NIS 2 pro sektor dopravy
Příloha I sektor 2 pokrývá čtyři podsektory. Bezpečnostní regulace nenahrazuje NIS 2.
Proč je doprava v NIS 2
Směrnice NIS 2 považuje dopravu za sektor s vysokou kritičností. Příloha I sektor 2 uvádí čtyři podsektory: leteckou, železniční, vodní a silniční. Každý jmenuje své vlastní kategorie subjektů, takže regionální letecká společnost, provozovatel stanice, přístavní správa a provozovatel řízení silničního provozu spadají do téhož sektoru podle různých bodů.
Právní vrstvou, která rozhoduje o tom, kdo je v rozsahu, je směrnice EU plus národní úprava. V Česku je to zákon č. 264/2025 Sb. a vyhláška č. 408/2025 Sb. Odvětvové úřady, například Úřad pro civilní letectví a Drážní úřad, si ponechávají své stávající pravomoci v bezpečnosti provozu. NÚKIB je příslušným orgánem pro povinnosti podle zákona o kybernetické bezpečnosti a pracuje vedle těchto úřadů, nikoli místo nich.
Test velikosti v čl. 2 odst. 1 (v Česku § 4 odst. 1 písm. b) zákona) rozhoduje, zda je subjekt vůbec v rozsahu. Jakmile v něm je, platí bezpečnostní opatření (§§ 13 a 14 zákona) a hlášení incidentů (§§ 15 a 16) bez ohledu na to, do kterého podsektoru subjekt patří; podrobnosti stanoví vyhláška č. 409/2025 Sb. (režim vyšších povinností) nebo č. 410/2025 Sb. (režim nižších povinností). Prováděcí nařízení (EU) 2024/2690 dopravu nepokrývá.
Směrnice EU
Odvětví 2. Doprava; pododvětví: a) letecká, b) železniční, c) vodní, d) silniční.
Směrnice (EU) 2022/2555, příloha I, sektor 2. Každé písmeno uvádí své vlastní kategorie subjektů (letečtí dopravci a řídící orgány letišť; správci infrastruktury, železniční podniky a provozovatelé stanic; dopravci vnitrozemskou, námořní a pobřežní vodní cestou a řídící orgány přístavů; silniční orgány a provozovatelé inteligentních dopravních systémů).
Prováděcí akty EU
Prováděcí nařízení Komise (EU) 2024/2690 se vztahuje na vybrané subjekty digitální infrastruktury. Doprava do jeho působnosti nepatří.
Povinnosti pro dopravu vyplývají v Česku přímo ze zákona č. 264/2025 Sb. a z vyhlášek č. 409/2025 Sb. a č. 410/2025 Sb. ENISA zveřejňuje sektorové pokyny, ale dnes neexistuje žádné prováděcí nařízení Komise, které by na úrovni EU stanovilo podrobné technické požadavky pro dopravu.
Česká úprava: vyhláška č. 408/2025 Sb., příloha, bod 12.1
Letecký dopravce podle zákona o civilním letectví je I. poskytovatelem regulované služby v režimu vyšších povinností v případě, že je velkým podnikem, nebo II. poskytovatelem regulované služby v režimu nižších povinností v případě, že je středním podnikem.
Česko přebírá přílohu I odvětví 2 vyhláškou č. 408/2025 Sb.: letecká doprava (bod 12), drážní doprava (bod 13), námořní vodní doprava (bod 14) a silniční doprava (bod 15). U většiny služeb je velký podnik v režimu vyšších povinností a střední v režimu nižších; provozovatel železniční dopravní cesty ve veřejném zájmu je v režimu vyšších povinností vždy (bod 13.1). Odvětvové předpisy o civilním letectví, dráhách a pozemních komunikacích platí dál souběžně. Příslušným orgánem pro povinnosti podle zákona č. 264/2025 Sb. je NÚKIB.
