NIS 2 pro řídicí orgán za pět minut
NIS 2 není téma IT. Článek 20 směrnice (EU) 2022/2555 klade povinnost v oblasti kybernetické bezpečnosti jmenovitě na řídicí orgán každého základního a důležitého subjektu. Tato stránka je krátkou verzí, kterou jednatel nebo člen představenstva potřebuje před pondělním ránem.
Proč to je na vašem stole
Pokud sedíte v řídicím orgánu společnosti, kterou NIS 2 pokrývá, článek 20 vás jmenuje. Ne vedoucího IT, ne CISO, ne externího poskytovatele služeb. Směrnice vede čáru od povinností v oblasti kybernetické bezpečnosti v článku 21 přímo k lidem, kteří za společnost podepisují.
Z toho plynou tři věci. Řídicí orgán musí schválit opatření řízení rizik, která společnost zavádí. Musí dohlížet na to, že jsou tato opatření skutečně zaváděna. A jeho členové sami musí projít školením, aby uměli číst to, co schvalují. Směrnice říká všechny tři.
Česko převádí toto pravidlo do vyhlášek k zákonu č. 264/2025 Sb.: vrcholné vedení prokazatelně absolvuje školení, zajišťuje zdroje a prokazatelně se seznamuje se stavem opatření (vyhláška č. 410/2025 Sb., § 4; č. 409/2025 Sb., § 4). Zvláštní doložku o osobní odpovědnosti zákon nemá; platí obecná odpovědnost člena statutárního orgánu. Zákon je účinný od 1. listopadu 2025.
Článek 20 odst. 1 směrnice NIS 2 (2022/2555)
Členské státy zajistí, aby řídící orgány základních a důležitých subjektů schválily opatření k řízení kybernetických bezpečnostních rizik přijatá těmito subjekty za účelem dosažení souladu s článkem 21, dohlížely nad jeho uplatňováním a mohly nést odpovědnost, poruší-li subjekty uvedený článek.
Článek 20 je článkem směrnice o správě a řízení. Odstavec 1 stanoví tři povinnosti řídicího orgánu: schválit, dohlížet, může být činěn odpovědným. Odstavec 2 přidává povinnost školení pro samotný řídicí orgán a vybízí subjekty, aby pravidelně nabízely podobné školení svým zaměstnancům.
CIR (EU) 2024/2690, příloha, body 1.1.1 a 2.1.1
Pro účely čl. 21 odst. 2 písm. a) směrnice (EU) 2022/2555 politika bezpečnosti sítí a informačních systémů: a) stanoví přístup příslušných subjektů k řízení bezpečnosti jejich sítí a informačních systémů; … Pro účely čl. 21 odst. 2 písm. a) směrnice (EU) 2022/2555 příslušné subjekty zřídí a spravují vhodný rámec řízení rizik, aby identifikovaly a řešily rizika pro bezpečnost sítí a informačních systémů.
Prováděcí nařízení Komise neprovádí samotný článek 20. Provádí opatření v článku 21, která řídicí orgán musí schválit podle článku 20 odst. 1. Bod 1 přílohy je zastřešující politika, bod 2 rámec řízení rizik. Pro provozovatele DNS, cloudů a datových center, poskytovatele řízených služeb a další druhy poskytovatelů jmenované v nařízení je to to, co řídicí orgán schvaluje. V Česku na nařízení odkazuje § 18 zákona č. 264/2025 Sb.
Vyhláška č. 410/2025 Sb., § 4 (Česko, režim nižších povinností)
Statutární orgán povinné osoby nebo jiná osoba anebo skupina osob v obdobném řídícím postavení povinné osoby (dále jen „vrcholné vedení“) s ohledem na zajišťování minimální kybernetické bezpečnosti … b) absolvuje prokazatelně školení podle § 5 odst. 2 písm. a), c) zajistí dostupnost zdrojů potřebných pro zajišťování kybernetické bezpečnosti v souladu s přehledem bezpečnostních opatření, d) se prokazatelně seznamuje se stavem plnění bezpečnostních opatření uvedeným v přehledu bezpečnostních opatření podle § 3 odst. 2 písm. a)
Česko převádí článek 20 odst. 1 do vyhlášek k zákonu č. 264/2025 Sb. Adresátem je vrcholné vedení, tedy statutární orgán (u s.r.o. jednatelé). Místo schválení vyhláška žádá, aby se vedení prokazatelně seznamovalo se stavem opatření; ve vyšším režimu se seznamuje se zprávou o přezkoumání ISMS, se zprávou o hodnocení rizik, s plánem zvládání rizik a s výsledky analýzy dopadů a auditů (vyhláška č. 409/2025 Sb., § 4 odst. 2). Zvláštní doložku o osobní odpovědnosti český zákon nemá; ve vyšším režimu může NÚKIB členovi statutárního orgánu dočasně zakázat výkon funkce (§ 58 zákona). Ostatní členské státy mají vlastní transpoziční zákony (Cyberbeveiligingswet v NL, NISG v AT, NIS2-Wet v BE, zákon o BSI v DE).
