NIS2 pro firmy v odpadovém hospodářství
Vaše odvětví je nově v působnosti: v Česku ho zahrnuje zákon č. 264/2025 Sb. a vyhláška č. 408/2025 Sb. Pokud má vaše firma v odpadovém hospodářství 50+ zaměstnanců, nebo obrat i bilanční sumu nad 10 mil. EUR, a služba odpadového hospodářství vám přinesla alespoň 5 % obratu, toto je váš praktický průvodce tím, co zákon vyžaduje a kde začít.
Proč se NIS2 vztahuje na firmy v odpadovém hospodářství?
Odpadové hospodářství bylo do NIS2 zařazeno, protože moderní provoz v oblasti odpadů silně závisí na IT systémech. Správa vozového parku, optimalizace tras, mostové váhy, řízení třídicích závodů, fakturace a regulatorní výkaznictví, to vše běží na propojeném softwaru. Ransomwarový útok, který vyřadí systém správy vozového parku firmy v odpadovém hospodářství, nezastaví jen nákladní vozy. Vytváří riziko pro veřejné zdraví. Nesvezený odpad ve městě s 200 000 obyvateli se během několika dní stane krizí.
Vyhláška č. 408/2025 Sb. uvádí v bodě 11 čtyři služby podle zákona o odpadech: provoz zařízení určeného pro nakládání s odpady (kromě skladu odpadů z vlastní činnosti), obchodování s odpadem, zprostředkování nakládání s odpadem a přepravu odpadu. Dotčena je firma, které příjmy z dané služby tvořily alespoň 5 % obratu za poslední účetní období a která je středním nebo velkým podnikem (50+ zaměstnanců, nebo roční obrat i bilanční suma nad 10 mil. EUR). Všechny čtyři služby jsou v režimu nižších povinností. Platí tedy: ohlášení služby NÚKIB, bezpečnostní opatření podle vyhlášky č. 410/2025 Sb., hlášení incidentů Národnímu CERT, požadavky na dodavatele a povinnosti vrcholného vedení.
Většina firem v odpadovém hospodářství se dosud s regulací kybernetické bezpečnosti nikdy nesetkala. To není kritika. Dosud k tomu nebyl právní důvod. Znamená to ale strmější křivku učení oproti odvětvím, která regulovala už předchozí úprava (zákon č. 181/2014 Sb.). Dobrá zpráva: IT prostředí firem v odpadovém hospodářství jsou obvykle méně složitá než v bankovnictví nebo energetice, což znamená, že úsilí na shodu je úměrně menší.
Správa vozového parku a GPS
Software a systémy, které řídí plánování tras vozidel, sledování GPS, plánování řidičů a optimalizaci tras v reálném čase. Obvykle jde o cloudovou platformu SaaS nebo server v lokální instalaci. Pokud toto vypadne, nákladní vozy nelze efektivně vyslat. Seskupte všechny komponenty správy vozového parku do jedné položky aktiva.
Mostové váhy a vážicí systémy
Elektronické vážicí systémy v provozech, které zaznamenávají hmotnosti přicházejícího a odcházejícího materiálu pro fakturaci a regulatorní shodu. Často propojené s ERP systémy. Mohou zahrnovat starší průmyslové řídicí jednotky. Seskupte systém mostových vah (hardware plus software) do jednoho aktiva.
ERP a fakturační systém
Hlavní podnikový systém řešící správu zákazníků, smlouvy, fakturaci, sledování materiálu a regulatorní výkaznictví. Běžně SAP Business One, Helios, Pohoda nebo specializovaná odvětvová řešení. Kompromitace tohoto systému zasáhne tržby, zákaznická data a regulatorní výkaznictví. Jedna položka aktiva.
Řízení třídicích a zpracovatelských závodů
Pokud vaše firma provozuje třídicí závody, kompostárny nebo zařízení na energetické využití odpadu, máte pravděpodobně systémy SCADA nebo průmyslové řídicí systémy řídící fyzické procesy. Často jde o starší systémy s omezenými bezpečnostními funkcemi. Představují samostatnou kategorii rizika, protože řídí fyzická zařízení. Seskupte podle provozu.
Koncová zařízení a kancelářské IT
Notebooky, stolní počítače a mobilní zařízení používané kancelářskými pracovníky, dispečery a vedením. Standardní kancelářské aplikace (Microsoft 365, e-mail, správa dokumentů). Stejná zařízení můžete evidovat jako jednu položku: „45 standardních notebooků s Windows“ je jedna položka aktiva, ne 45. Zákon podrobnost evidence nepředepisuje.
