Únik dat: NIS 2 a GDPR souběžně
Na témž incidentu sedí dva rámce pro hlášení. Čl. 33 GDPR míří k Úřadu pro ochranu osobních údajů (ÚOOÚ). Hlášení podle čl. 23 NIS 2 a zákona č. 264/2025 Sb. míří k NÚKIB nebo Národnímu CERT. Vzájemně se nenahrazují.
Proč jeden incident spouští dvoje hodiny
Ransomwarový útok, který exfiltruje databázi zaměstnanců, je jedna událost. Podle článku 33 GDPR je to porušení zabezpečení osobních údajů. Podle článku 23 NIS 2 je to významný kybernetický incident, pokud naruší poskytování služeb, způsobí finanční ztrátu nebo poškodí třetí strany. Oba režimy se mohou na tatáž fakta vztahovat zároveň.
Bod odůvodnění 14 NIS 2 je výslovný. NIS 2 nemá vliv na uplatňování GDPR. Kybernetické hlášení podle článku 23 NIS 2 nezprošťuje správce povinnosti podle článku 33 GDPR a oznámení porušení podle GDPR nezprošťuje kybernetického hlášení.
Tato stránka popisuje oba rámce vedle sebe. Není to právní poradenství. Subjekt čelící úniku dat, který splňuje prahy článku 23 NIS 2 i článku 33 GDPR, zpravidla podává souběžně, přičemž pověřenec pro ochranu osobních údajů a vedoucí bezpečnosti se koordinují na sdíleném skutkovém základě.
Čl. 33 odst. 1 GDPR
Jakékoli porušení zabezpečení osobních údajů správce bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděl, ohlásí dozorovému úřadu příslušnému podle článku 55, ledaže je nepravděpodobné, že by toto porušení mělo za následek riziko pro práva a svobody fyzických osob.
72hodinové hodiny začínají, když se správce o porušení dozví, ne když incident nastane. Prahem rizika jsou práva a svobody fyzických osob, ne provozní dopad.
Kaskáda podle čl. 23 odst. 4 NIS 2
Členské státy zajistí, aby za účelem oznámení podle odstavce 1 dotčené subjekty předložily týmu CSIRT nebo případně příslušnému orgánu: a) bez zbytečného odkladu, nejpozději však do 24 hodin po zjištění významného incidentu, včasné varování (…); b) bez zbytečného odkladu, nejpozději však do 72 hodin po zjištění významného incidentu, oznámení incidentu (…); (…) d) nejpozději do jednoho měsíce od předložení oznámení incidentu podle písmene b) závěrečnou zprávu (…)
V Česku tři kroky přes Portál NÚKIB: NÚKIB ve vyšším režimu, Národní CERT v nižším. Rozlišujícím bodem je 24hodinové prvotní hlášení. GDPR žádnou 24hodinovou lhůtu nemá.
§ 16 odst. 1 zákona č. 264/2025 Sb. (Česko)
Poskytovatel regulované služby bez zbytečného odkladu, nejpozději do 24 hodin po zjištění kybernetického bezpečnostního incidentu, předloží prvotní hlášení, v němž uvede své identifikační údaje, základní údaje o kybernetickém bezpečnostním incidentu, a zda se domnívá, že byl kybernetický bezpečnostní incident způsoben nezákonným zásahem nebo že by mohl mít přeshraniční dopad.
Zákon č. 264/2025 Sb. převádí kaskádu NIS 2 do českého práva: komu hlásíte, určuje § 15 (vyšší režim NÚKIB, nižší Národní CERT), lhůty § 16. Lhůtu GDPR nemění. Čl. 33 GDPR je přímo použitelné nařízení EU a běží souběžně se zákonem. Pozor na rozdíl: § 15 zákona chce hlásit jen incidenty, u nichž nelze do 24 hodin vyloučit úmyslné zavinění; GDPR takovou podmínku nemá.
