Bankovnictví podle NIS 2
Bod 17 vyhlášky č. 408/2025 Sb., přednost DORA podle § 70 zákona a ohlášení služby, které nezmizí.
Přehled
Úvěrové instituce a infrastruktury finančních trhů jsou v příloze I směrnice (EU) 2022/2555 (NIS 2), odvětví 3 a 4. V Česku je zákon č. 264/2025 Sb. zahrnuje jako regulované služby odvětví finanční trh (vyhláška č. 408/2025 Sb., bod 17). Na papíře se na ně zákon vztahuje. V praxi se většina provozních povinností řídí aktem o digitální provozní odolnosti, nařízením (EU) 2022/2554 (DORA).
Most je ve dvou předpisech. Čl. 4 NIS 2 dává přednost odvětvovým aktům Unie, které ukládají alespoň rovnocenné povinnosti. Český zákon to přebírá v § 70: ustanovení o bezpečnostních opatřeních a hlášení incidentů, včetně ustanovení o dozoru nad nimi, se neuplatní, pokud předpis EU stanoví povinnosti, které mají „alespoň srovnatelný účinek“. DORA je takovým předpisem pro banky a další finanční subjekty. Bezpečnostní opatření (§§ 13 a 14 zákona) a hlášení incidentů (§§ 15 a 16) proto nahrazují pravidla DORA.
Jednu povinnost § 70 nevypíná: ohlášení služby. § 70 se týká jen bezpečnostních opatření a hlášení incidentů; povinnost ohlásit regulovanou službu NÚKIB (§ 6 odst. 1) a hlásit kontaktní a doplňující údaje (§ 11) zůstává. Odpovídá to čl. 3 odst. 4 NIS 2, podle kterého členské státy shromažďují údaje o základních a důležitých subjektech, včetně bank.
Vyhláška č. 408/2025 Sb., příloha, bod 17.1
Úvěrová instituce podle přímo použitelného předpisu Evropské unie je I. poskytovatelem regulované služby v režimu vyšších povinností v případě, že je velkým podnikem, nebo II. poskytovatelem regulované služby v režimu nižších povinností v případě, že je středním podnikem.
Přímo použitelným předpisem je nařízení (EU) č. 575/2013 (CRR), čl. 4 odst. 1 bod 1. Bod 17 vyhlášky dále uvádí provozovatele obchodního systému a ústřední protistranu (velký podnik v režimu vyšších, střední v režimu nižších povinností) a platební instituce a instituce elektronických peněz, ty jen nad velmi vysokými objemy: průměr ročních objemů platebních transakcí nad 1 bilion Kč (bod 17.4), respektive vydaných elektronických peněz nad 500 miliard Kč (bod 17.5). Ve směrnici odpovídají odvětvím 3 (bankovnictví) a 4 (infrastruktura finančních trhů) přílohy I.
Zákon č. 264/2025 Sb., § 70 odst. 1
Pokud přímo použitelný předpis Evropské unie nebo jiný právní předpis, který zapracovává příslušný předpis Evropské unie, stanoví povinnosti v oblasti zavádění a provádění bezpečnostních opatření nebo hlášení kybernetických bezpečnostních incidentů a tyto povinnosti mají alespoň srovnatelný účinek jako povinnosti podle tohoto zákona, ustanovení tohoto zákona upravující povinnosti zavádět a provádět bezpečnostní opatření a hlásit kybernetické bezpečnostní incidenty se neuplatní, a to včetně ustanovení o dozoru nad dodržováním uvedených povinností.
Toto je přepínač lex specialis, český protějšek čl. 4 odst. 1 NIS 2. Podle § 70 odst. 3 má srovnatelný účinek i ustanovení přímo použitelného předpisu EU, o kterém to tento předpis sám stanoví; DORA to pro finanční subjekty stanoví v čl. 1 odst. 2. §§ 13 až 16 zákona proto pro tyto subjekty ustupují. Zbytek zákona platí dál.
Zákon č. 264/2025 Sb., § 6 odst. 1
Poskytovatel služby splňující podmínky pro registraci regulované služby podle § 4 odst. 1 je pro účely vydání rozhodnutí o registraci regulované služby povinen ohlásit tuto službu Úřadu nejpozději do 60 dnů ode dne, kdy ke splnění podmínek došlo.
Ohlášení je registrační ustanovení, český protějšek čl. 3 odst. 4 NIS 2. § 70 ho nevypíná, protože se týká jen bezpečnostních opatření a hlášení incidentů. Banky proto službu ohlašují NÚKIB na Portálu NÚKIB, i když jejich bezpečnostní a oznamovací povinnosti řídí DORA.
Jste v bodě 17 vyhlášky
Je-li váš subjekt úvěrovou institucí podle čl. 4 odst. 1 bodu 1 nařízení (EU) č. 575/2013, poskytujete regulovanou službu podle bodu 17.1 vyhlášky č. 408/2025 Sb. O režimu rozhoduje velikost: velký podnik je v režimu vyšších povinností, střední v režimu nižších. Malá úvěrová instituce pod bod 17.1 nespadá, ledaže by NÚKIB službu zaregistroval z moci úřední podle § 5 zákona.
DORA řídí kontroly a hlášení
Bezpečnostní opatření (§§ 13 a 14 zákona) a hlášení incidentů (§§ 15 a 16) jsou pro finanční subjekty v působnosti DORA podle § 70 nahrazena. Řízení rizik IKT, riziko IKT třetích stran, hlášení závažných incidentů souvisejících s IKT a testování odolnosti se řídí nařízením (EU) 2022/2554 a jeho akty v přenesené pravomoci.