Síťová infrastruktura
Routery, přepínače, firewally a připojení VPN propojující kanceláře, depa a provozy. Zahrňte internetová připojení a jakékoli spoje mezi lokalitami. Pokud má vaše firma více lokalit, může být síť každé lokality seskupenou položkou. Síť je to, co spojuje vše ostatní. Její kompromitace zasáhne všechna ostatní aktiva.
1. Ohlaste službu NÚKIB
Ohlaste službu NÚKIB na Portálu NÚKIB do 60 dnů ode dne, kdy jste podmínky splnili (§ 6 odst. 1 zákona č. 264/2025 Sb.). To je nejviditelnější povinnost a její nesplnění je samostatný přestupek (§ 60 odst. 1 písm. a)). Statutární orgán se přihlašuje přes NIA. Udělejte to dřív než cokoli jiného: od doručení rozhodnutí o registraci vám běží roční lhůta pro bezpečnostní opatření a hlášení incidentů (§ 13 odst. 4, § 15 odst. 4).
2. Sestavte soupis aktiv
Sepište systémy, které podporují vaše služby svozu, zpracování a likvidace odpadu. Jako výchozí bod použijte šest výše uvedených kategorií. U každého aktiva uveďte, co dělá, kdo je spravuje (interně nebo dodavatel) a co se stane, pokud bude 24 hodin nedostupné. Tento soupis se stane základem pro vše, co následuje.
3. Nastavte hlášení incidentů
Stanovte, co se pro vaši firmu počítá jako incident s významným dopadem: vyhláška žádá, abyste si stanovili únosnou míru újmy a oblasti, podle kterých významnost posoudíte (vyhláška č. 410/2025 Sb., § 14). Zaveďte proces hlášení Národnímu CERT přes Portál NÚKIB v zákonných lhůtách (prvotní hlášení do 24 hodin, oznámení do 72 hodin, závěrečná zpráva do 30 dnů od oznámení; §§ 15 a 16 zákona č. 264/2025 Sb.). Určete, kdo rozhoduje o hlášení, kdo hlášení podává a jak se k němu dostanete mimo pracovní dobu. Nepotřebujete dohledové centrum bezpečnosti. Potřebujete jasný telefonní strom a zdokumentovaný proces.
4. Přezkoumejte řízení přístupu
Prověřte, kdo má přístup k vašim kritickým systémům, zejména správě vozového parku, ERP a jakýmkoli řídicím systémům provozů. Zaveďte vícefaktorové ověřování u vzdáleného přístupu a administrátorských účtů. Odeberte přístup bývalým zaměstnancům. To je často oblast s nejvíce snadno dosažitelnými výsledky: mnoho firem v odpadovém hospodářství má sdílená hesla, žádné MFA a stále aktivní účty bývalých zaměstnanců.
5. Zdokumentujte vztahy s dodavateli
Většina firem v odpadovém hospodářství outsourcuje významné IT funkce: cloudový hosting, údržbu ERP, software pro správu vozového parku. Zdokumentujte, kdo tito dodavatelé jsou, jaký mají přístup k vašim systémům a jaké bezpečnostní závazky činí. To je začátek vašeho řízení dodavatelů: zavádíte-li opatření přes dodavatele, musíte ho vybírat podle požadavků opatření a zahrnout je do smlouvy (§ 13 odst. 5 zákona č. 264/2025 Sb.; smluvní body uvádí příloha č. 2 vyhlášky č. 410/2025 Sb.). Pokud dojde k narušení u vašeho IT poskytovatele, jsou ohrožena vaše data i vaše služby.
Firmy v odpadovém hospodářství mají jedinečný rizikový profil. Na rozdíl od softwarové firmy, kde je téměř vše digitální, zahrnuje provoz v odpadech fyzické procesy: nákladní vozy na silnicích, materiál v pohybu, zařízení v provozech. Kybernetický útok na správu vozového parku má okamžité důsledky ve fyzickém světě. Tento rozměr provozní technologie znamená, že vaše posouzení rizik by mělo zvážit jak IT systémy, tak jakékoli průmyslové řízení.
Většina firem v odpadovém hospodářství silně outsourcuje. Mnohé fungují s malým interním IT týmem (nebo bez vyhrazeného IT personálu vůbec) a spoléhají na externí poskytovatele všeho od e-mailu přes ERP po správu vozového parku. Podle zákona můžete outsourcovat provoz, ale ne odpovědnost. Povinnost zavádět bezpečnostní opatření má poskytovatel regulované služby, i když je dodává dodavatel (§ 13 odst. 2 a 5 zákona č. 264/2025 Sb.). Tím se řízení dodavatelů stává vaší nejdůležitější pákou pro shodu.
