2003/361/ES) a případy bez ohledu na velikost. Česko ho provádí zákonem č. 264/2025 Sb. a vyhláškou č. 408/2025 Sb., které vyjmenovávají konkrétní služby. Tato stránka prochází obojí v pořadí, v jakém to má kontrola působnosti číst.
Krátká verze
Existuje jeden celounijní test toho, zda vás NIS 2 zavazuje. Žije v článku 2 směrnice. Má tři pohyblivé části. Sektor. Velikost. Výjimka. Většina výkladů pokrývá první dvě a končí. Ta třetí je místo, kde se vtahují malé subjekty a kde se odehrává většina překvapení.
Článek 2 odst. 1 je základní případ. Jste v působnosti, pokud sedíte v sektoru uvedeném v příloze I (sektory s vysokou kritičností) nebo příloze II (jiné kritické sektory) a jste alespoň středním podnikem podle doporučení 2003/361/ES. Článek 2 odst. 2 pak uvádí případy, kdy jste v působnosti bez ohledu na velikost. Telekomunikace, poskytovatelé služeb vytvářejících důvěru, DNS, registry TLD, výhradní poskytovatelé základních služeb, subjekty veřejné správy a několik dalších. Pod prahem velikosti neznamená mimo.
Česko provádí test zákonem č. 264/2025 Sb.: regulovaná je služba z vyhlášky č. 408/2025 Sb. v některém z 15 odvětví, jejíž poskytovatel je střední nebo velký podnik, nebo je významný podle podmínek vyhlášky (§ 4 odst. 1). Případy bez ohledu na velikost řeší vyhláška u jednotlivých služeb a § 5 zákona. Vyhláška je v mnohém konkrétnější než směrnice a přidává například obranný průmysl. Test projděte jednou, výsledek zapište a uschovejte: to je vaše posouzení působnosti.
Článek 2 odst. 1 směrnice NIS 2 (2022/2555)
Tato směrnice se vztahuje na veřejné a soukromé subjekty, jejichž druhy jsou uvedeny v příloze I nebo II a které jsou považovány podle článku 2 přílohy doporučení 2003/361/ES za střední podniky, nebo které překračují stropy pro střední podniky stanovené v odstavci 1 uvedeného článku a které poskytují služby nebo vykonávají činnosti v rámci Unie.
Základní test: odvětví (příloha I nebo II), velikost (střední nebo větší), služba poskytovaná v Unii. Čl. 2 odst. 2 přidává případy bez ohledu na velikost, odst. 3 kritické subjekty podle směrnice CER a odst. 4 subjekty poskytující služby registrace jmen domén. Odstavce 6 až 8 se týkají národní bezpečnosti, veřejné bezpečnosti, obrany a vymáhání práva. Soudnictví, parlamenty a centrální banky nejsou subjekty veřejné správy podle definice v čl. 6 bodu 35. Finanční sektor řeší čl. 4 přes odvětvový předpis (DORA).
Doporučení 2003/361/ES, příloha, čl. 2 odst. 1 (české znění podle sdělení MPO č. 7/2023 Sb.)
Kategorie mikropodniků, malých a středních podniků je složena z podniků, které zaměstnávají méně než 250 osob a jejichž roční obrat nepřesahuje 50 milionů eur, a/nebo jejichž bilanční suma roční rozvahy nepřesahuje 43 milionů eur.
Oficiální definice velikosti v EU. Střední podnik začíná na 50 zaměstnancích, nebo při obratu i bilanční sumě nad 10 milionů eur. NIS 2 i český zákon (§ 4 odst. 1 písm. b)) vás zachycují od středního podniku výše. Propojené a partnerské podniky se sčítají, takže malá dceřiná společnost velkého mateřského podniku se často počítá jako velká. Český zákon v § 7 přidává zvláštní pravidla: organizační složky státu, územní samosprávné celky a ČNB se za podnik nepovažují a nesčítá se propojený nebo partnerský podnik se zcela oddělenými technickými aktivy.
§ 4 odst. 1 zákona č. 264/2025 Sb. (Česko)
Podmínky pro registraci regulované služby jsou splněny v případě, že a) jde o službu, která je významná pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice, v některém z těchto odvětví: 1. veřejná správa, 2. energetika, 3. výrobní průmysl, 4. potravinářský průmysl, 5. chemický průmysl, 6. vodní hospodářství, 7. odpadové hospodářství, 8. doprava, 9. digitální infrastruktura a služby, 10. finanční trh, 11. zdravotnictví, 12. věda, výzkum a vzdělávání, 13. poštovní a kurýrní služby, 14. obranný průmysl, 15. vesmírný průmysl a b) poskytovatel služby je středním nebo velkým podnikem ve smyslu doporučení Komise 2003/361/ES ze dne 6. května 2003 o definici mikropodniků a malých a středních podniků (dále jen „doporučení Komise 2003/361/ES“), nebo je významný pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice.