Potvrďte, zda se směrnice uplatní
NIS 2 se uplatní, pokud subjekt působí v jednom z odvětví jmenovaných v příloze I nebo příloze II a splňuje prahovou hodnotu velikosti (střední podnik, jak je definován v doporučení 2003/361/ES, tedy 50 zaměstnanců, nebo více než 10 milionů EUR obratu i bilanční sumy). Hrstka typů subjektů je pokryta bez ohledu na velikost: kvalifikovaní poskytovatelé služeb vytvářejících důvěru, registry domén nejvyšší úrovně, provozovatelé DNS, veřejná správa, výhradní poskytovatelé v členském státě. První úlohou řídicího orgánu je vědět, který z těchto případů se uplatní. V Česku vymezuje služby a režimy vyhláška č. 408/2025 Sb.
Schválit, dohlížet, školit
Článek 20 odst. 1 dává řídicímu orgánu dvě provozní povinnosti: schválit opatření řízení rizik v oblasti kybernetické bezpečnosti, která subjekt zavádí podle článku 21, a dohlížet na jejich zavádění. Článek 20 odst. 2 přidává třetí: projít sami školením. Subjekty zároveň vybízí, aby podobné školení pravidelně nabízely zaměstnancům; v Česku je školení zaměstnanců povinné podle vyhlášek (vyhláška č. 410/2025 Sb., § 5 odst. 2; č. 409/2025 Sb., § 10 odst. 3). Všechny tři povinnosti jsou jmenovány na řídicím orgánu. Žádná z nich nesedí u vedoucího IT.
Český zákon platí od 1. listopadu 2025
Článek 41 NIS 2 stanovil členským státům lhůtu k provedení směrnice do 17. října 2024. Česko ji provedlo zákonem č. 264/2025 Sb., účinným od 1. listopadu 2025. Službu ohlašujete NÚKIB do 60 dnů ode dne, kdy splňuje podmínky (§ 6 odst. 1); povinnost zavádět opatření a hlásit incidenty vám začíná nejpozději 1 rok od doručení rozhodnutí o registraci (§ 13 odst. 4, § 15 odst. 4). První lhůty tedy už běží.
Odpovědnost leží na fyzické osobě
Článek 20 odst. 1 říká, že řídicí orgány „mohly nést odpovědnost“ za porušení článku 21 subjektem. Český zákon zvláštní ustanovení o odpovědnosti vedení nemá; platí obecná pravidla. Člen statutárního orgánu vykonává funkci s péčí řádného hospodáře (§ 159 odst. 1 občanského zákoníku), ve sporu nese důkazní břemeno, že tak jednal (§ 52 odst. 2 zákona o obchodních korporacích), a k ujednáním společnosti, která jeho odpovědnost omezují, se nepřihlíží (§ 53 odst. 2). Výkon opatření kybernetické bezpečnosti můžete delegovat, vyhláška s tím počítá (osoba pověřená kybernetickou bezpečností). Školení a seznamování se stavem opatření delegovat nemůžete. Směrnice vede čáru u lidí, kteří podepisují.
Přiměřenost umožňuje subjektu škálovat podle svého rizika
Článek 21 odst. 1 říká, že opatření musí být „vhodná a přiměřená“. Do posouzení přiměřenosti vstupuje šest faktorů: míra vystavení subjektu rizikům, jeho velikost, pravděpodobnost incidentu, jeho závažnost (včetně společenského a ekonomického dopadu), nejnovější technický vývoj a náklady na provádění. Český zákon to vyjadřuje slovy „v míře nezbytné“ (§ 13 odst. 2 zákona č. 264/2025 Sb.) a o nákladech mlčí. Podle směrnice opatření, a s nimi i rozhodnutí o přiměřenosti, schvaluje řídicí orgán (čl. 20 odst. 1); české vyhlášky žádají, aby se vrcholné vedení se stavem opatření prokazatelně seznamovalo. Od městské vodárenské společnosti s 60 zaměstnanci se neočekává, že bude utrácet jako banka.
NÚKIB jako příslušný úřad
Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) je ústředním správním úřadem pro kybernetickou bezpečnost se sídlem v Brně (§ 42 zákona č. 264/2025 Sb.). Rozhoduje o registraci regulovaných služeb, provozuje Portál NÚKIB, přijímá hlášení incidentů od poskytovatelů ve vyšším režimu (v nižším režimu je přijímá Národní CERT), kontroluje plnění povinností a projednává přestupky (§ 15, § 42 odst. 3, § 55 a § 62 odst. 1). Pro vedení je NÚKIB adresou pro ohlášení, hlášení incidentů, dotazy a kontroly.
ENISA jako reference
Agentura Evropské unie pro kybernetickou bezpečnost (ENISA) je celounijní agenturou pro kybernetickou bezpečnost. Článek 18 NIS 2 jí dává roli v podávání zpráv o stavu kybernetické bezpečnosti. Rovněž vydává technické prováděcí pokyny (TIG) k prováděcímu nařízení Komise, včetně mapovacích tabulek na ISO/IEC 27001:2022 a NIST CSF 2.0. ENISA nedohlíží, ale auditoři a vnitrostátní regulátoři zacházejí s jejími pokyny jako s rozumným výkladem.
