Stav NIS 2 v Nizozemsku
Nizozemsko transponovalo směrnici EU NIS 2 prostřednictvím Cyberbeveiligingswet (Cbw). Zákon přišel pozdě a platí od 15. srpna 2026, bez přechodného období.
Přehled
Právním základem je směrnice EU NIS 2 (2022/2555). Stanoví minimální úroveň povinností v oblasti kybernetické bezpečnosti pro každý členský stát. Nizozemsko tuto úroveň zapisuje do národního práva prostřednictvím Cyberbeveiligingswet (Cbw), který nahradil starší Wbni (Wet beveiliging netwerk- en informatiesystemen) zavádějící NIS 1.
Lhůtu pro transpozici EU dne 17. října 2024 zmeškalo Nizozemsko i většina členských států, včetně České republiky (zákon č. 264/2025 Sb. je účinný od 1. listopadu 2025). Nizozemský návrh prošel v roce 2024 veřejnou konzultací, v červnu 2025 byl předložen Tweede Kamer a byl přijat jako zákon ze dne 8. července 2026 (Staatsblad 2026, 187). Komise podala 8. července 2026 žalobu proti Nizozemsku u Soudního dvora EU, měsíc před tím, než Cbw 15. srpna 2026 nabyl účinnosti.
Cbw a jeho prováděcí vyhláška, Cyberbeveiligingsbesluit (Staatsblad 2026, 189), nabyly účinnosti 15. srpna 2026 bez přechodného období. Česká republika postupovala jinak: bezpečnostní opatření a hlášení incidentů musí poskytovatel začít plnit nejpozději do 1 roku od doručení rozhodnutí o registraci (§ 13 odst. 4 a § 15 odst. 4 zákona č. 264/2025 Sb.). Při vymezování práce je nyní referencí přijatý Cbw společně se směrnicí EU.
Směrnice EU
Směrnice (EU) 2022/2555 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v celé Unii (NIS 2).
Stanoví povinnosti řízení rizik (čl. 21), hlášení incidentů (čl. 23), odpovědnost řídicího orgánu (čl. 20) a registraci subjektů (čl. 3 odst. 4). Členské státy musí transponovat do národního práva, ale nesmí jít pod minimální úroveň.
Prováděcí nařízení EU
Prováděcí nařízení Komise (EU) 2024/2690 ze dne 17. října 2024 (CIR).
Podrobně určuje, jak vypadají opatření podle čl. 21 pro poskytovatele DNS, registry TLD, cloud, poskytovatele datových center a sítí pro doručování obsahu (CDN), poskytovatele řízených (bezpečnostních) služeb, online tržiště, vyhledávače, sociální sítě a poskytovatele služeb vytvářejících důvěru. Přímo použitelné v Nizozemsku bez dalšího národního aktu.
Nizozemská transpozice
Cyberbeveiligingswet (Cbw), zákon ze dne 8. července 2026 (Staatsblad 2026, 187), v účinnosti od 15. srpna 2026; nahradil Wbni.
Cbw přiděluje role dozoru a CSIRT, definuje základní a důležité subjekty pro Nizozemsko a doplňuje národní specifika jako poplatky, postupy určení a předání mezi odvětvími. Jeho prováděcí vyhláška, Cyberbeveiligingsbesluit (Staatsblad 2026, 189), nabyla účinnosti současně s ním dne 15. srpna 2026.
Cyberbeveiligingswet (Cbw)
Transponuje NIS 2 do nizozemského práva a platí od 15. srpna 2026. Definuje základní (essentiële) a důležité (belangrijke) subjekty, stanoví dozorové pravomoci, pokuty a postupy hlášení incidentů a začleňuje CIR EU odkazem.
RDI, odvětvové regulátory, NCSC-NL
Dozor je rozdělen podle odvětví: Rijksinspectie Digitale Infrastructuur (RDI) pro digitální infrastrukturu, digitální poskytovatele, správu služeb ICT, energetiku a veřejnou správu; ILT pro dopravu, vodu a chemii; DNB pro bankovnictví; AFM pro infrastruktury finančních trhů; NVWA pro potraviny. NCSC je CSIRT pro většinu odvětví.
Lhůta EU zmeškána, registrace přes nizozemský portál
Lhůta EU dne 17. října 2024 uplynula bez nizozemské transpozice. Od 15. srpna 2026 se subjekty v působnosti musí zaregistrovat v národním registru subjektů na MijnNCSC (mijn.ncsc.nl), s přihlášením přes eHerkenning, a změny hlásit bez zbytečného odkladu a nejpozději do dvou týdnů. Významné incidenty se hlásí CSIRT i dozorovému orgánu do 24 hodin (včasné varování) a 72 hodin (úplné oznámení), v souladu s čl. 23 NIS 2.
Národní právo následuje místo usazení
Subjekt podléhá právu země, v níž je usazen. Pouze někteří poskytovatelé digitálních služeb (cloud, datová centra, poskytovatelé řízených služeb, online tržiště a podobně) podléhají zemi své hlavní provozovny v EU a poskytovatelé elektronických komunikačních služeb podléhají každé zemi, v níž své služby poskytují (čl. 26 odst. 1 NIS 2).
Směrnice je minimální úroveň, nikdy ne strop
Cbw nemůže jít pod NIS 2. Může být přísnější v národních specifikách (postupy určení, poplatky, odvětvové seznamy). U opatření pro řízení rizik a hlášení incidentů určují podstatu text EU a CIR; nizozemský zákon doplňuje procesní obal.
