Stav NIS 2 ve Francii
Co směrnice vyžaduje, jak ji Francie transponuje a kde v obrázku sedí ANSSI.
Přehled
Směrnice NIS 2 je vrstva EU. Zavazuje každý členský stát, včetně Francie, jednou minimální úrovní kybernetické bezpečnosti pro základní a důležité subjekty. Francie musí tuto úroveň vložit do francouzského práva a provozovat pod ní dohledový režim.
Francie dosud netransponovala NIS 2. Transpozice probíhá vládním návrhem zákona, projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, který pokrývá NIS 2, směrnici o odolnosti kritických subjektů a DORA. Senát jej přijal 12. března 2025 a zvláštní výbor Assemblée nationale 10. září 2025. Plenární rozprava v Assemblée je naplánována na 7. října 2026. Komise podala 8. července 2026 žalobu proti Francii u Soudního dvora EU pro nedokončenou transpozici NIS 2 a požaduje finanční sankce. Návrh se vrství na existující režim OIV (Opérateurs d'Importance Vitale) a režim OSE z NIS 1 (Opérateurs de Services Essentiels) spíše než aby je rovnou nahradil.
ANSSI (Agence nationale de la sécurité des systèmes d'information) provozuje národní CSIRT a podle návrhu zákona je národním orgánem. Nabízí dobrovolnou předregistraci na messervices.cyber.gouv.fr/nis2 (dříve MonEspaceNIS2); registrace se stane povinností teprve po přijetí zákona. Odvětvoví regulátoři zůstávají ve hře pro odvětví, která už nějaké měla, zejména finance, kde DORA působí jako lex specialis.
Směrnice EU
Směrnice (EU) 2022/2555 (NIS 2)
Celounijní směrnice o kybernetické bezpečnosti. Stanoví povinnosti, které musí každý členský stát transponovat, včetně testů velikosti a odvětví pro základní a důležité subjekty.
Implementace EU
Prováděcí nařízení Komise (EU) 2024/2690
Technická a metodická opatření pro poskytovatele digitální infrastruktury. Přímo použitelné ve Francii bez národní transpozice.
Francouzská transpozice (návrh zákona)
Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (návrh zákona o odolnosti kritické infrastruktury a posílení kybernetické bezpečnosti)
Vládní návrh zákona, který bude transponovat NIS 2 společně se směrnicí o odolnosti kritických subjektů a DORA. Senát jej přijal 12. března 2025; plenární rozprava v Assemblée nationale je naplánována na 7. října 2026. Hlava I návrhu přepisuje pravidla pro kritické provozovatele v Code de la défense; hlava II přináší NIS 2 jako články nového zákona, s ANSSI jako národním orgánem. Prováděcí dekrety a pokyny ANSSI doplní operativní detail.
Návrh zákona o odolnosti a kybernetické bezpečnosti
Přenese povinnosti NIS 2 do francouzského práva, jakmile bude přijat; zatím to zákon není. Návrh definuje dvě kategorie, entités essentielles (EE) a entités importantes (EI), dozorové pravomoci ANSSI, povinnosti hlášení incidentů a sankce. Většina operativního detailu je delegována na décrets d'application.
ANSSI jako dozorový orgán a CSIRT
Podle návrhu zákona ANSSI provádí dohled a audity a porušení předává sankční komisi (commission des sanctions), která ukládá pokuty. Provozuje také národní CSIRT a dobrovolnou předregistraci na messervices.cyber.gouv.fr/nis2 (dříve MonEspaceNIS2). Odvětvoví regulátoři jako ACPR pro finance si ponechávají vlastní působnost tam, kde se uplatní lex specialis.
Registrace a hlášení
Směrnice vyžadovala, aby byly subjekty členskými státy identifikovatelné od 17. dubna 2025. Francie zatím nemá registrační povinnost: ANSSI nabízí dobrovolnou předregistraci na messervices.cyber.gouv.fr/nis2 (dříve MonEspaceNIS2) a registrace se stane povinností teprve po přijetí zákona. Jakmile se zákon uplatní, významné incidenty se řídí kadencí směrnice: 24h včasné varování, 72h oznámení a závěrečná zpráva do jednoho měsíce.
Uvnitř Francie platí místní právo
Subjekty usazené ve Francii se budou řídit francouzskou transpozicí, jakmile bude přijata. Jednatel české společnosti s francouzskou dceřinou společností bude pro tu dceřinou společnost číst francouzský zákon, ne český zákon č. 264/2025 Sb. Povinnosti ze směrnice jsou stejné; postup, portál a sankce budou žít ve francouzském právu.
Francie nemůže jít pod úroveň EU
Směrnice je nástroj minimální harmonizace. Francie může jít přísněji a historicky šla prostřednictvím režimu OIV. Nemůže klesnout pod směrnici v povinnostech základních a důležitých subjektů, ve lhůtách pro hlášení incidentů nebo v odpovědnosti řídícího orgánu.
