Stav NIS 2 ve Finsku
Co směrnice vyžaduje, jak ji Finsko implementuje a kde v tom obraze sedí Traficom a NCSC-FI.
Přehled
Směrnice NIS 2 je vrstvou EU. Zavazuje každý členský stát, včetně Finska, k jediné minimální laťce pro základní a důležité subjekty. Finsko musí tuto laťku přenést do finského práva a pod ní provozovat dozor.
Finsko transponuje NIS 2 prostřednictvím zákona o kybernetické bezpečnosti (Kyberturvallisuuslaki, zákon 124/2025). Parlament jej schválil 11. března 2025 a nabyl účinnosti 8. dubna 2025. To je po lhůtě EU dne 17. října 2024. Dne 7. května 2025 zaslala Evropská komise Finsku a osmnácti dalším členským státům odůvodněné stanovisko za to, že včas neoznámily úplnou transpozici.
Dozor je rozdělen odvětví po odvětví. Finská agentura pro dopravu a komunikace, Traficom, dozoruje nejpočetnější skupinu odvětví a sídlí v ní Národní centrum kybernetické bezpečnosti Finsko (NCSC-FI), které je národním CSIRT a jednotným kontaktním místem podle čl. 8 odst. 3 směrnice. Vedle Traficomu dozorují svá vlastní odvětví Energetický úřad (Energiavirasto), Finská agentura pro bezpečnost a chemikálie (Tukes) a další odvětvové orgány. Bankovnictví a infrastruktury finančních trhů spadají pod DORA, nikoli pod finský zákon o kybernetické bezpečnosti.
Směrnice EU
Směrnice (EU) 2022/2555 (NIS 2)
Celounijní směrnice o kybernetické bezpečnosti. Stanoví povinnosti, které musí každý členský stát transponovat, včetně testu velikosti a odvětví pro základní a důležité subjekty.
Prováděcí akt EU
Prováděcí nařízení (EU) 2024/2690
Technické a metodické požadavky pro poskytovatele DNS, registry TLD, poskytovatele cloudu, datových center a CDN, poskytovatele řízených (bezpečnostních) služeb, online tržiště, vyhledávače, sociální sítě a poskytovatele služeb vytvářejících důvěru. Ve Finsku přímo použitelné, bez nutnosti národní transpozice.
Finská transpozice
Zákon o kybernetické bezpečnosti 124/2025, účinný od 8. dubna 2025
Finská transpozice NIS 2. Horizontální zákon o kybernetické bezpečnosti, který konsoliduje povinnosti dříve rozptýlené napříč několika odvětvovými zákony. Provozní detail doplňují nařízení a metodika Traficomu.
Zákon o kybernetické bezpečnosti 124/2025
Vnáší povinnosti NIS 2 do finského práva. Definuje základní a důležité subjekty, dozorové pravomoci, povinnosti oznamování incidentů a sankce. Provozní detail navazuje prostřednictvím nařízení a metodiky Traficomu.
Traficom a NCSC-FI
Traficom dozoruje dopravu, digitální infrastrukturu, správu IKT služeb, kosmický prostor, poštovní a kurýrní služby, digitální poskytovatele, výzkum a výrobu vozidel a sídlí v něm NCSC-FI jako národní CSIRT a jednotné kontaktní místo. Další odvětví spadají pod vlastní orgány, zejména Energiavirasto pro elektřinu, dálkové vytápění a plynové sítě a Tukes pro ropu, skladování plynu a rafinerie, výrobu vodíku, chemikálie a části zpracovatelského průmyslu. Bankovnictví a infrastruktury finančních trhů pokrývá DORA.
Registrace a hlášení
Finské subjekty se musely zaregistrovat u svého odvětvového dozoru do 8. května 2025. Změny registrovaných údajů je třeba hlásit do dvou týdnů. Významné incidenty se řídí směrnicí: včasné varování do 24 hodin, oznámení do 72 hodin, závěrečná zpráva do jednoho měsíce. Všechna oznámení jsou předávána CSIRT v NCSC-FI.
Ve Finsku platí finské právo
Činnost na finském území se řídí finskou transpozicí. Jednatel české společnosti s finskou dceřinou společností čte pro tu dceřinou společnost zákon o kybernetické bezpečnosti 124/2025, nikoli český zákon č. 264/2025 Sb. Povinnosti směrnice jsou totožné. Postup, dozor a sankce žijí ve finském právu.
Finsko nemůže klesnout pod minimální úroveň EU
Směrnice je nástrojem minimální harmonizace. Finsko může být přísnější. Finsko nesmí klesnout pod směrnici, ani u povinností pro základní a důležité subjekty, ani u lhůt pro hlášení, ani u odpovědnosti řídicího orgánu.
Traficom
Finská agentura pro dopravu a komunikace přímo dozoruje dopravu, digitální infrastrukturu, správu IKT služeb, kosmický prostor, poštovní a kurýrní služby, digitální poskytovatele, výzkum a výrobu vozidel a dopravního vybavení a podle samostatného zákona i veřejnou správu. Jako každý finský dozorový orgán vede seznam subjektů pro svá vlastní odvětví.