Shoda s kategorií podsektoru
Letecká doprava pokrývá letecké dopravce používané pro komerční účely, řídící orgány letišť a subjekty provozující doplňková zařízení v rámci letišť, dále provozovatele řízení provozu poskytující služby řízení letového provozu. Železniční doprava pokrývá správce infrastruktury a železniční podniky včetně provozovatelů zařízení služeb. Vodní doprava pokrývá společnosti vnitrozemské, námořní a pobřežní osobní a nákladní vodní dopravy, řídící orgány přístavů a provozovatele služeb řízení provozu plavidel. Silniční doprava pokrývá silniční orgány odpovědné za řízení provozu a provozovatele inteligentních dopravních systémů. Česká vyhláška č. 408/2025 Sb. uvádí vodní dopravu jen jako námořní (bod 14); vnitrozemská plavba v jejím seznamu služeb není.
Splňte test velikosti
Počítá se střední nebo velký podnik: 50 nebo více zaměstnanců, nebo roční obrat a bilanční suma nad 10 milionů eur (§ 4 odst. 1 písm. b) zákona č. 264/2025 Sb.). Menší subjekty mohou stále spadat do rozsahu tam, kde NÚKIB službu zaregistruje z moci úřední podle § 5 zákona, například jde-li o jediného poskytovatele služby v České republice.
Kritická infrastruktura je další vrstva
Je-li poskytovatel subjektem kritické infrastruktury podle právního předpisu upravujícího krizové řízení a kritickou infrastrukturu, je regulovanou službou služba odpovídající jeho prvku kritické infrastruktury (§ 5 písm. d) zákona č. 264/2025 Sb.). Služba registrovaná podle § 5 je v režimu vyšších povinností (§ 8 odst. 3). Kdo kritickou infrastrukturou není, povinnosti tím nezbavuje: střední nebo velký podnik se službou z bodů 12 až 15 vyhlášky č. 408/2025 Sb. je v působnosti i tak.
Bezpečnost provozu a kybernetika jsou různé pruhy
Letecká, železniční, vodní a silniční doprava již spadají pod náročné bezpečnostní režimy (EASA, ERA, IMO, pravidla pro vozidla a infrastrukturu). Zákon o kybernetické bezpečnosti přidává povinnosti pro informační a komunikační systémy používané k provozu služby. Odvětvový úřad pro bezpečnost provozu si ponechává svůj pruh. NÚKIB se dívá na to, jak poskytovatel řídí rizika, dodavatele, incidenty a kontinuitu pro své IT a OT.
Kontinuita je praktickou zkouškou
Pro zákon je důležité, zda provozovatel dokáže udržet službu v chodu a oznámit správnému orgánu, když se něco pokazí. § 14 zákona č. 264/2025 Sb. jmenuje oblasti opatření (mimo jiné řízení aktiv, řízení rizik, řízení dodavatelů, bezpečnost lidských zdrojů, řízení přístupu, zvládání incidentů, řízení kontinuity činností, kryptografické algoritmy). § 16 stanoví lhůty hlášení: prvotní hlášení do 24 hodin, oznámení do 72 hodin, závěrečná zpráva do 30 dnů od oznámení.
Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB)
NÚKIB je příslušným orgánem podle zákona č. 264/2025 Sb. Ohlášení služby (§ 6) jde NÚKIB, bezpečnostní opatření stanoví § 14 zákona a vyhlášky č. 409/2025 Sb. a č. 410/2025 Sb. a incidenty se hlásí přes Portál NÚKIB: v režimu vyšších povinností NÚKIB, v režimu nižších Národnímu CERT (§ 15). Odvětvové úřady jako Úřad pro civilní letectví a Drážní úřad si ponechávají své pravomoci, ale NÚKIB u kybernetických povinností nenahrazují.
Elektronické komunikace a překryvy
Doprava se s elektronickými komunikacemi překrývá jen tam, kde subjekt zároveň poskytuje veřejně dostupnou službu elektronických komunikací nebo zajišťuje veřejnou komunikační síť (vyhláška č. 408/2025 Sb., body 16.1 a 16.2). I tyto služby se ohlašují NÚKIB. Pro čistou dopravu je adresou podle zákona o kybernetické bezpečnosti NÚKIB; jen hlášení incidentů v režimu nižších povinností jde Národnímu CERT (§ 15 odst. 2).
