NIS2: jaké lhůty běží po ohlášení a registraci

Od kdy se počítají lhůty NIS2

Pro vlastní harmonogram potřebujete dvě data: kdy vaše služba splnila podmínky pro registraci a kdy vám NÚKIB doručil rozhodnutí o registraci. Každé spouští jinou povinnost. Datum odeslání formuláře, vydání rozhodnutí a jeho doručení proto v evidenci rozlišujte.

Český zákon č. 264/2025 Sb. je účinný od 1. listopadu 2025. To ale není společný začátek všech lhůt pro každou organizaci. Základní návaznost vysvětluje průvodce NÚKIB. Pokud zatím nevíte, zda jste regulovaní, začněte článkem koho se NIS2 týká.

60 dnů na ohlášení a 30 dnů na údaje

Podle § 6 odst. 1 zákona poskytovatel služby splňující podmínky podle § 4 odst. 1 ohlašuje službu nejpozději do 60 dnů od jejich splnění. Není potřeba čekat, až vás úřad vyzve. U subjektů splňujících podmínky už k účinnosti zákona připomněl NÚKIB konec původní lhůty 31. prosince 2025. Dnešní kontrola působnosti tento termín neposouvá.

Další krok nastává doručením rozhodnutí o registraci. Podle § 11 odst. 1 máte nejpozději do 30 dnů od doručení nahlásit kontaktní a doplňující údaje. Jde například o osoby oprávněné jednat za poskytovatele a údaje o službě. NÚKIB umožňuje potřebné informace uvést už při prvotním ohlášení, jak popisuje jeho průvodce.

Údaje je potřeba udržovat aktuální. Změny, které nejsou referenčními údaji v základních registrech, hlásíte podle § 11 odst. 2 nejpozději do 14 dnů od změny. U výměny kontaktní osoby proto nestačí upravit interní seznam zaměstnanců.

Co znamená roční lhůta po registraci

Podle § 13 odst. 4 začne poskytovatel nejpozději do jednoho roku od doručení rozhodnutí plnit povinnost zavádět a provádět bezpečnostní opatření. § 15 odst. 4 váže na stejné datum také nejzazší zahájení povinného hlášení incidentů podle tohoto ustanovení. U opatření se řídíte požadavky pro příslušnou službu a režim.

Práci bych rozplánoval hned po ověření působnosti. Potřebujete určit rozsah služby, zjistit současný stav a přidělit odpovědnosti. Poslední den přechodné lhůty není vhodný termín pro první kontrolu záloh nebo pro výběr člověka, který převezme hlášení incidentu.

NÚKIB u nižšího režimu vysvětluje také plánování opatření, která z objektivních důvodů nelze všechna zavést v původním roce. Důvody musí být racionální a zaznamenané v přehledu bezpečnostních opatření. Tuto možnost nezaměňujte za automatické prodloužení všech lhůt nebo za možnost odložit ohlašování. U konkrétního opatření ověřte použitelný požadavek a zdokumentujte další postup.

Kdy obecný roční harmonogram nestačí

Pro organizace regulované už podle předchozího zákona obsahuje § 71 přechodná pravidla. Dosavadní bezpečnostní povinnosti v určeném rozsahu pokračují a nový způsob hlášení incidentů používají už od doručení rozhodnutí o registraci. Přechod shrnuje samostatný materiál NÚKIB. Taková organizace si nemůže vytvořit roční mezeru bez hlášení.

Zvláštní ustanovení § 18 se týká vybraných digitálních služeb, například cloud computingu nebo řízených služeb. U nich je potřeba zohlednit také příslušný prováděcí předpis Evropské komise. Obecný přehled lhůt proto nepoužívejte bez posouzení konkrétní služby.

Samostatně řešte protiopatření úřadu. Průvodce NÚKIB upozorňuje, že pro ně neplatí obecná roční přechodná lhůta. Při doručení rozhodnutí či opatření zkontrolujte jeho obsah a použitelný postup, včetně konkrétních termínů.

Co znamená 24 a 72 hodin při incidentu

Tyto lhůty patří k hlášení konkrétního incidentu, nikoli k registraci. Nejprve posoudíte, zda jde o incident, který máte podle své služby a režimu povinně hlásit. § 15 rozlišuje vyšší a nižší režim, § 18 doplňuje zvláštní pravidla pro vybrané digitální služby.

Obecný postup v § 16 vyžaduje prvotní hlášení bez zbytečného odkladu, nejpozději do 24 hodin od zjištění. U incidentů s významným dopadem podle § 16 odst. 3 následuje oznámení nejpozději do 72 hodin od zjištění a závěrečná zpráva nejpozději do 30 dnů od oznámení. Pro služby vytvářející důvěru a pro trvající incident zákon stanoví další odlišnosti. Jde o nejzazší hranice, ne o pokyn s ohlášením čekat.

Vlastní kalendář doplňte kontakty, zastupitelností a odkazem na aktuální právní podklad. U každé lhůty si nechte datum i způsob doručení doložit. Tento článek pomáhá sestavit přehled, konkrétní povinnosti určujte podle aktuálního znění zákona, rozhodnutí a pravidel pro svou službu.