Česko nerozlišuje základní a důležité subjekty, ale režim vyšších a nižších povinností (§ 8). Seznam služeb, podmínky významnosti a režim každé služby stanoví vyhláška č. 408/2025 Sb. Vedle § 4 může NÚKIB registrovat službu z moci úřední podle § 5, například u výhradního poskytovatele, u služby, jejíž narušení může vážně zasáhnout život více než 125 000 osob, nebo u subjektu kritické infrastruktury. Ostatní členské státy mají vlastní prováděcí zákony nad stejným minimem EU.
Příloha I nebo II, v Česku služba z vyhlášky?
Příloha I (vysoce kritická odvětví, 11): energetika, doprava, bankovnictví, infrastruktura finančních trhů, zdravotnictví, pitná voda, odpadní voda, digitální infrastruktura, řízení služeb IKT (mezi podniky), veřejná správa, vesmír. Příloha II (další kritická odvětví, 7): poštovní a kurýrní služby, nakládání s odpady, chemické látky, potraviny, výroba (zdravotnické prostředky, elektronika, elektrická zařízení, stroje, vozidla, ostatní dopravní prostředky), digitální poskytovatelé (on-line tržiště, vyhledávače, sociální sítě), výzkum. Český zákon má 15 odvětví (§ 4 odst. 1) a vyhláška č. 408/2025 Sb. v nich vyjmenovává konkrétní služby, včetně obranného průmyslu, který směrnice nemá. Najdete-li svou službu, pokračujte testem velikosti.
Střední podnik nebo větší?
Doporučení 2003/361/ES definuje střední podnik jako 50 a více zaměstnanců, NEBO obrat nad 10 milionů eur A bilanční sumu nad 10 milionů eur. Článek 2 odst. 1 směrnice i § 4 odst. 1 písm. b) zákona vás zachycují od středního podniku výše. Sčítají se propojené podniky: ovládá-li mateřský podnik více než 50 procent hlasů, sčítají se zaměstnanci i obrat. Výjimka podle § 7 písm. c) zákona: nesčítá se propojený nebo partnerský podnik, jehož technická aktiva jsou zcela oddělena od aktiv pro regulovanou službu.
Zachytí vás něco bez ohledu na velikost?
Čl. 2 odst. 2 směrnice ruší test velikosti pro poskytovatele veřejných sítí a služeb elektronických komunikací, poskytovatele služeb vytvářejících důvěru, registry domén nejvyšší úrovně a provozovatele DNS, výhradní poskytovatele služeb zásadních pro kritické činnosti, subjekty, jejichž narušení by mohlo významně dopadnout na veřejný pořádek, veřejnou bezpečnost nebo ochranu zdraví nebo vyvolat systémová rizika, subjekty kritické pro odvětví a subjekty veřejné správy. Čl. 2 odst. 3 přidává kritické subjekty podle směrnice CER, odst. 4 subjekty poskytující služby registrace jmen domén. V Česku to řeší vyhláška u jednotlivých služeb (například body 16.1, 16.2, 16.12) a § 5 zákona, podle kterého NÚKIB registruje službu z moci úřední.
Test se provádí za právnickou osobu, ne za skupinu
Povinnosti nese poskytovatel, tedy právnická osoba, ne koncern. Holding s pěti společnostmi provádí test pětkrát. NÚKIB k tomu píše, že regulovaným subjektem „může být pouze subjekt s právní osobností“; dceřiná společnost ohlašuje svou službu sama. Skupinové služby mohou zavádět opatření centrálně, ale adresátem povinností zůstává regulovaná společnost. Údaje propojených podniků mění jen vstup do testu velikosti, ne to, kdo povinnost nese. Viz také stránka o dceřiných společnostech a holdingu.
Pod prahem velikosti neznamená mimo
Malé subjekty nejčastěji přehlédnou případy bez ohledu na velikost. V Česku jsou regulovaní například poskytovatelé veřejných sítí a služeb elektronických komunikací i jako malý podnik nebo mikropodnik (body 16.1 a 16.2), všichni poskytovatelé služeb vytvářejících důvěru (bod 16.12) a provozovatelé DNS za podmínek bodu 16.4. Pětičlenný poskytovatel služby vytvářející důvěru je regulovaný. Test velikosti platí jen pro základní případ; než napíšete „mimo působnost“, projděte seznam výjimek.
NÚKIB / zákon č. 264/2025 Sb. a kalkulačka
NÚKIB nabízí na Portálu NÚKIB kalkulačku, která podle vyhlášky č. 408/2025 Sb. orientačně ukáže, zda poskytujete regulovanou službu a v jakém režimu. Službu pak ohlašujete přes Portál NÚKIB do 60 dnů od splnění podmínek (§ 6 odst. 1) a NÚKIB vydá rozhodnutí o registraci. Česko místo základních a důležitých subjektů rozlišuje režim vyšších a nižších povinností (§ 8). Aktuální režim ukazuje Portál NÚKIB (Chci vyřídit, Přehled podání); rozhodnutí o registraci ho neuvádí.