Ohlášení služby podle § 6 zůstává
Ohlášení regulované služby NÚKIB (§ 6 odst. 1 zákona) a hlášení kontaktních a doplňujících údajů do 30 dnů od doručení rozhodnutí o registraci, s jejich změnami do 14 dnů (§ 11), DORA nenahrazuje. Podává se na Portálu NÚKIB.
Lex specialis je úzký, ne úplný
§ 70 zákona vypíná jen ty části zákona, které mají srovnatelný ekvivalent v odvětvovém předpisu. U DORA je to vrstva bezpečnostních opatření a hlášení incidentů, včetně dozoru nad nimi. Ustanovení mimo tuto obálku, včetně ohlášení služby a hlášení údajů, zůstávají připojena k zákonu č. 264/2025 Sb.
Ohlášení je povinnost ze zákona o kybernetické bezpečnosti, ne z DORA
DORA nevytváří přehled poskytovatelů regulovaných služeb. Čl. 3 odst. 4 NIS 2 a v Česku §§ 6 a 11 zákona ano. Proto banky službu ohlašují NÚKIB, i když se jejich kontroly IKT posuzují podle DORA. Oba režimy jsou sešity na vrstvě směrnice.
ČNB
Česká národní banka dohlíží na banky a další subjekty finančního trhu v Česku. Pro banky je příslušným orgánem podle DORA: dohlíží na řízení rizik IKT a přijímá hlášení závažných incidentů souvisejících s IKT podle nařízení (EU) 2022/2554.
NÚKIB
Národní úřad pro kybernetickou a informační bezpečnost přijímá ohlášení regulované služby a rozhoduje o registraci (§ 6 zákona), což odpovídá čl. 3 odst. 4 NIS 2. Banky službu ohlašují na Portálu NÚKIB. Každodenní dohled nad kybernetickou bezpečností banky na NÚKIB nepřechází: § 70 vylučuje i ustanovení o dozoru nad bezpečnostními opatřeními a hlášením incidentů.
ECB a SSM
Významné úvěrové instituce v zemích jednotného mechanismu dohledu (SSM) dohlíží přímo Evropská centrální banka. Česko do jednotného mechanismu dohledu nepatří, banky s českou licencí proto dohlíží ČNB. Ohlášení služby podle § 6 zákona č. 264/2025 Sb. podává banka usazená v Česku u NÚKIB.
DORA nahrazuje pro banky zákon o kybernetické bezpečnosti, takže se na nás nevztahuje.
§ 70 zákona, stejně jako čl. 4 NIS 2, vypíná jen ty části, které DORA pokrývá se srovnatelným účinkem. Ohlášení služby NÚKIB podle § 6 mezi ně nepatří. Banka zůstává poskytovatelem regulované služby podle bodu 17.1 vyhlášky č. 408/2025 Sb.
Jsme malá banka, jsme pod velikostním prahem a mimo rozsah.
U bodu 17.1 rozhoduje velikost: malá úvěrová instituce, která není středním ani velkým podnikem, pod něj nespadá. Mimo působnost však není automaticky: NÚKIB může službu zaregistrovat z moci úřední podle § 5 zákona, například je-li jediným poskytovatelem služby v Česku nebo by její narušení mohlo vážně zasáhnout život více než 125 000 osob. DORA se na ni jako na úvěrovou instituci vztahuje bez ohledu na velikost.
Jakmile je DORA zavedena, máme zákon o kybernetické bezpečnosti hotový.
DORA vám dává ekvivalenty §§ 13 až 16 zákona. Nedává vám ohlášení služby, hlášení změn služby a hlášení údajů podle §§ 6, 9 a 11 zákona. Ty zůstávají připojeny k zákonu č. 264/2025 Sb.
Středně velká banka v Česku má obvykle dvě koleje shody. Jednu podle DORA pod dohledem ČNB. Tato kolej vlastní riziko IKT, registr smluvních ujednání s poskytovateli služeb IKT, hlášení závažných incidentů a testování odolnosti. Druhou vůči NÚKIB tvoří ohlášení služby a hlášení údajů podle zákona č. 264/2025 Sb., se změnami údajů do 14 dnů (§ 11 odst. 2).
Menší banky sedí ve stejné logice, jsou-li středním podnikem. Kolej DORA je pro ně jako finanční subjekty podle nařízení (EU) 2022/2554 povinná. Ohlášení služby podle § 6 zákona sedí vedle ní. Považovat kteroukoli kolej za nepovinnou vytváří riziko u obou dohledových orgánů.
- Směrnice (EU) 2022/2555 (NIS 2), příloha I odvětví 3 a 4, čl. 3 odst. 4 a čl. 4 odst. 1, EUR-Lex.
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, § 70: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_70
- Nařízení (EU) 2022/2554 (DORA), čl. 1 odst. 2, články 5 až 16 řízení rizik IKT a články 17 až 23 řízení, klasifikace a hlášení incidentů, EUR-Lex.
- Nařízení (EU) č. 575/2013 (CRR), čl. 4 odst. 1 bod 1, definice úvěrové instituce, EUR-Lex.
- Zákon č. 264/2025 Sb., § 6 (ohlášení regulované služby): https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_6
- Vyhláška č. 408/2025 Sb., o regulovaných službách, příloha, bod 17: https://e-sbirka.gov.cz/sb/2025/408/2025-11-01
- Česká národní banka, dohled nad finančním trhem: https://www.cnb.cz
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
