NIS2 kontrolní seznam: koho se týká a co zavést

Co je NIS2 a k čemu je kontrolní seznam

NIS2 je druhá evropská směrnice o bezpečnosti sítí a informačních systémů. Nahrazuje první směrnici NIS a výrazně rozšiřuje okruh firem, které musí systematicky řídit kybernetická rizika a hlásit vážné incidenty.

Směrnice nepůsobí přímo. Každý stát ji převádí do vlastního práva. Česko to dělá novým zákonem o kybernetické bezpečnosti a dozor a metodickou podporu zajišťuje Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB). Základní povinnosti ale vycházejí ze směrnice a jsou v celé EU stejné.

Tento kontrolní seznam prochází právě tyto základy: koho se NIS2 týká, jakých deset oblastí opatření platí, jak probíhá hlášení incidentů, jakou roli má vedení firmy a proč dostávají otázky i malí dodavatelé. Závazné znění povinností najdete vždy v českém zákoně a v pokynech NÚKIB.

NIS2 koho se týká: odvětví, velikost, výjimky

Zda firma spadá pod NIS2, rozhodují dvě otázky. Zaprvé: působí v odvětví z přílohy I nebo II směrnice? Zadruhé: je středním nebo velkým podnikem? Hranicí je alespoň 50 zaměstnanců nebo roční obrat či bilanční suma nad 10 mil. eur, počítáno podle unijní definice malých a středních podniků.

Příloha I zahrnuje mimo jiné energetiku, dopravu, bankovnictví, infrastrukturu finančních trhů, zdravotnictví, pitnou vodu, odpadní vodu, digitální infrastrukturu, veřejnou správu a vesmír. Příloha II zahrnuje mimo jiné poštovní a kurýrní služby, nakládání s odpady, chemii, potraviny, výrobu, poskytovatele digitálních služeb a výzkum. Směrnice dotčené firmy dělí na „základní“ a „důležité“ subjekty.

Bez ohledu na velikost může NIS2 dopadnout i na malou firmu, pokud:

• je v daném státě jediným poskytovatelem služby nezbytné pro zachování klíčových společenských nebo hospodářských činností,
• výpadek její služby by mohl mít významný přeshraniční dopad,
• je kvalifikovaným poskytovatelem služeb vytvářejících důvěru, registrem domén nejvyšší úrovně nebo poskytovatelem služeb DNS,
• poskytuje veřejné sítě nebo služby elektronických komunikací nad určitými prahy,
• ji stát označil za kritickou z konkrétních národních důvodů.

Lhůty v EU a stav v Česku

Členské státy měly NIS2 převést do svého práva do 17. října 2024. Řada z nich to nestihla a Evropská komise proti nim zahájila řízení. Dne 8. července 2026 podala Komise žalobu k Soudnímu dvoru EU proti Irsku, Španělsku, Francii a Nizozemsku kvůli chybějící transpozici.

Česko zavádí NIS2 novým zákonem o kybernetické bezpečnosti. Přesný rozsah povinností, případnou registraci a lhůty pro jednotlivé typy subjektů ověřte v aktuálních informacích a metodikách NÚKIB. Pokud podnikáte i v jiných zemích EU, zkontrolujte stav práva v každé z nich zvlášť.

Deset oblastí řízení rizik (čl. 21)

Článek 21 směrnice požaduje vhodná a přiměřená technická, provozní a organizační opatření. Přiměřená znamená odpovídající velikosti a riziku: strojírenská firma s 80 zaměstnanci nepotřebuje program jako velká banka, ale potřebuje jasná pravidla a fungující techniku.

Deset oblastí srozumitelně, vždy s příkladem ze středně velké firmy:

• Politiky analýzy rizik a bezpečnosti informačních systémů: sepsané klíčové systémy, hlavní rizika a odpovědné osoby.
• Zvládání incidentů: krátký postup, kdo co dělá, když se něco stane.
• Kontinuita provozu a krizové řízení, včetně správy záloh a obnovy po havárii: otestované zálohy a plán, jak pracovat bez systémů.
• Bezpečnost dodavatelského řetězce: vědět, kteří dodavatelé mají přístup k vašim systémům a co od nich požadujete.
• Bezpečnost při pořizování, vývoji a údržbě systémů, včetně řešení a zveřejňování zranitelností: aktualizace, bezpečné nastavení, kontakt pro hlášení chyb.
• Politiky a postupy pro hodnocení účinnosti opatření: pravidelné revize, testy nebo audity.
• Základní kybernetická hygiena a školení: aktualizace, silná hesla, rozpoznání phishingu u všech zaměstnanců.
• Pravidla pro kryptografii a tam, kde je to vhodné, šifrování: například šifrované notebooky a spojení.
• Bezpečnost lidských zdrojů, řízení přístupu a správa aktiv: aktuální seznam zařízení a účtů, okamžité odebrání přístupů odcházejícím lidem.
• Vícefaktorové nebo průběžné ověřování, zabezpečená hlasová, video a textová komunikace a zabezpečená nouzová komunikace tam, kde je to vhodné.

