Lhůty NIS2: oznámení, hlášení incidentů a přechodná období

Lhůty jsou jediná část regulace, kde se nedá improvizovat. Běží od okamžiku zjištění, ne od okamžiku, kdy se na incident dostane čas.

Oznámení NÚKIB

60 dnů

Od okamžiku, kdy naplníte kritéria poskytovatele regulované služby, máte 60 dnů na oznámení NÚKIB. Oznamují se identifikační údaje, vymezená regulovaná služba, kontaktní osoba pro bezpečnostní záležitosti a další zákonem stanovené údaje. Změny oznámených údajů se hlásí bez zbytečného odkladu. Oznámení je formální krok, kterým se dostáváte do evidence, nikoli přiznání, že něco nemáte hotové.

Hlášení kybernetického bezpečnostního incidentu

Hlášení je třístupňové. Každý stupeň má vlastní lhůtu a vlastní obsah. Lhůta začíná běžet zjištěním incidentu, tedy momentem, kdy jste si jeho existence prokazatelně vědomi.

24 h

Předběžné

Předběžné hlášení

Základní informace: co se stalo, kdy jste to zjistili, jaké služby jsou dotčené, zda existuje podezření na protiprávní jednání a jaký je předpokládaný dopad. Nemusíte znát příčinu ani rozsah, smyslem je, aby regulátor věděl, že se něco děje.

72 h

Úplné

Úplné hlášení

Doplnění a aktualizace předběžného hlášení: klasifikace incidentu, počáteční posouzení závažnosti a dopadu, indikátory kompromitace a přijatá i plánovaná opatření. Pokud stále šetříte, uvedete to a doplníte průběžnou zprávou.

1 měsíc

Závěrečná

Závěrečná zpráva

Podrobný popis incidentu, jeho příčiny, uplatněná opatření k nápravě, skutečný dopad a přeshraniční důsledky. U dlouhotrvajících incidentů se místo závěrečné zprávy podává průběžná a závěrečná až po vyřešení.

Nejčastější chyba v praxi: organizace nemá určeno, kdo rozhoduje o tom, že událost je incident. Lhůta pak běží od chvíle, kdy si ho všiml administrátor, ale hlášení připravuje management o dva dny později. Určená role a jasné kritérium klasifikace jsou to první, co je potřeba nastavit.

Ostatní lhůty a přechodná období

Zavedení bezpečnostních opatření, na jejich zavedení navazuje po oznámení přechodné období, jehož délka se odvíjí od režimu povinností a druhu opatření. Konkrétní lhůty pro váš případ vyhodnotí průvodce nastavením.
Změna oznámených údajů, bez zbytečného odkladu.
Přezkum hodnocení rizik a dokumentace, nejméně jednou ročně a vždy po významné změně v regulované službě nebo po incidentu s významným dopadem.
Reakce na opatření k nápravě, ve lhůtě stanovené rozhodnutím NÚKIB.
Informování dotčených zákazníků, bez zbytečného odkladu, pokud incident může nepříznivě ovlivnit poskytování služby.

Lhůty hlídá aplikace, ne kalendář

Po zaevidování incidentu Shodly spustí odpočet 24 a 72 hodin, upozorní odpovědné osoby e-mailem a sestaví obsah hlášení podle struktury portálu NÚKIB. Celý průběh zůstává v auditním záznamu jako doklad, že jste lhůty dodrželi.

Vyzkoušet modul incidentů

Zdroje: zákon č. 264/2025 Sb., směrnice (EU) 2022/2555 čl. 23, pokyny NÚKIB k hlášení incidentů.

Pokračovat v průvodci

Část 1

Koho se NIS2 týká

Odvětví, regulované služby, velikostní kritéria a oba režimy povinností.

Část 2

Povinnosti a bezpečnostní opatření

Organizační a technická opatření, která musíte zavést a doložit.

Část 4

Pokuty a odpovědnost vedení

Horní hranice sankcí a osobní odpovědnost vedení organizace.