Stav NIS 2 ve Švédsku
Co směrnice vyžaduje, jak ji Švédsko transponovalo opožděně a kde v tom obraze sedí NCSC při FRA a CERT-SE.
Přehled
Směrnice NIS 2 je vrstvou EU. Zavazuje každý členský stát, včetně Švédska, jednou kybernetickou základnou pro základní a důležité subjekty. Švédsko musí tuto základnu vložit do švédského práva a provozovat pod ní režim dohledu.
Švédsko nestihlo lhůtu EU pro transpozici 17. října 2024. Evropská komise vydala 7. května 2025 odůvodněné stanovisko za neoznámení úplné transpozice. Teprve Cybersäkerhetslagen (SFS 2025:1506), vydaný 11. prosince 2025 a v platnosti od 15. ledna 2026, konečně přenesl směrnici do švédského zákona.
Od 1. července 2026 je jednotným kontaktním místem a CSIRT pro NIS 2 Národní obranný rádiový ústav (Försvarets radioanstalt, FRA) prostřednictvím svého National Cyber Security Centre (NCSC). MCF (Myndigheten för civilt försvar, dříve MSB) tyto role zastávala od 15. ledna do 30. června 2026. CERT-SE zůstává názvem vnitrostátního CSIRT a nyní je součástí NCSC. Dohled je decentralizovaný: PTS pro digitální infrastrukturu, digitální poskytovatele, správu IKT služeb, poštu a kosmický prostor; Energimyndigheten pro energetiku; Transportstyrelsen pro dopravu a výrobu vozidel; Finansinspektionen pro bankovnictví a infrastruktury finančních trhů; IVO pro poskytovatele zdravotní péče a Läkemedelsverket pro zbytek zdravotnictví; Livsmedelsverket pro pitnou vodu, odpadní vody a potraviny; a šest krajských správních rad pro odpady, výzkum, veřejnou správu, chemické látky a výrobu.
Směrnice EU
Směrnice (EU) 2022/2555 (NIS 2)
Celoevropská směrnice o kybernetické bezpečnosti. Stanoví povinnosti, které musí každý členský stát transponovat, včetně testů velikosti a odvětví pro základní a důležité subjekty. Lhůta pro transpozici byla 17. října 2024.
Prováděcí akt EU
Prováděcí nařízení Komise (EU) 2024/2690
Technické a metodické požadavky pro poskytovatele DNS, registry TLD, poskytovatele cloudu, datových center a CDN, poskytovatele řízených (bezpečnostních) služeb, online tržiště, vyhledávače, sociální sítě a poskytovatele služeb vytvářejících důvěru. Ve Švédsku přímo použitelné bez národní transpozice.
Švédská transpozice
Cybersäkerhetslagen (SFS 2025:1506), v platnosti od 15. ledna 2026
Švédská transpozice NIS 2. Vydána 11. prosince 2025 na základě Proposition 2025/26:28 „Ett starkt skydd för nätverks- och informationssystem“. Doprovázena nařízením Cybersäkerhetsförordning (SFS 2025:1507) a pravidly vydanými orgány. Ruší zákon NIS 1 z roku 2018 (2018:1174), který se nadále vztahuje na porušení spáchaná před 15. lednem 2026.
Cybersäkerhetslagen (SFS 2025:1506)
Přenáší povinnosti NIS 2 do švédského práva. Komise zahájila řízení o nesplnění povinnosti odůvodněným stanoviskem 7. května 2025. Zákonem Cybersäkerhetslagen, v platnosti od 15. ledna 2026, je Švédsko formálně transponováno. Doprovodné nařízení Cybersäkerhetsförordning a pravidla odvětvových regulátorů doplňují provozní detail.
NCSC při FRA jako SPOC a CSIRT, odvětvové regulátory jako dohledové orgány
Švédsko provozuje decentralizovaný model dohledu. Od 1. července 2026 je FRA prostřednictvím svého National Cyber Security Centre (NCSC) jednotným kontaktním místem a CSIRT (CERT-SE). Předtím, od 15. ledna 2026, zastávala obě role MCF. Dohled náleží odvětvovým orgánům uvedeným v Cybersäkerhetsförordning: PTS, Energimyndigheten, Transportstyrelsen, Finansinspektionen, IVO, Läkemedelsverket, Livsmedelsverket a šest krajských správních rad.
Registrace a hlášení
Subjekty v působnosti se musí u jednotného kontaktního místa zaregistrovat co nejdříve. Registrace byla otevřena 2. února 2026. Od 1. července 2026 je adresou NCSC při FRA, e-mailem na nis2anmalan@ncsc.se. Změny se hlásí do 14 dnů. Významné incidenty se hlásí NCSC prostřednictvím CERT-SE přes cyberportal.ncsc.se v rytmu směrnice: 24hodinové včasné varování, 72hodinové oznámení, jednoměsíční závěrečná zpráva. U poskytovatelů služeb vytvářejících důvěru je oznámení incidentu splatné do 24 hodin.
Uvnitř Švédska platí místní právo
Provoz na švédském území se řídí švédskou transpozicí. Český jednatel provozující švédskou dceřinou společnost čte pro tuto dceřinou společnost Cybersäkerhetslagen (SFS 2025:1506), nikoli český zákon č. 264/2025 Sb. Povinnosti směrnice jsou stejné; postup, registrační adresu a sankce upravuje švédské právo.
