Co je NIS2 a proč se mění česká legislativa
Směrnice NIS2 je evropský předpis, jehož cílem je sjednotit a zvýšit úroveň kybernetické bezpečnosti napříč členskými státy. Navazuje na původní směrnici NIS z roku 2016, kterou podstatně rozšiřuje – zavádí přísnější požadavky na řízení rizik, bezpečnost dodavatelského řetězce, hlášení incidentů a odpovědnost statutárních orgánů. Směrnice platí na unijní úrovni už od počátku roku 2023, avšak konkrétní povinnosti se subjektů v jednotlivých zemích dotýkají až po jejich transpozici do vnitrostátního práva.
V Česku se o transpozici stará Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB). Namísto novelizace stávajícího zákona zvolil zcela nový předpis, který prošel legislativním procesem v první polovině roku 2025, byl schválen prezidentem republiky a nabyl účinnosti na podzim téhož roku. Nahrazuje tak dosavadní zákon o kybernetické bezpečnosti z roku 2014.
Koho se zákon týká
Nový zákon dramaticky rozšiřuje okruh regulovaných subjektů. Zatímco původní úprava dopadala na několik stovek organizací provozujících kritickou infrastrukturu, nová regulace pokrývá desítky odvětví a stovky konkrétně vyjmenovaných služeb – odhady hovoří o řádově tisících firem, které nově spadají pod některý z regulačních režimů.
Mezi regulovaná odvětví patří mimo jiné:
- energetika, doprava a vodárenství,
- bankovnictví a finanční trhy,
- zdravotnictví a farmaceutický průmysl,
- digitální infrastruktura a poskytovatelé digitálních služeb (cloud, datová centra, DNS),
- veřejná správa,
- odpadové hospodářství,
- poštovní a kurýrní služby,
- výroba a distribuce v řadě průmyslových oborů, potravinářství a další.
Zákon rozlišuje dva základní režimy povinností podle významu subjektu a poskytované služby – vyšší a nižší povinnosti – přičemž rozsah konkrétních požadavků (i výše případných sankcí) se podle zařazení liší. Součástí testu, zda se regulace na konkrétní firmu vztahuje, je nejen odvětví a typ služby, ale i velikost organizace (počet zaměstnanců, obrat). Povinnosti navíc mohou dopadnout nepřímo i na dodavatele a dceřiné společnosti regulovaných subjektů prostřednictvím požadavků na bezpečnost dodavatelského řetězce.
Proč hranice regulace nebývá na první pohled zřejmá
V praxi se ukazuje, že rozhodnout, zda konkrétní firma pod zákon spadá, není vždy jednoduché. Firma se může ocitnout v regulovaném režimu, i pokud sama žádnou z klíčových služeb přímo neposkytuje – stačí, že je významným dodavatelem či subdodavatelem subjektu, který regulaci podléhá. Podobně mohou hrát roli i menší detaily v definici poskytované služby nebo hraniční hodnoty velikostních kritérií.
Doporučujeme proto každé firmě, která si není jistá svým zařazením, provést konkrétní právní analýzu – ideálně dříve, než se stane terčem kontroly nebo než jí unikne registrační lhůta.
Co bude následovat
V navazujícím článku se budeme podrobně věnovat tomu, jaké konkrétní povinnosti nový zákon regulovaným subjektům ukládá – od registrace u NÚKIB přes zavedení bezpečnostních opatření až po hlášení incidentů – a jaké sankce hrozí za jejich nesplnění.
Tento článek má informativní charakter a nenahrazuje individuální právní poradenství. Pokud si nejste jisti, zda se nový zákon o kybernetické bezpečnosti týká i vaší organizace, rádi vám pomůžeme se v této otázce zorientovat.