Rijksinspectie Digitale Infrastructuur (RDI)
Dozorový orgán pro digitální infrastrukturu, digitální poskytovatele, správu služeb ICT, energetiku, vesmír, poštu, zpracovatelský průmysl a veřejnou správu. Příslušným orgánem ve smyslu zákona je odpovědný ministr. Nástupce Agentschap Telecom; spadá pod Ministerstvo hospodářství.
NCSC-NL (Nationaal Cyber Security Centrum)
Národní CSIRT pod Ministerstvem spravedlnosti a bezpečnosti. Přijímá oznámení o incidentech podle čl. 23, vydává odvětvová doporučení a koordinuje se s ENISA a dalšími národními CSIRT. Od 1. ledna 2026 je Digital Trust Center součástí NCSC, které je nyní jednotným kontaktním místem pro digitální odolnost a CSIRT pro většinu odvětví Cbw. Provozuje registr subjektů na MijnNCSC.
ENISA
Vydává pokyny na úrovni EU a technické zprávy o implementaci. Není regulátorem nizozemských subjektů. Její Technical Implementation Guidance k CIR (s křížovým mapováním na ISO 27001) je napsána pro poskytovatele digitálních služeb, na které se CIR vztahuje; ostatní subjekty ji mohou použít jako referenci.
Nizozemský NIS 2 zrcadlí český zákon č. 264/2025 Sb. jedna ku jedné.
Oba transponují tutéž směrnici, ale texty se liší. Nizozemsko drží silný model odvětvových regulátorů a RDI používá jako horizontální dozor. V České republice provádí kontrolu podle zákona jeden úřad, NÚKIB. Výše sankcí, mechanika registrace a povinnosti školení vedení jsou upraveny odlišně. Čtěte Cbw samostatně, ne jako překlad českého zákona.
Nizozemská registrační povinnost zatím neexistuje, takže můžeme počkat.
Čl. 3 odst. 4 NIS 2 vyžaduje, aby každý členský stát vedl registr a aby subjekty poskytly své údaje. V Nizozemsku je registrace povinná od 15. srpna 2026, bez ochranné lhůty: subjekty v působnosti se registrují v národním registru subjektů na MijnNCSC, který vede ministr spravedlnosti a bezpečnosti (čl. 43 Cbw). Změny je třeba hlásit bez zbytečného odkladu a v každém případě do dvou týdnů ode dne změny (čl. 44 odst. 2 Cbw).
Můj odvětvový regulátor řeší vše, RDI není relevantní.
Dozor podle Cbw je rozdělen podle odvětví: DNB pro bankovnictví, AFM pro infrastruktury finančních trhů, ILT pro dopravu, vodu a chemii, NVWA pro potraviny a RDI pro digitální infrastrukturu, energetiku, veřejnou správu a několik dalších odvětví. U finančních subjektů spadajících pod DORA působí DORA jako lex specialis v oblasti kybernetické bezpečnosti, ale registrace podle čl. 3 odst. 4 NIS 2 stále platí.
Většina nizozemských subjektů v působnosti už věděla, že do působnosti spadne. Cbw platí od 15. srpna 2026 bez přechodného období, takže teď záleží na dvou věcech: na registraci v registru subjektů na MijnNCSC a na jakékoli komunikaci dozorového orgánu pro vaše odvětví, která ukotvuje vymezení.
Provozně platí podle Cbw, který tyto články EU transponuje, čtyři stálé povinnosti: řídit bezpečnost s odpovědností vedení (čl. 20), provozovat opatření pro řízení rizik (čl. 21), hlásit významné incidenty v rytmu 24 hodin a 72 hodin (čl. 23) a zaregistrovat se a udržovat registraci aktuální (čl. 3 odst. 4).
- Směrnice (EU) 2022/2555 (NIS 2), EUR-Lex, Úř. věst. L 333, 27. prosince 2022
- Prováděcí nařízení Komise (EU) 2024/2690 ze dne 17. října 2024
- Cyberbeveiligingswet (Cbw), zákon ze dne 8. července 2026, Staatsblad 2026, 187; Cyberbeveiligingsbesluit, Staatsblad 2026, 189
- Wbni: Wet beveiliging netwerk- en informatiesystemen (transpozice NIS 1, nahrazen Cbw dne 15. srpna 2026)
- Rijksinspectie Digitale Infrastructuur (RDI), rdi.nl, dozorové informace k NIS 2
- NCSC-NL, ncsc.nl, oznamování incidentů a metodika CSIRT
- ENISA, NIS 2 Technical Implementation Guidance, verze 1.0, červen 2025 (mapovací tabulka verze 1.2, září 2025)
V praxi
Co mění národní zákon a co ne
Národní zákon mimo jiné určuje, kde se registrujete a komu hlásíte incidenty. Samotná opatření vycházejí ve všech členských státech ze stejného minimálního seznamu (čl. 21 NIS 2). Průvodce vás jimi provede krok za krokem:
Řízení rizik
Sepište, co vaše firma má
Seznam procesů, programů a zařízení, se kterými pracujete.
Řešení incidentů
Naplánujte, co se stane při incidentu
Kdo rozhoduje, komu voláte, jak se spojíte.
Posouzení účinnosti
Zapište přezkoumání vedením
Vedení kontroluje, zda opatření fungují, a schvaluje vaše dokumenty.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