Hlášení incidentů: 24 hodin, 72 hodin, jeden měsíc (čl. 23)

Článek 23 směrnice stanoví postupné hlášení významných incidentů, tedy takových, které způsobují nebo mohou způsobit vážné narušení provozu či ztráty. Hlášení se podávají subjektu, který určuje český zákon.

Lhůta běží od okamžiku, kdy se o významném incidentu dozvíte, ne až od chvíle, kdy je vše vyjasněno. Proto je první hlášení jen včasným varováním.

Odpovědnost vedení firmy

NIS2 nedovoluje nechat kybernetickou bezpečnost jen na externím správci IT. Vedení musí opatření k řízení rizik schvalovat, dohlížet na jejich zavedení a podle národního práva může nést odpovědnost, pokud firma povinnosti nesplní. Členové vedení by také měli absolvovat školení, aby dokázali rizika sami posoudit.

V praxi to znamená, že jednatel nebo majitel podepisuje bezpečnostní pravidla, pravidelně dostává krátký přehled o rizicích a incidentech a rozhodnutí zapisuje. Když se něco pokazí, datovaný záznam o tom, co a proč se rozhodlo, má větší cenu než tlustá směrnice, kterou nikdo nečetl.

Dozorový úřad může dotčené firmy kontrolovat a za porušení ukládat pokuty. Jejich výši a postup stanoví český zákon.

Nespadáte pod NIS2? Zákazníci se stejně zeptají

Bezpečnost dodavatelského řetězce patří mezi deset oblastí. Firmy, na které NIS2 dopadá, proto v praxi často posílají dodavatelům bezpečnostní dotazníky a doplňují požadavky do smluv. Týká se to i malých firem, které samy pod směrnici nespadají.

Příklad: dvanáctičlenná webová agentura spravuje e-shop výrobce potravin. Zákazník se ptá, zda agentura používá vícefaktorové ověřování, jak zálohuje a jak rychle nahlásí incident. Jde o smluvní požadavek zákazníka, ne o zákonnou povinnost agentury podle NIS2. Nezodpovězený dotazník ale může stát zakázku.

Malý dodavatel by měl mít po ruce krátký a poctivý přehled zabezpečení: jaké systémy používá, jak řídí přístupy, jak fungují zálohy a koho kontaktovat při incidentu.

Co udělat teď

Krok 1: Ověřte odvětví, velikost a výjimky. Výsledek i zdůvodnění si zapište.

Krok 2: Na webu NÚKIB zjistěte, zda a jak se máte registrovat, jaké povinnosti pro vás z nového zákona plynou a jaké lhůty platí.

Krok 3: Udělejte analýzu nedostatků podle deseti oblastí. Začněte tím, co nejvíc sníží riziko s nejmenším úsilím: vícefaktorové ověřování, otestované zálohy, kontrola oprávnění, aktualizace.

Krok 4: Sepište krátký postup pro incidenty s kroky 24 hodin, 72 hodin a jeden měsíc, se jmény a kanálem pro hlášení.

Krok 5: Předložte opatření vedení ke schválení, naplánujte jeho školení a termín první revize.

Krok 6: Sepište klíčové dodavatele a určete, co od nich požadujete. Pokud jste sami dodavatel, připravte přehled svého zabezpečení.

Technická opatření jako řízení přístupu, logování, zálohy a vícefaktorové ověřování musí fungovat v systémech, se kterými firma denně pracuje. Synelo je zabudovává do AI asistentů, automatizací a webových systémů, které vyvíjí; není certifikačním orgánem ani advokátní kanceláří.

Jde o obecné informace podle stavu k říjnu 2026, nikoli o právní poradenství; podrobnosti ověřte u svého právníka nebo u NÚKIB.