Zjistit a roztřídit
Reakce na incident zjistí, že osobní údaje byly zpřístupněny, exfiltrovány nebo se staly nedostupnými. Tatáž fakta krmí obě právní posouzení. Forenzní logy, dotčené systémy, dotčené kategorie údajů a dotčené subjekty údajů jsou sdílenou důkazní základnou.
Klasifikovat proti dvěma prahům
Významnost podle GDPR závisí na riziku pro práva a svobody fyzických osob (čl. 33 GDPR). Významnost podle NIS 2 závisí na provozním narušení, finanční ztrátě nebo hmotné či nehmotné újmě třetím stranám (čl. 23 odst. 3 NIS 2; pro poskytovatele digitálních služeb čl. 3 až 14 CIR; v Česku § 15 zákona č. 264/2025 Sb. a v nižším režimu váš práh podle vyhlášky č. 410/2025 Sb., § 14). Jeden incident může překročit jeden práh, druhý, oba, nebo žádný.
Podat souběžně, pokud jsou oba prahy splněny
Pokud jsou splněny oba prahy, NÚKIB nebo Národní CERT obdrží hlášení podle § 16 zákona č. 264/2025 Sb. (čl. 23 NIS 2) a ÚOOÚ ohlášení podle čl. 33 GDPR. Dva příjemci, dva formáty, dvě časové osy. Jako první obvykle odchází 24hodinové prvotní hlášení.
Dvoje hodiny běží nezávisle
Čl. 23 odst. 4 NIS 2 a § 16 zákona č. 264/2025 Sb. spouštějí 24hodinovou lhůtu prvotního hlášení a 72hodinovou lhůtu oznámení zjištěním incidentu. Čl. 33 GDPR spouští 72hodinovou lhůtu okamžikem, kdy se správce o porušení zabezpečení osobních údajů dozví. Oba okamžiky se často shodují, lhůty a příjemci se ale liší. Kdo čeká na lhůtu GDPR, než podá prvotní hlášení, zmešká 24hodinové okno.
Sdílená fakta, různé prahy
Oba orgány chtějí, co se stalo, kdy, jaké systémy, jaká data a jaké zmírnění. Právní otázky jsou různé. GDPR se ptá, zda fyzickým osobám hrozí riziko pro jejich práva a svobody. NIS 2 se ptá, zda incident způsobuje provozní narušení, finanční ztrátu nebo hmotnou škodu. Tentýž skutkový odstavec lze znovu použít; posouzení významnosti ne.
NÚKIB a Národní CERT
Orgány pro kybernetickou bezpečnost podle zákona č. 264/2025 Sb. Přijímají hlášení podle § 16: prvotní hlášení do 24 hodin, oznámení do 72 hodin, závěrečnou zprávu do 30 dnů od oznámení. Ve vyšším režimu hlásíte NÚKIB, v nižším Národnímu CERT, v obou případech přes Portál NÚKIB.
ÚOOÚ: Úřad pro ochranu osobních údajů
Dozorový úřad podle GDPR v Česku. Přijímá ohlášení podle čl. 33 GDPR do 72 hodin. Navíc běží oznámení dotčeným subjektům údajů podle čl. 34 GDPR, je-li pravděpodobné, že porušení bude mít za následek vysoké riziko pro práva a svobody fyzických osob.
Spolupráce úřadů: čl. 35 NIS 2 a § 64 odst. 5 zákona
Zjistí-li příslušný orgán při dohledu, že porušení čl. 21 nebo 23 může obnášet porušení zabezpečení osobních údajů, uvědomí dozorový úřad (čl. 35 NIS 2). V Česku si NÚKIB a ÚOOÚ mohou navzájem vyžadovat informace a spolupráci, aby nedošlo k dvojímu trestání téhož porušení (§ 64 odst. 5 zákona č. 264/2025 Sb.). Žádné z hlášení to za vás nepodá: spolupráce leží na úřadech, obě hlášení na subjektu.
Ohlásili jsme to ÚOOÚ do 72 hodin, takže jsme hotovi.
