Dodavatel je napaden. Co NIS 2 vyžaduje od subjektu?
Čl. 21 odst. 2 písm. d) NIS 2 klade zabezpečení dodavatelského řetězce na subjekt. Čl. 23 upravuje hlášení incidentů, v Česku §§ 15 a 16 zákona č. 264/2025 Sb. Oboje platí, když zasažený dodavatel ohrozí vlastní služby subjektu.
Co tato stránka pokrývá
Čl. 21 odst. 2 písm. d) NIS 2 vyžaduje, aby subjekty přijaly vhodná a přiměřená opatření k řízení rizik dodavatelského řetězce pro své vlastní sítě a informační systémy. Povinnost leží na subjektu, ne na dodavateli. Směrnice neupravuje dodavatele, kteří sami do její působnosti nespadají; upravuje, jak je subjekt v působnosti řídí. V Česku to provádí § 13 odst. 5 zákona č. 264/2025 Sb. a vyhlášky č. 410/2025 Sb. (§ 3 odst. 5) a č. 409/2025 Sb. (§ 9).
Když je napaden přímý dodavatel, vyvstávají dvě samostatné otázky. Za prvé, zda byla zasažena vlastní služba subjektu, což může spustit hlášení incidentu podle čl. 23 NIS 2 (v Česku § 15 zákona) za subjekt. Za druhé, zda funguje smluvní oznamovací řetězec podle čl. 21 odst. 2 písm. d), tedy zda se subjekt o napadení dozví v dohodnutém čase a dohodnutým kanálem.
Napadení zasaženého dodavatele samo o sobě není incidentem, který subjekt hlásí. Stává se jím, když se projeví u subjektu: podle NIS 2 jako významný incident (čl. 23 odst. 3), v Česku jako incident ve stanoveném rozsahu, který splní podmínky § 15 zákona č. 264/2025 Sb.
Čl. 21 odst. 2 písm. d) NIS 2
bezpečnost dodavatelského řetězce včetně bezpečnostních aspektů týkajících se vztahů mezi každým subjektem a jeho přímými dodavateli nebo poskytovateli služeb.
Článek se zabývá vztahem k přímým dodavatelům, ne dodavatelem samotným. Subjekt zůstává odpovědný za řízení tohoto vztahu, včetně incidentů, které se z něj šíří.
Bod odůvodnění 85 NIS 2
Základní a důležité subjekty by proto měly posoudit a zohlednit celkovou kvalitu a odolnost produktů a služeb, opatření v oblasti kybernetické bezpečnosti, která zahrnují, a postupů kybernetické bezpečnosti svých dodavatelů a poskytovatelů služeb, včetně jejich postupů k zajištění bezpečného vývoje.
Bod odůvodnění 85 vysvětluje logiku čl. 21 odst. 2 písm. d) a odst. 3: zabezpečení dodavatelského řetězce je průběžné posuzování stavu dodavatele, ne jednorázová vstupní kontrola. Česká vyhláška č. 410/2025 Sb. převzala jeho obsah do § 3 odst. 5, ovšem jen pro uzavírání smlouvy: zohlednit hrozby a zranitelnosti spojené s dodavatelem a celkovou kvalitu jeho produktů a postupů, včetně postupů bezpečného vývoje. Průběžné hodnocení rizik a pravidelnou kontrolu u významných dodavatelů žádá vyhláška č. 409/2025 Sb. ve vyšším režimu (§ 9 odst. 1 písm. g), odst. 2 písm. c)).
§ 13 odst. 5 zákona č. 264/2025 Sb. (Česko)
V případě, že poskytovatel regulované služby zavádí nebo provádí bezpečnostní opatření prostřednictvím dodavatele, je povinen vybírat svého dodavatele v souladu s požadavky vyplývajícími z bezpečnostního opatření a zahrnovat požadavky vyplývající z bezpečnostního opatření do smluv s dodavatelem.