Nástroj sledování transpozice ENISA
ENISA, agentura EU pro kybernetickou bezpečnost, sleduje, jak členské státy NIS 2 provádějí. Členské státy měly směrnici provést do 17. října 2024 a svá opatření uplatňovat od 18. října 2024 (čl. 41). Povinnosti firmám ale ukládá vnitrostátní zákon; v Česku zákon č. 264/2025 Sb., účinný od 1. listopadu 2025.
Vnitrostátní transpoziční zákony
Každý členský stát provádí stejnou směrnici vlastním zákonem a úřadem; v Česku je to zákon č. 264/2025 Sb. a NÚKIB. Rámec působnosti je společný, protože přílohy I a II jsou právo EU. Liší se registrační portály, lhůty a podrobné podmínky: česká vyhláška č. 408/2025 Sb. například přidává obranný průmysl a podmínku podílu na obratu u vody a odpadů.
Máme pod 50 zaměstnanců, takže se na nás NIS 2 nevztahuje.
Ne nutně. Bez ohledu na velikost jsou v Česku regulovaní například poskytovatelé veřejných sítí a služeb elektronických komunikací (body 16.1 a 16.2 vyhlášky č. 408/2025 Sb.), poskytovatelé služeb vytvářejících důvěru (bod 16.12) a služby, které NÚKIB registruje z moci úřední podle § 5 zákona. Čtyřčlenný poskytovatel služby vytvářející důvěru je regulovaný. Než skončíte u prahu velikosti, projděte tyto výjimky.
Jsme veřejnoprávní orgán, takže jsme mimo.
Záleží. Směrnice zahrnuje subjekty veřejné správy na ústřední a regionální úrovni (čl. 2 odst. 2 písm. f)) a nevztahuje se na subjekty veřejné správy, které působí v národní bezpečnosti, veřejné bezpečnosti, obraně nebo vymáhání práva (čl. 2 odst. 7); soudnictví, parlamenty a centrální banky subjekty veřejné správy podle čl. 6 bodu 35 nejsou. Česká vyhláška č. 408/2025 Sb. v bodě 1.1 vyjmenovává regulované úřady: například kraje a hlavní město Praha jsou v režimu vyšších povinností, obce s rozšířenou působností v režimu nižších. Obce prvního a druhého stupně podle NÚKIB regulované nejsou. Obecní a krajské společnosti se posuzují jako každý jiný podnik.
Naše dceřiná společnost je malá, takže je mimo.
Podle doporučení 2003/361/ES se k údajům dceřiné společnosti přičítají zaměstnanci a obrat mateřského podniku, pokud ovládá více než 50 procent hlasů. Dceřiná společnost s 30 zaměstnanci ve skupině s 5000 lidmi tak provádí test velikosti na sečtených údajích. Český zákon přidává výjimku: nesčítá se propojený podnik, jehož technická aktiva jsou zcela oddělena od aktiv pro regulovanou službu (§ 7 písm. c)). Úplné pravidlo najdete na stránce o dceřiných společnostech a holdingu.
Úplný test podle článku 2 zabere v pořadí asi deset minut. Nejdřív odvětví (přílohy I a II, v Česku seznam služeb ve vyhlášce č. 408/2025 Sb.). Pak velikost (poslední roční údaje a sečtení propojených podniků, máte-li mateřskou společnost). Pak výjimky bez ohledu na velikost a vynětí. Pak výsledek. Orientačně pomůže kalkulačka na Portálu NÚKIB. Na zápis stačí pár stran.
Zapište to, datujte a podepište. Ten dokument je vaše posouzení působnosti. Hodí se, když se NÚKIB zeptá, jak jste dospěli k závěru „regulovaní“ nebo „mimo“: kdo podle všeho splňuje podmínky registrace, musí NÚKIB poskytnout informace potřebné k jejich posouzení (§ 64 odst. 2 zákona). Změní-li se údaje (fúze, nová činnost, překročení prahu), proveďte test znovu a starou verzi uschovejte; novou regulovanou službu ohlašujete do 60 dnů (§ 6 odst. 1).
- Směrnice (EU) 2022/2555 (NIS 2), článek 2 a přílohy I a II: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Doporučení Komise 2003/361/ES o definici mikropodniků, malých a středních podniků: https://eur-lex.europa.eu/eli/reco/2003/361/oj
- Směrnice (EU) 2022/2557 (CER), odolnost kritických subjektů: https://eur-lex.europa.eu/eli/dir/2022/2557/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, §§ 4 až 8: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_4
- Vyhláška č. 408/2025 Sb., o regulovaných službách, příloha: https://e-sbirka.gov.cz/sb/2025/408/2025-11-01; kalkulačka NÚKIB: https://portal.nukib.gov.cz/kalkulacka
- NÚKIB, Průvodce novým zákonem o kybernetické bezpečnosti: https://portal.nukib.gov.cz/pruvodce-novym-zakonem-o-kyberneticke-bezpecnosti
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Registrace a hlášení
Ohlásit službu NÚKIB
Vaše firma ohlásí regulovanou službu NÚKIB, ten pak rozhodne o registraci.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