Pozitivní stránka: IT prostředí firem v odpadovém hospodářství jsou obvykle přímočará. Firma se 100 zaměstnanci má snad 6 až 10 odlišných skupin systémů oproti 30 nebo více u banky nebo nemocnice podobné velikosti. To znamená, že úsilí na shodu je úměrné. Hledíte na týdny soustředěné práce, ne na víceletý program. Zákon žádá opatření „v míře nezbytné“ (§ 13 odst. 2) a vyhláška č. 410/2025 Sb. opatření „přiměřená bezpečnostním potřebám“ (§ 3 odst. 1 písm. a)); to zde hraje ve váš prospěch.
Časté dotazy
Spadá naše firma v odpadovém hospodářství skutečně do působnosti zákona?
Pokud vaše firma provozuje zařízení pro nakládání s odpady, obchoduje s odpadem, zprostředkovává nakládání s ním nebo ho přepravuje, tato služba vám za poslední účetní období přinesla alespoň 5 % obratu a máte 50 nebo více zaměstnanců, nebo roční obrat i bilanční sumu nad 10 mil. EUR, jste téměř jistě poskytovatelem regulované služby v režimu nižších povinností (vyhláška č. 408/2025 Sb., bod 11). Pokud jste blízko prahu, ověřte, zda vás propojené společnosti ve skupině nepřevedou přes limit: velikost se určuje podle doporučení Komise 2003/361/ES, které počítá i partnerské a propojené podniky. Nezapočítávají se ty, jejichž technická aktiva jsou zcela oddělena od aktiv, která používáte pro regulovanou službu (§ 7 písm. c) zákona č. 264/2025 Sb.).
Outsourcujeme veškeré IT. Vztahuje se na nás zákon i tak?
Ano, plně. Zákon se vztahuje na poskytovatele služby odpadového hospodářství bez ohledu na to, kdo spravuje IT. Můžete outsourcovat práci, ale ne právní odpovědnost (§ 13 odst. 2 a 5 zákona č. 264/2025 Sb.). V praxi to znamená, že váš IT poskytovatel se stává vaším nejkritičtějším dodavatelem: zdokumentujte vztah, zahrňte do smlouvy požadavky na kybernetickou bezpečnost a ověřte, že má přiměřená bezpečnostní opatření. Pokud u něj dojde k narušení, které zasáhne vaši službu, povinnost hlásit máte vy, ne on.
Jak vypadá soupis aktiv pro firmu v odpadovém hospodářství?
Jednodušší, než si myslíte. Typická firma v odpadovém hospodářství se 100 zaměstnanci má přibližně 10 až 15 seskupených položek aktiv: systém správy vozového parku, systém mostových vah, ERP a fakturaci, síťovou infrastrukturu pro každou lokalitu, standardní koncová zařízení (seskupená, např. „45 notebooků s Windows“), e-mail a spolupráci (Microsoft 365) a případně SCADA nebo řízení třídicího závodu. Zákon ukládá aktiva evidovat (§ 12 odst. 3 zákona č. 264/2025 Sb.), podrobnost evidence ale nepředepisuje, takže nepotřebujete řádkovou položku pro každý notebook.
Jak dlouho trvá splnění zákona firmě naší velikosti?
U firmy v odpadovém hospodářství se 100 zaměstnanci začínající od nuly počítejte s 3 až 6 měsíci k dosažení solidní výchozí úrovně: ohlášení služby NÚKIB (týden 1), soupis aktiv a posouzení rizik (týden 2 až 6), proces hlášení incidentů (týden 4 až 8), zlepšení řízení přístupu (týden 6 až 12), dokumentace politik (průběžně). Nemusíte být dokonalí od prvního dne: bezpečnostní opatření a hlášení incidentů začínáte plnit nejpozději do 1 roku od doručení rozhodnutí o registraci (§ 13 odst. 4 a § 15 odst. 4 zákona č. 264/2025 Sb.). Po prvotním nastavení je průběžné úsilí hlavně o každoroční aktualizaci přehledu bezpečnostních opatření (vyhláška č. 410/2025 Sb., § 3 odst. 2) a reakci na incidenty.
- Směrnice (EU) 2022/2555 (NIS 2), příloha II, odvětví 2: nakládání s odpady, EUR-Lex
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 6 (ohlášení), § 13 (bezpečnostní opatření), § 15 (hlášení incidentů): https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_6
- Vyhláška č. 408/2025 Sb., o regulovaných službách, příloha, bod 11: https://e-sbirka.gov.cz/sb/2025/408/2025-11-01
- Vyhláška č. 410/2025 Sb. (režim nižších povinností), § 3 (přehled bezpečnostních opatření) a příloha č. 2 (smlouvy s dodavateli): https://e-sbirka.gov.cz/sb/2025/410/2025-11-01#par_3
- NÚKIB, Portál NÚKIB s formuláři a často kladenými otázkami k zákonu: https://portal.nukib.gov.cz
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