ANSSI
Národní CSIRT a podle návrhu zákona národní orgán. Provozuje dobrovolnou předregistraci NIS 2 na messervices.cyber.gouv.fr/nis2 (dříve MonEspaceNIS2), vydává pokyny a provádí audity. Podle návrhu ANSSI vykonává dohled a porušení předává sankční komisi (commission des sanctions), která ukládá pokuty až do výše 10 milionů EUR nebo 2 % celosvětového obratu u základních subjektů a 7 milionů EUR nebo 1,4 % u důležitých subjektů. Drží historickou doktrínu OIV, která bude krmit dohled NIS 2.
CNIL
Francouzský orgán pro ochranu osobních údajů. Není regulátorem NIS 2. Zůstává příslušným pro hlášení porušení zabezpečení osobních údajů podle GDPR. Incident NIS 2 dotýkající se osobních údajů je často dvojím oznámením: ANSSI a CNIL.
ENISA
Agentura EU pro kybernetickou bezpečnost. Vydává pokyny, spravuje evropskou databázi zranitelností a podporuje přeshraniční koordinaci. Není dozorovým orgánem pro francouzské subjekty; tím je ANSSI.
Jsme už OIV, takže NIS 2 je vyřízena.
Klasifikace OIV a OSE podle existujícího Code de la défense a rámce NIS 1 se automaticky nepřevádějí jako základní nebo důležité subjekty (EE nebo EI) podle NIS 2. Perimetr je jiný, odvětvové prahy jsou jiné a subjekty musí ověřit svůj status proti novým kritériím. Mnozí OIV jsou také základními subjekty podle NIS 2, ale soubor povinností a kanál pro hlášení se mění.
NIS 2 ve Francii platí jen pro velké operátory.
Test velikosti se ve výchozím stavu omezuje na střední a velké podniky, ale směrnice zachycuje i malé subjekty, kde jsou jediným poskytovatelem, kde má narušení přeshraniční dopad nebo kde je přidává francouzské právo. Veřejné správy a někteří digitální poskytovatelé jsou v rozsahu bez ohledu na velikost. Kontrola použitelnosti se musí provádět případ od případu, ne pouze podle velikosti společnosti.
MonEspaceNIS2 a ANSSI přijímají jen francouzštinu.
Portál a oficiální pokyny jsou primárně francouzské. Zahraniční mateřské společnosti by neměly předpokládat, že potřebují plný francouzský překlad každé vnitřní politiky, aby se zaregistrovaly nebo podaly hlášení incidentu.
Většina středně velkých provozovatelů ve Francii, které vidíme, stále zachází s NIS 2 jako s rozšířením starého režimu OIV / OSE. To je napůl správně. Podle návrhu zákona dohled a kanál pro incidenty sedí uvnitř ANSSI jako dřív, ale rozsah je širší a odsouhlasení řídícím orgánem je těžší. Jakmile se zákon uplatní, bude obdoba jednatele (président, directeur général, gérant) osobně odpovídat za schválení řízení rizik a za školení.
Praktický krok je stejný jako všude jinde v EU: potvrďte rozsah podle směrnice, dobrovolně se předregistrujte u ANSSI (messervices.cyber.gouv.fr/nis2, dříve MonEspaceNIS2) a zaregistrujte se, jakmile bude zákon přijat, nastavte čtyři průběžné povinnosti (udržování registrace, hlášení incidentů, riziko dodavatelského řetězce, dozor řídícího orgánu) a zdokumentujte minimum. Aparát OIV pomáhá, ale nenahrazuje registr povinností NIS 2.
- Směrnice (EU) 2022/2555 (NIS 2). EUR-Lex
- Prováděcí nařízení Komise (EU) 2024/2690
- Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité: Assemblée nationale, legislativní spis
- Code de la défense, Articles L.1332-1 et suivants (OIV). Légifrance
- ANSSI, Agence nationale de la sécurité des systèmes d'information, oficiální stránka
- Předregistrace NIS 2 u ANSSI: messervices.cyber.gouv.fr/nis2 (dříve MonEspaceNIS2)
- ACPR / Banque de France, příslušný orgán pro DORA ve finančním sektoru
V praxi
Co mění národní zákon a co ne
Národní zákon mimo jiné určuje, kde se registrujete a komu hlásíte incidenty. Samotná opatření vycházejí ve všech členských státech ze stejného minimálního seznamu (čl. 21 NIS 2). Průvodce vás jimi provede krok za krokem:
Řízení rizik
Sepište, co vaše firma má
Seznam procesů, programů a zařízení, se kterými pracujete.
Řešení incidentů
Naplánujte, co se stane při incidentu
Kdo rozhoduje, komu voláte, jak se spojíte.
Posouzení účinnosti
Zapište přezkoumání vedením
Vedení kontroluje, zda opatření fungují, a schvaluje vaše dokumenty.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
