Stav NIS 2 v Irsku
Co směrnice vyžaduje, kde Irsko stojí v transpozici a kdo mezitím nese dohled.
Přehled
Směrnice NIS 2 sedí na úrovni EU. Zavazuje každý členský stát, Irsko včetně, jednou základnou povinností pro základní a důležité subjekty. Irsko musí tuto základnu převést do irského práva a postavit pod ní dohled.
Irsko zmeškalo lhůtu pro transpozici 17. října 2024. General Scheme of the National Cyber Security Bill 2024 byl zveřejněn 30. srpna 2024. K začátku října 2026 nebyl v Oireachtasu předložen žádný National Cyber Security Bill. Dne 8. července 2026 Evropská komise postoupila Irsko spolu se Španělskem, Francií a Nizozemskem Soudnímu dvoru EU a požádala Soud o uložení paušální částky a denních sankcí, dokud Irsko neoznámí úplnou transpozici. Dokud zákon není v platnosti, nadále platí irská transpozice NIS 1 (European Union (Measures for a High Common Level of Security of Network and Information Systems) Regulations 2018, S.I. No. 360/2018).
National Cyber Security Centre (NCSC-IE) je vnitrostátní CSIRT. Podle General Scheme se má stát vedoucím příslušným orgánem a jednotným kontaktním místem pro NIS 2 vedle odvětvových příslušných orgánů: CRU pro energetiku, pitnou vodu a odpadní vody, ComReg pro digitální infrastrukturu, správu IKT služeb, kosmický prostor a digitální poskytovatele, Central Bank of Ireland pro bankovnictví a infrastruktury finančních trhů (kde DORA platí jako lex specialis) a další orgány pro dopravu a zdravotnictví. Od 1. června 2025 patří NCSC a funkce NIS pod Department of Justice, Home Affairs and Migration, které je převzalo od Department of the Environment, Climate and Communications.
Směrnice EU
Směrnice (EU) 2022/2555 (NIS 2)
Směrnice EU o kybernetické bezpečnosti. Stanoví povinnosti, které musí každý členský stát transponovat, včetně testu velikosti a odvětví pro základní a důležité subjekty. Vztahuje se na Irsko bez ohledu na stav vnitrostátní transpozice.
Prováděcí akt EU
Prováděcí nařízení (EU) 2024/2690
Technické a metodické požadavky pro poskytovatele DNS, registry TLD, poskytovatele cloudu, datových center a CDN, poskytovatele řízených (bezpečnostních) služeb, online tržiště, vyhledávače, sociální sítě a poskytovatele služeb vytvářejících důvěru. V Irsku přímo použitelné, žádná vnitrostátní transpozice není potřeba.
Irská transpozice
General Scheme of the National Cyber Security Bill 2024 (návrh); do přijetí: S.I. No. 360/2018 (NIS 1)
Vláda schválila prioritní přípravu návrhu 24. července 2024 a General Scheme zveřejnila 30. srpna 2024. V Oireachtasu dosud nebyl předložen žádný návrh zákona. Návrh zákona a navazující prováděcí předpisy ponesou provozní detail. Do té doby zůstává v platnosti transpozice NIS 1, doplněná pokyny NCSC-IE.
Návrh zákona National Cyber Security Bill
Přinese povinnosti NIS 2 do irského práva, definuje základní a důležité subjekty, stanoví dohledové a vymáhací pravomoci a ukotví hlášení incidentů. Provozní detail doplní prováděcí předpisy a pokyny NCSC-IE. Dnes: Heads of Bill zveřejněny, konečný text dosud nepřijat.
NCSC-IE jako vedoucí příslušný orgán
National Cyber Security Centre je vnitrostátní CSIRT (CSIRT-IE). Podle General Scheme se má stát vedoucím příslušným orgánem a jednotným kontaktním místem pro NIS 2, přičemž odvětvové regulátory jako CRU, ComReg a Central Bank jsou příslušnými orgány pro své sektory. Již zveřejňuje přípravné pokyny, včetně návrhu pokynů Risk Management Measures z června 2025, a odkazuje na belgický rámec CyFun jako praktickou základnu.
Registrace a hlášení
Do 17. dubna 2025 musel každý členský stát sestavit seznam základních a důležitých subjektů (čl. 3 odst. 3 NIS 2). Irsko zatím nemá takový právní základ a registrační portál a portál pro hlášení incidentů se otevřou až s účinností zákona. Významné incidenty se pak budou řídit směrnicí: včasné varování do 24 hodin, oznámení incidentu do 72 hodin, závěrečná zpráva do jednoho měsíce.
Na irském území platí irské právo
Činnost na irském území se řídí irskou transpozicí. Jednatel české společnosti s irskou dceřinou společností čte pro tuto dceřinou společnost nadcházející National Cyber Security Act a mezitím nařízení NIS 1 z roku 2018, nikoli český zákon č. 264/2025 Sb. Povinnosti směrnice jsou totožné. Postupy, portály a sankce žijí v irském právu.
Irsko nemůže klesnout pod základnu EU
Směrnice je minimální harmonizace. Irsko může jít přísněji. Irsko nemůže klesnout pod směrnici, ani v povinnostech základních a důležitých subjektů, ani ve lhůtách pro hlášení, ani v odpovědnosti statutárního orgánu. Dokud Irsko netransponuje, povinnosti ze směrnice irské společnosti přímo nezavazují. Jakmile bude zákon v platnosti, nesmí stanovit nižší laťku než směrnice.
NCSC-IE
National Cyber Security Centre. Vnitrostátní CSIRT (CSIRT-IE) a podle General Scheme budoucí vedoucí příslušný orgán a jednotné kontaktní místo pro NIS 2. Zveřejňuje přípravné pokyny, otevře registrační a ohlašovací portály s účinností zákona a koordinuje s ENISA a dalšími členskými státy.