Smlouva s dodavatelem, přes kterého zavádíte bezpečnostní opatření, musí obsahovat požadavky z těchto opatření. Vyhlášky jmenují ustanovení o kybernetických bezpečnostních incidentech souvisejících s plněním smlouvy (vyhláška č. 410/2025 Sb., příloha č. 2 písm. k)), ve vyšším režimu výslovně povinnost dodavatele o nich informovat (vyhláška č. 409/2025 Sb., příloha č. 5 písm. i) bod 1). Práh pro vlastní hlášení přebírá z čl. 23 odst. 3 NIS 2 § 15 odst. 3 zákona: významný dopad má incident, který způsobil nebo může způsobit závažné provozní narušení služeb nebo finanční ztráty nebo jiným osobám značnou újmu.
Dozvědět se o napadení včas
Čl. 21 odst. 2 písm. d) NIS 2 se v praxi promítá do smluvní doložky; v Česku smlouvu s dodavatelem vyžaduje § 13 odst. 5 zákona č. 264/2025 Sb. a ustanovení o incidentech vyhlášky (příloha č. 2 písm. k) vyhlášky č. 410/2025 Sb., příloha č. 5 písm. i) bod 1 vyhlášky č. 409/2025 Sb.). Zasažený dodavatel musí subjekt vyrozumět v určeném čase a určeným kanálem. Bez této doložky se subjekt dozví z tiskových zpráv, a to je pro 24hodinovou lhůtu hlášení příliš pozdě.
Posoudit vlastní expozici subjektu
Otázkou není, zda má dodavatel potíže. Otázkou je, zda jsou zasaženy vlastní sítě a informační systémy subjektu, nebo služby, které poskytuje. To je faktické cvičení: která data, které rozhraní, která závislost, který záložní mechanismus.
Rozhodnout o vlastním hlášení subjektu
Pokud se napadení projeví u vaší regulované služby a splní podmínky § 15 zákona č. 264/2025 Sb. (ve vyšším režimu incident s původem v kybernetickém prostoru, u něhož nelze vyloučit úmysl; v nižším navíc významný dopad podle vašeho prahu), podáte přes Portál NÚKIB prvotní hlášení do 24 hodin po zjištění; oznámení do 72 hodin a závěrečná zpráva do 30 dnů od oznámení následují, ve vyšším režimu jen když NÚKIB sdělí, že incident má významný dopad na kybernetický prostor státu (§ 16 odst. 2 a 3). Hlášení podává subjekt za sebe, i když prvotní příčina leží u dodavatele.
Povinnost je na subjektu
Článek 21 vyjmenovává opatření, která musí subjekt přijmout. Neupravuje dodavatele. Pokud je zasažený dodavatel sám v působnosti NIS 2, má vlastní povinnosti. Tyto povinnosti nenahrazují povinnosti subjektu; běží souběžně.
Smlouva před krizí
Bod odůvodnění 85 očekává, že se dodavatelský vztah posoudí dříve, než dojde k incidentu, a vybízí začlenit opatření k řízení rizik do smluv s přímými dodavateli. Oznamovací řetězec, povinnost součinnosti, právo obdržet důkazy: to vše patří do smlouvy. Po napadení je špatná chvíle to vyjednávat.
§ 13 odst. 5, §§ 15 a 16 zákona č. 264/2025 Sb.
§ 13 odst. 5 zákona převádí požadavky na dodavatele do smluv. V nižším režimu to rozvádí vyhláška č. 410/2025 Sb., § 3 odst. 5 a příloha č. 2, ve vyšším režimu vyhláška č. 409/2025 Sb., § 9 a příloha č. 5 (významní dodavatelé). §§ 15 a 16 nesou lhůty 24 hodin, 72 hodin a 30 dnů od oznámení. Hlásíte přes Portál NÚKIB, ve vyšším režimu NÚKIB, v nižším Národnímu CERT, bez ohledu na to, kde k původnímu napadení došlo.
ENISA Threat Landscape for Supply Chain
ENISA každoročně zveřejňuje materiály o vzorcích útoků na dodavatelský řetězec a o oznamovací praxi. Je to referenční materiál pro metodiku rizik subjektu podle čl. 21 odst. 2 písm. d), ne samostatná povinnost.