Čl. 33 GDPR míří na ÚOOÚ, hlášení podle zákona č. 264/2025 Sb. (čl. 23 NIS 2) na NÚKIB nebo Národní CERT. Podání u jednoho úřadu druhé nesplní. Bod odůvodnění 14 NIS 2 potvrzuje, že směrnicí není dotčeno GDPR, oba režimy se tedy uplatňují nezávisle. Pokud jsou splněny oba prahy, podávají se zpravidla obě hlášení.
Můžeme vložit tentýž text oznámení do obou formulářů.
Skutkové odstavce o tom, co se stalo, kdy a jaké systémy jsou dotčeny, lze sdílet. Právní klasifikace je různá. GDPR vyžaduje popis pravděpodobných důsledků pro subjekty údajů a opatření k řešení rizika pro práva a svobody. NIS 2 vyžaduje závažnost, dopad a indikátory kompromitace. Formuláře kladou různé otázky.
Počkáme, až pověřenec pro ochranu osobních údajů dokončí ohlášení podle GDPR, a pak podáme hlášení NÚKIB.
Prvotní hlášení podle § 16 odst. 1 zákona č. 264/2025 Sb. (čl. 23 odst. 4 NIS 2) je splatné do 24 hodin po zjištění. 72hodinová lhůta GDPR je delší. Kdo řadí hlášení NÚKIB za ohlášení podle GDPR, zpravidla zmešká 24hodinové okno. Většina reakčních scénářů podává prvotní hlášení nejdřív a ohlášení podle GDPR připravuje souběžně.
Proveďte jedno roztřídění incidentu. Zachyťte fakta jednou: časová osa, dotčené systémy, dotčené kategorie údajů, počet subjektů údajů, zmírnění. Pak se rozdělte do dvou posuzovacích kolejí. Vedoucí bezpečnosti řídí hlášení NÚKIB nebo Národnímu CERT podle §§ 15 a 16 zákona č. 264/2025 Sb. Pověřenec pro ochranu osobních údajů řídí ohlášení ÚOOÚ podle čl. 33 GDPR. Oba reportují témuž veliteli incidentu.
Pokud porušení pravděpodobně bude mít za následek vysoké riziko pro práva a svobody fyzických osob, přidává čl. 34 GDPR k ohlášení dozorovému úřadu oznámení dotčeným subjektům údajů. Zákon č. 264/2025 Sb. má vlastní pravidla pro informování uživatelů služby: o incidentu s významným dopadem je informujete, považujete-li to za vhodné, a NÚKIB vám to může uložit nebo zakázat (§ 19 odst. 1); o významné hrozbě a krocích, které mohou uživatelé učinit, je informovat musíte (§ 19 odst. 2). Na úrovni EU tomu odpovídá čl. 23 odst. 1 a 2 NIS 2.
- Nařízení (EU) 2016/679 (obecné nařízení o ochraně osobních údajů), čl. 33 a 34: https://eur-lex.europa.eu/eli/reg/2016/679/oj/ces
- Směrnice (EU) 2022/2555 (NIS 2), čl. 23, čl. 35 a bod odůvodnění 14: https://eur-lex.europa.eu/eli/dir/2022/2555/oj/ces
- Prováděcí nařízení Komise (EU) 2024/2690, čl. 3 až 14 (významné incidenty u poskytovatelů digitálních služeb): https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj/ces
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 15 a § 16 (hlášení incidentů): https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_15, § 19 (informování uživatelů): https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_19, § 64 odst. 5 (spolupráce NÚKIB a ÚOOÚ): https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_64
- Pokyny EDPB 9/2022 k oznamování porušení zabezpečení osobních údajů podle GDPR
- NÚKIB: Návod k hlášení incidentů pro vyšší režim a pro nižší režim podle nového zákona: https://portal.nukib.gov.cz/informacni-servis/podpurne-materialy/6a75b571e1ca5aad870abd55, https://portal.nukib.gov.cz/informacni-servis/podpurne-materialy/6a1d9256fc2a7b93040173db
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Řešení incidentů
Vědět, jak nahlásit incident
Až tři hlášení s pevnými lhůtami, přes Portál NÚKIB.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