Švédsko nemůže jít pod základnu EU
Směrnice je nástrojem minimální harmonizace. Švédsko může jít přísněji a část tohoto prostoru využilo, zejména prostřednictvím přístupu „celého subjektu“, který zachycuje celou organizaci, nikoli jen část poskytující službu. Švédsko nemůže klesnout pod směrnici v povinnostech základních a důležitých subjektů, ve lhůtách pro hlášení incidentů ani v odpovědnosti statutárního orgánu.
NCSC při FRA (do 30. června 2026: MCF)
National Cyber Security Centre při Försvarets radioanstalt (FRA). Od 1. července 2026 jednotné kontaktní místo a CSIRT pro NIS 2 a adresa pro registrace a hlášení incidentů. Od 15. ledna do 30. června 2026 tyto role zastávala MCF (Myndigheten för civilt försvar, do 31. prosince 2025 MSB). Odvětvový dohled zde nespočívá; náleží odvětvovým orgánům.
CERT-SE
Vnitrostátní CSIRT pro Švédsko, od 1. července 2026 součást National Cyber Security Centre při FRA (předtím při MCF). Přijímá hlášení významných incidentů podle NIS 2 přes cyberportal.ncsc.se, podporuje subjekty 24/7 a vyměňuje informace v rámci sítě CSIRT EU. Zastihnutelný na cert@cert.se.
ENISA
Agentura EU pro kybernetickou bezpečnost. Zveřejňuje pokyny, spravuje evropskou databázi zranitelností a podporuje přeshraniční koordinaci. Není dohledovým orgánem pro švédské subjekty; tím jsou odvětvové orgány.
Švédsko a Česko to regulují stejně.
Povinnosti směrnice jsou totožné, struktury nikoli. V Česku vykonává dozor jeden úřad, NÚKIB, podle zákona č. 264/2025 Sb. Švédsko role rozděluje: NCSC při FRA je jednotné kontaktní místo a provozuje CERT-SE, zatímco dohled náleží sadě odvětvových orgánů. Česká mateřská společnost se švédskou dceřinou společností potřebuje jako dohledovou adresu pro tuto dceřinou společnost odvětvový orgán, nikoli NCSC.
Dokud mě nikdo nekontaktuje, jsem mimo rozsah.
Jako většina členských států provozuje Švédsko model vlastní klasifikace. Subjekt, který splňuje test velikosti a odvětví směrnice, je povinným subjektem bez ohledu na to, zda nějaký orgán zveřejní seznam. Subjekty se musely od 2. února 2026 zaregistrovat co nejdříve, od 1. července 2026 u NCSC při FRA. Chybějící dopis od úřadů není obranou proti sankcím.
Jednáme jen se svým odvětvovým regulátorem.
Odvětvový orgán je dohledový orgán a NCSC při FRA je registrační adresou a prostřednictvím CERT-SE i kanálem pro incidenty. V praxi se práce na NIS 2 dotýká obou: registrace a hlášení incidentů NCSC, průběžný dohled ze strany PTS, Energimyndigheten, Finansinspektionen nebo jiného odvětvového orgánu. Považovat kteréhokoli z nich za jediného protějšku znamená špatně číst švédskou architekturu.
Většina švédských provozovatelů, které vidíme, strávila celý rok 2025 v nejistotě. Až do poloviny prosince 2025 ležel zákon Cybersäkerhetslagen v Riksdagu jako Proposition 2025/26:28 a nic víc. Důsledek: mnoho ředitelů pozastavilo svou práci na NIS 2 a poté museli stlačit oznámení a první dokumentaci do okna krátce po 15. lednu 2026.
Praktický krok je stejný jako všude jinde v EU: potvrdit rozsah podle směrnice, registrovat se u NCSC při FRA, nastavit čtyři průběžné povinnosti (udržování registrace, hlášení incidentů, riziko dodavatelského řetězce, dohled statutárního orgánu) a zdokumentovat minimum. Odvětvový regulátor zůstává dohledovou adresou; NCSC a CERT-SE jsou provozní kanály.
- Směrnice (EU) 2022/2555 (NIS 2), EUR-Lex
- Prováděcí nařízení Komise (EU) 2024/2690
- Cybersäkerhetslagen (SFS 2025:1506), Sveriges riksdag
- Proposition 2025/26:28 „Ett starkt skydd för nätverks- och informationssystem“, Sveriges riksdag
- National Cyber Security Centre (NCSC) při FRA: ncsc.se (registrace a hlášení incidentů podle Cybersäkerhetslagen)
- CERT-SE: švédský vnitrostátní CSIRT (od 1. července 2026 součást NCSC při FRA)
- Evropská komise, zavádění směrnice NIS2 ve Švédsku (digital-strategy.ec.europa.eu)
- PTS, Energimyndigheten, Transportstyrelsen, Finansinspektionen, IVO, Livsmedelsverket, odvětvové regulátory
- SFS 2026:623, novela Cybersäkerhetsförordning (2025:1507)
V praxi
Co mění národní zákon a co ne
Národní zákon mimo jiné určuje, kde se registrujete a komu hlásíte incidenty. Samotná opatření vycházejí ve všech členských státech ze stejného minimálního seznamu (čl. 21 NIS 2). Průvodce vás jimi provede krok za krokem:
Řízení rizik
Sepište, co vaše firma má
Seznam procesů, programů a zařízení, se kterými pracujete.
Řešení incidentů
Naplánujte, co se stane při incidentu
Kdo rozhoduje, komu voláte, jak se spojíte.
Posouzení účinnosti
Zapište přezkoumání vedením
Vedení kontroluje, zda opatření fungují, a schvaluje vaše dokumenty.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