Department of Justice, Home Affairs and Migration (irské ministerstvo spravedlnosti, vnitra a migrace)
Vedoucí ministerstvo pro transpozici. Dne 1. června 2025 vláda přesunula funkce v oblasti kybernetické bezpečnosti, včetně těch podle nařízení NIS 1 (S.I. No. 360/2018), z Department of the Environment, Climate and Communications na Department of Justice (S.I. No. 234/2025). NCSC je operační složkou tohoto ministerstva. General Scheme of the National Cyber Security Bill 2024 je zveřejněn; samotný návrh zákona zatím nebyl v Oireachtasu předložen.
ENISA
Agentura EU pro kybernetickou bezpečnost. Zveřejňuje pokyny, provozuje evropskou databázi zranitelností a koordinuje přeshraničně. Není dohledovým orgánem pro irské subjekty. Tuto roli ponesou podle General Scheme NCSC-IE a odvětvové příslušné orgány, jakmile bude zákon v platnosti.
Dokud Irsko netransponuje, platí česká pravidla, protože naše mateřská společnost sídlí v Česku.
Ne. NIS 2 se řídí principem usazení. Irská dceřiná společnost je regulována v Irsku, česká v Česku. Česká mateřská společnost může irskou dceřinou společnost interně podporovat, ale právní povinnost registrovat se, hlásit a podléhat dohledu nese irský subjekt a bude směřovat k NCSC-IE, jakmile bude zákon v platnosti. Do té doby pro již pokrytá odvětví platí NIS 1 (S.I. No. 360/2018).
Dokud není portál v provozu, nemusím dělat nic.
Povinnosti NIS 2 registrovat se a hlásit dopadají na irskou společnost jen prostřednictvím irského zákona, který zatím není v platnosti. Do té doby platí NIS 1 (S.I. No. 360/2018) pro provozovatele základních služeb již podle něj určené. Příprava se přesto vyplatí: řízení rizik, proces incidentů, doložky dodavatelského řetězce a školení statutárního orgánu se zavádějí měsíce a zákon stanoví lhůtu pro registraci, jakmile NCSC-IE otevře portál.
Pod NIS 2 spadají jen staré OES z NIS 1.
Ne. NIS 2 podstatně rozšiřuje katalog odvětví a velikostí. Provozovatelé základních služeb podle NIS 1 jsou obvykle stále zachyceni i pod NIS 2, ale perimetr je širší a nyní rozlišuje mezi základními a důležitými subjekty. Střední a velké subjekty uvedené v přílohách I a II směrnice spadají do rozsahu, stejně jako někteří malí poskytovatelé se zvláštní rolí, plus části veřejné správy.
Většina irských provozovatelů ze středního trhu, se kterými se setkáváme, považuje NIS 2 za odloženou lhůtu a čeká na National Cyber Security Bill. Právně to zatím platí: směrnice zavazuje stát, ne společnost, takže dokud zákon není v platnosti, platí jen nařízení NIS 1, a to jen pro provozovatele podle něj již určené. Prakticky práce trvá měsíce, takže kdo začne nyní, potká zákon s dokumentací již na místě.
Praktický krok je stejný jako všude v EU: provést test použitelnosti podle směrnice, použít přípravné pokyny NCSC-IE (návrh Risk Management Measures, CyFun) jako orientaci, nastavit čtyři průběžné povinnosti (udržovat registrační údaje aktuální, hlášení incidentů, riziko dodavatelského řetězce, dohled statutárního orgánu) a zdokumentovat minimum. Jakmile bude zákon v platnosti, zbývající práce spočívá převážně v zapojení hotové dokumentace do irských postupů.
- Směrnice (EU) 2022/2555 (NIS 2), EUR-Lex
- Prováděcí nařízení (EU) 2024/2690
- General Scheme of the National Cyber Security Bill 2024 (osnova návrhu zákona), Department of Justice, Home Affairs and Migration (gov.ie)
- European Union (Measures for a High Common Level of Security of Network and Information Systems) Regulations 2018 (S.I. No. 360/2018), Irish Statute Book
- NCSC-IE, National Cyber Security Centre, stav NIS 2 a pokyny (ncsc.gov.ie)
- NCSC-IE, Draft Risk Management Measures Guidance (červen 2025)
- ComReg: podle General Scheme příslušný orgán pro digitální infrastrukturu, správu IKT služeb, kosmický prostor a digitální poskytovatele
- Central Bank of Ireland, příslušný orgán pro DORA ve finančním sektoru
- S.I. No. 234/2025, Cyber Security (Transfer of Departmental Administration and Ministerial Functions) Order 2025 (převod agendy kybernetické bezpečnosti na jiné ministerstvo), Irish Statute Book
- Evropská komise, 8. července 2026: Komise postupuje Irsko, Španělsko, Francii a Nizozemsko Soudnímu dvoru (digital-strategy.ec.europa.eu)
V praxi
Co mění národní zákon a co ne
Národní zákon mimo jiné určuje, kde se registrujete a komu hlásíte incidenty. Samotná opatření vycházejí ve všech členských státech ze stejného minimálního seznamu (čl. 21 NIS 2). Průvodce vás jimi provede krok za krokem:
Řízení rizik
Sepište, co vaše firma má
Seznam procesů, programů a zařízení, se kterými pracujete.
Řešení incidentů
Naplánujte, co se stane při incidentu
Kdo rozhoduje, komu voláte, jak se spojíte.
Posouzení účinnosti
Zapište přezkoumání vedením
Vedení kontroluje, zda opatření fungují, a schvaluje vaše dokumenty.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