Dozorčí rada jako souběžný dohled
Má-li společnost dozorčí radu (typicky akciová společnost; s.r.o. jen tehdy, určí-li to společenská smlouva), dohlíží rada na výkon působnosti představenstva a na činnost společnosti (§ 446 odst. 1 zákona o obchodních korporacích; u s.r.o. § 201). Povinnosti vrcholného vedení podle vyhlášek z vedení nesejme, ale může si vyžádat stejné doklady o schválení, seznámení a dohledu.
Tohle jsem delegoval na IT.
Výkon delegovat můžete. Schválení nebo dohled delegovat nemůžete. Článek 20 odst. 1 jmenuje řídicí orgán jako orgán, který opatření schvaluje a dohlíží na jejich zavádění. České vyhlášky jmenují jako adresáta vrcholné vedení, tedy statutární orgán, a s delegováním výkonu počítají: vedení určí osobu pověřenou kybernetickou bezpečností (vyhláška č. 410/2025 Sb., § 4 písm. a)). Vedoucí IT, CISO, externí poskytovatel služeb mohou program řídit. Nemohou jej za vás podepsat. Směrnice vede čáru u lidí, kteří subjekt právně zastupují.
Počkejme, dokud nebude vnitrostátní zákon konečný.
Český zákon je konečný a účinný od 1. listopadu 2025, vyhlášky č. 408/2025, 409/2025 a 410/2025 Sb. také. Službu máte ohlásit do 60 dnů od splnění podmínek a se zaváděním opatření začít nejpozději do 1 roku od doručení rozhodnutí o registraci (§ 6 odst. 1, § 13 odst. 4 zákona č. 264/2025 Sb.). Prováděcí nařízení Komise 2024/2690 je pro své poskytovatele přímo použitelné bez transpozice. Na co čekat, už není; svůj postup podle přiměřenosti zdokumentujte.
Kybernetická bezpečnost je problém IT.
Článek 20 z ní záměrně činí problém správy a řízení. Směrnice klade povinnost na řídicí orgán, nikoli na funkci IT, protože náklady, rozhodnutí o přijetí rizika a kompromisy dávají smysl jen na této úrovni. Tým IT opatření zavádí. Řídicí orgán vlastní obraz rizik, podepisuje za zbytkové riziko a je orgánem, se kterým o tom komunikuje auditor i NÚKIB.
Co vidíme u středně velkých firem v Německu: řídicí orgán pořádá pracovní setkání každé čtvrtletí, prochází registr rizik, schvaluje opatření podle článku 21, která jsou v daném období na řadě, a rozhodnutí o přiměřenosti zaznamená ve dvou nebo třech řádcích. To je provozní podoba článku 20 odst. 1 pro subjekt bez vyhrazeného týmu GRC. V Česku se k tomu nabízí přehled bezpečnostních opatření: vedení se se stavem jeho plnění prokazatelně seznamuje a přehled se aktualizuje alespoň jednou ročně (vyhláška č. 410/2025 Sb., § 3 odst. 2, § 4 písm. d)).
Povinnost školení vyžaduje méně, než lidé myslí. Vyhlášky neurčují, kdo školení vede, ani jak dlouho trvá. Žádají, aby vrcholné vedení školení prokazatelně absolvovalo, vstupně i pravidelně, a aby se vedl přehled o školeních a seznam školených osob (vyhláška č. 410/2025 Sb., § 4 písm. b), § 5 odst. 2 písm. a) a odst. 3; č. 409/2025 Sb., § 10 odst. 3 písm. a) a odst. 5). NÚKIB nabízí vlastní kurz pro vrcholné vedení a jeho certifikát uznává jako doklad o splnění této povinnosti. Jde o to, aby lidé, kteří podepisují, uměli číst to, co podepisují.
- Směrnice (EU) 2022/2555 (NIS 2), články 20, 21 a 41. eur-lex.europa.eu/eli/dir/2022/2555/oj
- Prováděcí nařízení Komise (EU) 2024/2690 (CIR), příloha, body 1 a 2. eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 6, 13, 18, 42, 55, 58 a 62: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01; vyhlášky č. 409/2025 Sb. a č. 410/2025 Sb., § 4
- Občanský zákoník (č. 89/2012 Sb.), § 159: https://e-sbirka.gov.cz/sb/2012/89; zákon o obchodních korporacích (č. 90/2012 Sb.), § 51 až 53, 201 a 446: https://e-sbirka.gov.cz/sb/2012/90
- Technické prováděcí pokyny ENISA k CIR (EU) 2024/2690. enisa.europa.eu
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Řízení a odpovědnost
Zajistit školení vedení
Každý člen vrcholného vedení, vstupně a pak pravidelně.
Posouzení účinnosti
Zapište přezkoumání vedením
Vedení kontroluje, zda opatření fungují, a schvaluje vaše dokumenty.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
