Koho se NIS2 a zákon č. 264/2025 Sb. týká
Zařazení pod regulaci není otázkou názvu firmy ani počtu serverů. Stojí na třech současně splněných podmínkách: odvětví, poskytované službě a velikosti organizace.
Tři podmínky, které se posuzují společně
Odvětví z příloh zákona
Zákon přebírá strukturu příloh NIS2. Příloha č. 1 obsahuje odvětví s vysokou kritičností, energetika, doprava, bankovnictví a finanční trhy, zdravotnictví, pitná a odpadní voda, digitální infrastruktura, správa ICT služeb a veřejná správa. Příloha č. 2 pak další kritická odvětví: poštovní a kurýrní služby, odpadové hospodářství, chemie, potravinářství, výroba vybraných produktů, digitální služby a výzkum.
Konkrétní regulovaná služba
Regulace nedopadá na firmu jako celek, ale na službu, kterou poskytuje. Výrobní podnik může mít regulovanou pouze jednu provozní linku a s ní spojené systémy. Naopak poskytovatel cloudu má regulovanou celou hlavní činnost. Vymezení služeb je v prováděcí vyhlášce a je klíčové pro určení rozsahu opatření, chráníte informační systémy, které tu službu podporují.
Velikost organizace
Vychází z definice středního a velkého podniku podle doporučení Komise 2003/361/ES. Střední podnik: 50 a více zaměstnanců nebo roční obrat nad 10 mil. EUR. Velký podnik: 250 a více zaměstnanců nebo obrat nad 50 mil. EUR. U některých služeb se ale velikostní kritérium neuplatňuje vůbec.
Dva režimy povinností
Česká úprava nepracuje s pojmy „subjekt zásadní“ a „subjekt důležitý“, ale s režimem vyšších a nižších povinností. Rozdíl je v rozsahu požadované dokumentace, v hloubce opatření i v maximální výši sankce.
Režim vyšších povinností
Velké organizace v odvětvích s vysokou kritičností a vybrané subjekty bez ohledu na velikost. Vyžaduje kompletní systém řízení bezpečnosti informací: řízení rizik, řízení aktiv, řízení dodavatelů, kontinuitu činností, řízení přístupů, kryptografii, testování a auditní činnost, vše zdokumentované a pravidelně přezkoumávané.
Režim nižších povinností
Ostatní povinné subjekty. Rozsah opatření je menší a dokumentace jednodušší, povinnost oznámit se NÚKIB, zavést bezpečnostní opatření a hlásit incidenty ve stejných lhůtách však zůstává. Menší rozsah neznamená menší důslednost, kontrola se ptá na totéž, jen v užším záběru.
Kdy velikost nerozhoduje
- Poskytovatelé služeb DNS, registry domén nejvyšší úrovně a poskytovatelé služeb důvěry.
- Poskytovatelé veřejných sítí elektronických komunikací a veřejně dostupných služeb elektronických komunikací.
- Organizační složky státu a další subjekty veřejné správy vymezené zákonem.
- Organizace, které jsou jediným poskytovatelem dané služby v České republice nebo u nichž by narušení služby mělo významný dopad na veřejnou bezpečnost či zdraví.
Nejste povinný subjekt? Regulace se vás stejně dotkne
Povinné subjekty musí řídit bezpečnost svého dodavatelského řetězce. To v praxi znamená bezpečnostní dotazníky, smluvní klauzule, právo na audit a požadavky na hlášení incidentů, přenesené na dodavatele smluvně, nikoli zákonem. Menší firmy tak řeší stejné otázky, jen jim je místo NÚKIB posílá odběratel. Kdo je má zpracované, vyhrává tendry.
Zjistěte své zařazení podle jednotlivých ustanovení
Průvodce nastavením se ptá na odvětví, poskytované služby, velikost i vlastnickou strukturu a výstupem je zdůvodněné zařazení s odkazy na konkrétní paragrafy, které si můžete vzít k právníkovi.
Spustit průvodce ve zkušební verziZdroje: zákon č. 264/2025 Sb., směrnice (EU) 2022/2555, doporučení Komise 2003/361/ES, metodické materiály NÚKIB. Text je informativní a nenahrazuje právní posouzení.