Vztahuje se NIS2 na vaši organizaci? Zjistěte, co potřebujete vědět

NIS2 se netýká jen státní správy nebo velkých technologických společností.

Tisíce organizací po celé Evropě – od nemocnic a energetických společností až po logistiku a výrobní podniky – musí splňovat požadavky aktualizované evropské směrnice o kybernetické bezpečnosti.

V České republice jsou požadavky NIS2 promítnuty zejména do zákona č. 264/2025 Sb., o kybernetické bezpečnosti, a souvisejících prováděcích předpisů.

Klíčová otázka zní: Vztahuje se NIS2 i na vaši organizaci?

Přinášíme jednoduchý přehled toho, koho se NIS2 týká a co to pro vaši organizaci znamená.

Koho se NIS2 a český zákon o kybernetické bezpečnosti týkají

Česká právní úprava pracuje s pojmem poskytovatel regulované služby. Pro určení, zda organizace spadá pod nový zákon o kybernetické bezpečnosti, je proto důležité posoudit zejména:

• zda poskytuje některou z regulovaných služeb,
• zda splňuje podmínky významnosti stanovené pro danou službu,
• jaká je velikost organizace,
• zda pro konkrétní službu neplatí další specifická kritéria.

Kterých odvětví se regulace týká?

Nová regulace pokrývá široké spektrum služeb a odvětví, která jsou důležitá pro fungování společnosti, ekonomiky a digitálního prostředí.

Patří mezi ně například:

• energetika,
• doprava,
• bankovnictví a infrastruktura finančních trhů,
• zdravotnictví,
• pitná a odpadní voda,
• digitální infrastruktura a digitální služby,
• veřejná správa,
• poštovní a kurýrní služby,
• nakládání s odpady,
• výroba a distribuce chemických látek,
• potravinářství,
• vybraná odvětví výrobního průmyslu,
• výzkum a další oblasti vymezené právními předpisy.

Rozhodující však není pouze odvětví, ve kterém organizace působí. Je nutné ověřit konkrétní regulovanou službu a podmínky významnosti jejího poskytovatele.

Režim vyšších a nižších povinností

Český zákon rozlišuje dva režimy:

• režim vyšších povinností,
• režim nižších povinností.

Zařazení určuje rozsah povinností, které musí poskytovatel regulované služby plnit.

Ve vyšším režimu se zpravidla nacházejí velké podniky nebo organizace splňující další specifická kritéria významnosti. Střední podniky budou u řady regulovaných služeb typicky zařazeny do režimu nižších povinností.

Pokud organizace poskytuje více regulovaných služeb a alespoň jedna z nich ji zařadí do režimu vyšších povinností, vyšší režim se vztahuje na všechny její regulované služby.

Jakou roli hraje velikost organizace?

Velikost organizace je jedním ze základních kritérií, ale neplatí jednoduché pravidlo, že se zákon vztahuje na každou organizaci od určitého počtu zaměstnanců.

U mnoha regulovaných služeb hraje rozlišení mezi středním a velkým podnikem zásadní roli při určení, zda organizace pod regulaci spadá a do jakého režimu bude zařazena.

U některých služeb však platí zvláštní podmínky a regulace se může vztahovat i na menší organizace.

Proto je vždy nutné posuzovat kombinaci poskytované služby, velikosti organizace a dalších podmínek významnosti.

Co když jsme dodavatelem regulované organizace?

I organizace, na kterou se zákon přímo nevztahuje, může požadavky NIS2 pocítit prostřednictvím svého zákazníka.

Řízení rizik dodavatelského řetězce je důležitou součástí kybernetické bezpečnosti. Regulované organizace proto potřebují vědět, jaká rizika představují jejich dodavatelé a poskytovatelé služeb, a mohou po nich požadovat odpovídající bezpečnostní opatření, dokumentaci nebo smluvní závazky.

To znamená, že požadavky na kybernetickou bezpečnost se v praxi mohou přenášet dále do dodavatelského řetězce, i když konkrétní dodavatel není sám poskytovatelem regulované služby.

Jaké povinnosti poskytovatelům regulovaných služeb vznikají?

Konkrétní rozsah závisí na režimu a typu regulované služby. Mezi hlavní oblasti patří zejména:

• řízení kybernetických rizik,
• zavádění bezpečnostních opatření,
• stanovení rozsahu řízení kybernetické bezpečnosti,
• řízení a hlášení kybernetických bezpečnostních incidentů,
• řízení kontinuity činností,
• řízení dodavatelů a souvisejících rizik,
• dokumentace a prokazování plnění požadavků,
• školení a bezpečnostní povědomí zaměstnanců.

Rozsah požadovaných bezpečnostních opatření se liší podle toho, zda organizace spadá do režimu vyšších, nebo nižších povinností.

Proč je důležité zjistit, zda se regulace vztahuje právě na vás?

Určení, zda organizace spadá pod nový zákon o kybernetické bezpečnosti, je prvním krokem.

Pokud poskytujete regulovanou službu a splňujete stanovené podmínky, nestačí pouze zavést jednotlivá technická opatření. Kybernetickou bezpečnost je potřeba řídit systematicky – znát svá aktiva a rizika, určit odpovědnosti, dokumentovat bezpečnostní opatření, připravit se na incidenty a být schopni plnění požadavků prokázat.

Může to působit složitě. Se správně nastavenými procesy a nástroji však lze jednotlivé povinnosti řídit postupně a přehledně.

Jak může pomoci Tazilla?