ENISA
ENISA zveřejňuje sektorové pokyny a přehled hrozeb pro dopravu. Její práce informuje národní orgány a normalizační orgány, ale nevydává závazná pravidla. Pro konkrétní pokyny k dopravě čtěte zprávy ENISA plus pravidla EASA Part-IS pro letectví a rezoluci IMO MSC.428(98) pro námořní oblast jako sousední režimy.
Naše bezpečnostní certifikace pokrývá kybernetiku.
Bezpečnostní režimy (EASA, ERA, IMO a národní ekvivalenty) pokrývají bezpečnost provozu a stále více zahrnují bezpečnostní prvky (například EASA Part-IS). Nesplňují povinnosti podle §§ 13 až 16 zákona č. 264/2025 Sb. (čl. 21 a 23 NIS 2). Orgán je samostatný (NÚKIB), rozsah je širší a lhůty pro hlášení incidentu jsou jiné.
Pokryty jsou jen letecké společnosti a letiště.
V rozsahu jsou všechny čtyři podsektory. Vyhláška č. 408/2025 Sb. uvádí drážní dopravu v bodě 13 (provozovatelé dráhy, drážní dopravy, vleček a zařízení služeb), námořní vodní dopravu, řídící orgány přístavů a služby lodní dopravě v bodě 14 a správu pozemních komunikací a inteligentní dopravní systémy v bodě 15. Regionální provozovatel drážní dopravy nebo správce pozemních komunikací patří do odvětví doprava stejně jako letecký dopravce.
Nejsme subjekt kritické infrastruktury, takže se na nás zákon nevztahuje.
Kritická infrastruktura je jen jeden z důvodů registrace (§ 5 písm. d) zákona č. 264/2025 Sb.). Základní test je § 4: služba ze seznamu ve vyhlášce č. 408/2025 Sb. a střední nebo velký podnik. Provozovatel drážní dopravy na regionální dráze s 60 zaměstnanci a obratem 12 milionů eur kritickou infrastrukturou být nemusí a přesto je poskytovatelem regulované služby v režimu nižších povinností (bod 13.6).
Výklad, který od provozovatelů dopravy slyšíme nejčastěji, je ten, že NIS 2 dopadá na organizaci již formovanou bezpečnostním právem. Týmy IT a OT mluví s jiným regulátorem než bezpečnostní tým a oba rozhovory musí zůstat sladěny. Opatření podle čl. 21 (správa a řízení, rizika, dodavatelský řetězec, zvládání incidentů, kontinuita činností, kryptografie, řízení přístupu, školení, správa aktiv) nejsou nové myšlenky, ale hloubka dokumentace a krok registrace jsou.
Český zákon žádá opatření „v míře nezbytné pro zajištění kybernetické bezpečnosti regulované služby“ (§ 13 odst. 2 zákona č. 264/2025 Sb.); o stavu techniky a nákladech na zavedení mluví čl. 21 odst. 1 NIS 2. To dává malému provozovateli vlečky jinou úroveň než celostátnímu železničnímu provozovateli. Zdokumentujte odůvodnění proporcionality tak, aby je kontrola mohla sledovat; v režimu nižších povinností k tomu slouží přehled bezpečnostních opatření s odůvodněním nezavedených opatření (vyhláška č. 410/2025 Sb., § 3 odst. 2).
- Směrnice (EU) 2022/2555 (NIS 2), příloha I sektor 2, Doprava
- Směrnice (EU) 2022/2555, čl. 2 (rozsah a test velikosti), čl. 21 (opatření k řízení rizik), čl. 23 (hlášení incidentů)
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, §§ 4 až 8 a 13 až 16: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_4
- Vyhláška č. 408/2025 Sb., o regulovaných službách, příloha, body 12 až 15: https://e-sbirka.gov.cz/sb/2025/408/2025-11-01
- Přehled hrozeb ENISA pro dopravu (nejnovější vydání)
- Prováděcí nařízení Komise (EU) 2023/203 (Part-IS) pro bezpečnost letectví
- Rezoluce IMO MSC.428(98) o řízení kybernetických rizik v námořní dopravě
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
