NIS2 v Česku: koho se týká a co musí firma udělat

Koho se NIS2 v Česku týká

Začněte službou, kterou vaše organizace poskytuje. Samotná věta „máme méně než padesát lidí“ k rozhodnutí nestačí. Potřebujete zjistit, zda služba patří do regulace a jaké podmínky pro ni platí. Teprve potom má smysl vybírat bezpečnostní nástroje nebo objednávat dokumentaci.

NIS2 je evropská směrnice o kybernetické bezpečnosti. V Česku ji provádí zákon č. 264/2025 Sb., účinný od 1. listopadu 2025. Pro první orientaci použijte kalkulačku NÚKIB. Výsledek porovnejte s podmínkami konkrétní služby ve vyhlášce č. 408/2025 Sb., o regulovaných službách. Kalkulačka pomůže s orientací, nenahrazuje posouzení skutečné činnosti.

U velikosti podniku se posuzují zaměstnanci i finanční ukazatele. Do výpočtu mohou vstupovat partnerské a propojené podniky, zákon ale obsahuje také výjimky. Použijte aktuální materiál NÚKIB k počítání velikosti podniku. U některých služeb velikost není podmínkou, proto bych malé organizaci nedoporučoval uzavřít posouzení jen podle počtu lidí.

Co znamená nižší a vyšší režim povinností

Zákon rozlišuje režim nižších a vyšších povinností. Od toho se odvíjí rozsah požadovaných opatření. Podle průvodce NÚKIB platí jeden režim pro celou organizaci: pokud alespoň jedna její regulovaná služba spadá do vyššího režimu, použije se tento režim pro všechny její regulované služby.

Při přípravě proto projděte všechny poskytované služby. Když oddělení řeší každé jen svou část, může vedení přehlédnout službu, která ovlivní povinnosti ostatních. Společný přehled pomůže určit, co je potřeba chránit a kdo dodá chybějící podklady.

Kdy službu ohlásit a od čeho počítat lhůty

Organizace ohlašuje splnění podmínek pro registraci regulované služby do 60 dnů od jejich naplnění. U organizací, které je splňovaly už při účinnosti zákona, lhůta uplynula 31. prosince 2025. NÚKIB to připomíná ve zprávě o ohlašování regulovaných služeb. Pokud posouzení děláte až teď, ověřte i to, kdy podmínky vznikly. Datum dnešní kontroly lhůtu nezahajuje znovu.

Další termíny navazují na doručení rozhodnutí o registraci. Průvodce NÚKIB uvádí 30 dnů pro nahlášení kontaktních a doplňujících údajů. Nejpozději do jednoho roku musí poskytovatel začít plnit povinnost zavádět a provádět bezpečnostní opatření a hlásit incidenty. Roční přechodná lhůta nepokrývá všechny povinnosti. Například protiopatření je potřeba řešit už po doručení rozhodnutí. Konkrétní harmonogram a rozsah opatření sestavte podle svého režimu, příslušné vyhlášky a rozhodnutí.

Jednotlivé počátky lhůt, odlišnosti a modelový kalendář najdete v navazujícím článku o termínech po ohlášení a registraci.

S čím začít po ověření působnosti

Nejdřív bych s vedením a lidmi z provozu prošel jednu regulovanou službu. Co potřebuje k fungování, kdo k ní má přístup a co se stane při výpadku? Nad těmito otázkami zjistíte víc než při vyplňování obecné směrnice bez znalosti systému.

Pro nižší režim NÚKIB vydal manuál a vzor přehledu bezpečnostních opatření. Manuál vysvětluje například odpovědnost vedení, práci s přístupy, školení a obnovu provozu. Použijte ho podle svého prostředí. Pro vyšší režim platí jiné požadavky a tento manuál je nenahrazuje.

Pro zavedení konkrétních postupů můžete navázat na ochranu účtů pomocí MFA nebo ověřování podezřelých zpráv. Jde o dílčí témata, která pak posoudíte v rámci své služby.

Co řešit s dodavatelem a co ponechat vedení

Dodavatel IT může pomoci s přístupy, zálohami nebo technickými zkouškami. Vedení ale musí rozumět tomu, jaký výpadek organizace zvládne a kdo rozhodne o nápravě. Doporučuji mít u každého důležitého opatření konkrétního člověka, potřebné oprávnění a způsob kontroly výsledku.

Při nákupu služby si nechte ukázat, které požadavky nabídka pokrývá a co zůstává na vaší organizaci. Samotné označení „NIS2 řešení“ vám to neřekne. Opatření přizpůsobujte dopadu na službu, jak vysvětluje materiál NÚKIB o přiměřenosti v nižším režimu.

Jednorázové práce, průběžné platby a interní čas rozlišuje článek jak připravit rozpočet NIS2 a porovnat nabídky.

Článek nabízí orientaci a vlastní doporučení pro začátek práce. O působnosti a povinnostech rozhodují právní předpisy a konkrétní okolnosti, nikoli nákup balíčku nebo certifikátu. Pro formální posouzení použijte aktuální znění zákona a příslušné prováděcí předpisy.