NCSC-FI (Kyberturvallisuuskeskus)
Národní centrum kybernetické bezpečnosti uvnitř Traficomu je národní CSIRT a jednotné kontaktní místo podle čl. 8 odst. 3 směrnice. Významný incident se právně oznamuje příslušnému odvětvovému dozorovému orgánu, který jej okamžitě předá NCSC-FI; v praxi jeden sdílený formulář Traficomu dorazí k dozorovému orgánu, CSIRT i jednotnému kontaktnímu místu zároveň.
ENISA
Agentura EU pro kybernetickou bezpečnost. Vydává metodiky, provozuje evropskou databázi zranitelností a koordinuje přes hranice. Není dozorem pro finské subjekty. Ten spočívá na Traficomu a odvětvových orgánech.
Finsko provádí NIS 2 stejně jako Česko, takže nám stačí číst český zákon.
Povinnosti směrnice jsou totožné, dozorová architektura nikoli. V Česku má dozor podle zákona č. 264/2025 Sb. jeden úřad, NÚKIB. Finsko dozor rozděluje mezi odvětvové regulátory s koordinací Traficomu a NCSC-FI. Kdo promítne český model na Finsko, splete si dozor i cestu hlášení.
Oficiální seznam zatím neexistuje, takže můžeme počkat.
Registrace je povinná od 8. dubna 2025 a počáteční lhůta byla 8. května 2025. Každý odvětvový dozorový orgán vede seznam subjektů NIS 2 ve svých odvětvích. Být neregistrován neznamená být ve shodě, znamená to být pro dozor neviditelný. Změny registrovaných údajů se musí hlásit do dvou týdnů (čl. 3 odst. 4 NIS 2, § 41 finského zákona).
Můj odvětvový regulátor řeší vše, NCSC-FI je jen poradní.
Odvětvový orgán provádí dozor a audity a je také místem, kde se významný incident právně oznamuje. Dozorový orgán předává každé oznámení okamžitě CSIRT u NCSC-FI a v praxi jeden sdílený formulář Traficomu doručí hlášení dozorovému orgánu, CSIRT i jednotnému kontaktnímu místu zároveň. Použijte tento formulář místo ručního psaní jednotlivým orgánům.
Většina finských provozovatelů středního trhu, které potkáváme, stále bere NIS 2 jako IT téma. To je jen z poloviny pravda. Dozor a kanál hlášení sedí na odvětvové úrovni, působnost je širší než ve starém finském režimu kybernetické bezpečnosti a řídicí orgán (toimitusjohtaja, hallitus) nese těžší odpovědnost. Řídicí orgán schvaluje a dohlíží na postup řízení rizik a musí být dostatečně obeznámen s řízením rizik kybernetické bezpečnosti; u základních subjektů může opakované závažné porušení vést k dočasnému zákazu členství ve správní radě.
Praktický krok je stejný jako všude v EU: proveďte kontrolu působnosti proti směrnici, zaregistrujte se u odvětvového dozorového orgánu a objevte se na jeho seznamu subjektů, nastavte čtyři průběžné povinnosti (udržujte registrační údaje aktuální, hlášení incidentů, riziko dodavatelského řetězce, dozor řídicího orgánu) a zdokumentujte minimum. Použití sdíleného oznamovacího formuláře Traficomu udržuje cestu hlášení čistou.
- Směrnice (EU) 2022/2555 (NIS 2), EUR-Lex
- Prováděcí nařízení (EU) 2024/2690
- Zákon o kybernetické bezpečnosti 124/2025 (Kyberturvallisuuslaki), Finlex
- Traficom, finská agentura pro dopravu a komunikace, oficiální stránka o transpozici NIS 2
- Kyberturvallisuuskeskus (NCSC-FI), národní CSIRT a jednotné kontaktní místo
- Energiavirasto, odvětvový dozor pro elektřinu, dálkové vytápění a plyn
- Tukes (Finská agentura pro bezpečnost a chemikálie): odvětvový dozorový orgán pro ropu, skladování plynu, výrobu vodíku, chemikálie a části zpracovatelského průmyslu
- Odůvodněné stanovisko Evropské komise ze dne 7. května 2025 k transpozici NIS 2
V praxi
Co mění národní zákon a co ne
Národní zákon mimo jiné určuje, kde se registrujete a komu hlásíte incidenty. Samotná opatření vycházejí ve všech členských státech ze stejného minimálního seznamu (čl. 21 NIS 2). Průvodce vás jimi provede krok za krokem:
Řízení rizik
Sepište, co vaše firma má
Seznam procesů, programů a zařízení, se kterými pracujete.
Řešení incidentů
Naplánujte, co se stane při incidentu
Kdo rozhoduje, komu voláte, jak se spojíte.
Posouzení účinnosti
Zapište přezkoumání vedením
Vedení kontroluje, zda opatření fungují, a schvaluje vaše dokumenty.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