Upřesnění pro jednotlivá odvětví
Pro poskytovatele digitálních služeb upřesňuje požadavky na dodavatelský řetězec prováděcí nařízení Komise (EU) 2024/2690 (příloha, bod 5). Ostatní odvětví vycházejí přímo z čl. 21 odst. 2 písm. d); v Česku z vyhlášek č. 409/2025 Sb. a č. 410/2025 Sb. a z podpůrných materiálů NÚKIB.
„Je to problém dodavatele.“
Čl. 21 odst. 2 písm. d) NIS 2 klade povinnost dodavatelského řetězce na subjekt. Dodavatel může, ale nemusí mít vlastní povinnosti podle NIS 2, podle toho, zda do její působnosti spadá. Povinnost subjektu existuje tak jako tak.
„Dodavatel hlásí, takže subjekt nemusí.“
Dodavatel, který je sám poskytovatelem regulované služby, hlásí svůj vlastní incident. Toto hlášení za vás povinnost podle čl. 23 NIS 2 ani podle § 15 zákona č. 264/2025 Sb. nesplní. Pokud se incident projeví u vaší služby a splní podmínky § 15, hlásíte samostatně za sebe.
„IT sleduje dodavatele, vedení není třeba zapojovat.“
Čl. 20 NIS 2 vyžaduje, aby řídící orgán opatření k řízení kybernetických bezpečnostních rizik schválil a dohlížel na jejich uplatňování. Český právní řád to provádí přes vrcholné vedení: v nižším režimu se vedení prokazatelně seznamuje se stavem plnění bezpečnostních opatření v přehledu (vyhláška č. 410/2025 Sb., § 4 písm. d)), ve vyšším režimu mimo jiné se zprávou o hodnocení rizik a s plánem zvládání rizik (vyhláška č. 409/2025 Sb., § 4 odst. 2). Řízení dodavatelů je součástí těchto opatření. Tichý proces v IT, o kterém vedení neví, tomu nevyhoví.
Tou těžkou částí je málokdy hlášení. Tou těžkou částí je posouzení závislosti pod časovým tlakem. Pokud subjekt už neví, který dodavatel se dotýká které služby, kterých dat a přes které rozhraní, první hodiny po napadení dodavatele se stráví rekonstrukcí této mapy místo jednáním podle ní.
Inventář aktiv a dodavatelů, který u každého dodavatele uvádí zasaženou službu, kategorii dat a smluvní oznamovací kanál, promění napadení dodavatele z mimořádné události v rutinu. Směrnice nepředepisuje formát tohoto inventáře. Vyžaduje však, aby existoval ve formě, kterou subjekt může skutečně použít.
- Směrnice (EU) 2022/2555 (NIS 2), čl. 20, čl. 21 odst. 2 písm. d) a odst. 3, čl. 23, bod odůvodnění 85: https://eur-lex.europa.eu/eli/dir/2022/2555/oj/ces
- Prováděcí nařízení Komise (EU) 2024/2690, příloha, bod 5 (bezpečnost dodavatelského řetězce u poskytovatelů digitálních služeb): https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj/ces
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 13 odst. 5 (dodavatelé): https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_13, § 15 (hlášení incidentů): https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_15; vyhláška č. 410/2025 Sb., § 3 odst. 5 a příloha č. 2: https://e-sbirka.gov.cz/sb/2025/410/2025-11-01#par_3; vyhláška č. 409/2025 Sb., § 9 a příloha č. 5: https://e-sbirka.gov.cz/sb/2025/409/2025-11-01#par_9
- ENISA Threat Landscape for Supply Chain Attacks, roční vydání.
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Bezpečnost dodavatelského řetězce
Sepište, kdo pro vás pracuje
Seznam vašich dodavatelů a poskytovatelů služeb.
Bezpečnost dodavatelského řetězce
Zaznamenejte, co máte s dodavateli sjednáno
U každého dodavatele: co říká smlouva o bezpečnosti?
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
