NIS2

Co je NIS2 a proč vznikla

Zkratka NIS pochází z anglického „Network and Information Security“. První směrnice NIS z roku 2016 se týkala hlavně kritické infrastruktury – energetiky, bank, telekomunikací. Kybernetické útoky ale za posledních let zasáhly i nemocnice, výrobní podniky, dopravce nebo úřady. Evropská unie proto přijala směrnici NIS2, která výrazně rozšiřuje počet regulovaných odvětví i firem a zpřísňuje požadavky na jejich zabezpečení.

Cílem je zvýšit odolnost celé ekonomiky vůči kybernetickým hrozbám. Logika je jednoduchá: propojené firmy tvoří dodavatelské řetězce a slabé místo u jednoho článku ohrožuje všechny ostatní. NIS2 proto tlačí na to, aby kybernetickou bezpečnost řešil mnohem širší okruh subjektů, ne jen ti největší.

Nový zákon o kybernetické bezpečnosti (264/2025 Sb.)

V Česku NIS2 naplňuje nový zákon o kybernetické bezpečnosti č. 264/2025 Sb., účinný od 1. listopadu 2025. Nahrazuje dosavadní úpravu a přináší požadavky pro odhadem více než 6 000 českých podniků v 15 sektorech – od zdravotnictví přes dopravu, vodárenství a odpadové hospodářství až po digitální infrastrukturu a veřejnou správu. Dohled a metodické vedení má na starosti NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost).

Vyšší a nižší režim povinností

Zákon rozlišuje dvě úrovně povinností podle důležitosti poskytované služby:

Režim vyšších povinností – dopadá na tzv. kritické entity poskytující nejdůležitější služby (vybrané prvky energetiky, digitálních služeb apod.). Tyto organizace musí naplnit široké spektrum organizačních i technických bezpečnostních opatření, včetně řízení rizik a testování systémů.
Režim nižších povinností – týká se poskytovatelů „důležitých“ služeb. Jde o typický režim pro drtivou většinu středních a výrobních firem. Povinnosti jsou mírnější, ale stále reálné.

Kdo do zákona spadá

Ve vybraných odvětvích se do regulace dostávají firmy již od prahu 50 zaměstnanců nebo obratu nad 10 milionů eur. Rozhoduje kombinace odvětví a velikosti – nestačí tedy říct „nejsme banka, netýká se nás to“. Právě rozšíření na střední firmy je hlavní změnou, kterou NIS2 přináší.

Patnáct sektorů, kterých se to týká

Zásadní změnou oproti původní úpravě je šíře záběru. Zatímco dřív šlo hlavně o kritickou infrastrukturu, nový zákon pokrývá 15 sektorů. Patří mezi ně energetika, doprava, bankovnictví a finanční trh, zdravotnictví, pitná a odpadní voda, digitální infrastruktura a poskytovatelé digitálních služeb, veřejná správa, ale nově i oblasti jako odpadové hospodářství, výroba a distribuce potravin, poštovní a kurýrní služby, chemický průmysl nebo výroba vybraných produktů. Právě zařazení výroby, e-commerce a dalších „běžných“ odvětví znamená, že se povinnosti nově týkají tisíců firem, které se dřív kybernetickou regulací zabývat nemusely.

Bezpečnost dodavatelského řetězce

Jedním z klíčových témat NIS2 je bezpečnost dodavatelů. Útočníci často necílí přímo na velkou firmu, ale na jejího menšího dodavatele, přes kterého se pak dostanou dál. Zákon proto vyžaduje, aby regulované subjekty hlídaly i bezpečnost svých dodavatelů a partnerů. To má praktický důsledek i pro menší firmy pod prahem regulace: pokud dodáváte služby nebo software regulovanému subjektu, může po vás vaše zákaznická firma bezpečnostní požadavky vyžadovat smluvně. NIS2 tak fakticky zasahuje i za hranici přímo dotčených subjektů.

Jaké povinnosti zákon ukládá

Konkrétní rozsah se liší podle režimu, ale rámcově firmy čeká zejména:

Registrace u NÚKIB – dotčené subjekty se musí zpravidla do 60 dnů zaregistrovat a ohlásit svou regulovanou službu. NÚKIB pak podle parametrů služby vydá rozhodnutí či osvědčení.
Řízení kybernetických rizik – zavedení procesů, které identifikují hrozby a stanoví opatření k jejich snížení.
Technická a organizační opatření – od řízení přístupů, zálohování a šifrování až po bezpečnost dodavatelů.
Hlášení incidentů – povinnost oznamovat významné bezpečnostní incidenty ve stanovených lhůtách.
Školení a odpovědnost vedení – kybernetická bezpečnost přestává být „věcí IT“, odpovědnost nese vedení firmy.

Sankce za nesplnění

Zákon dává NÚKIB pravomoc udělovat citelné pokuty. Pro firmy v režimu vyšších povinností může sankce dosáhnout až 250 milionů korun nebo 2 % celosvětového obratu. V režimu nižších povinností hrozí pokuta až 175 milionů korun nebo 1,4 % obratu. K tomu je potřeba přičíst náklady spojené se samotným incidentem – výpadek provozu, ztrátu dat i poškození důvěry zákazníků.

Lhůty a hlášení incidentů

Součástí zákona je i povinnost rychle reagovat na bezpečnostní incidenty. Regulované subjekty musí významné incidenty hlásit NÚKIB ve stanovených lhůtách – prvotní oznámení se podává velmi rychle po zjištění, následuje podrobnější zpráva. Smyslem je, aby úřad měl přehled o dění a mohl varovat další ohrožené subjekty dřív, než se hrozba rozšíří. Pro firmu to znamená mít předem připravený postup: kdo incident vyhodnotí, kdo ho nahlásí a jak se zdokumentuje. Improvizace uprostřed útoku je to poslední, co si firma může dovolit.

Podobně platí lhůty pro samotný vstup do režimu – po tom, co se firma stane dotčeným subjektem, má zpravidla 60 dnů na registraci u NÚKIB. Přípravu se proto vyplatí nepodceňovat a nezačínat na poslední chvíli, protože zavedení opatření a procesů zabere čas.

Co to znamená pro váš web a digitální systémy

NIS2 se netýká jen interního IT, ale i veřejných digitálních služeb – webů, e-shopů, klientských portálů nebo aplikací, přes které komunikujete se zákazníky a partnery. V praxi to znamená mít pod kontrolou aktualizace a zabezpečení webu, řízení přístupů do administrace, bezpečné zálohování a jasně nastavené role u dodavatelů, kteří web spravují.

Kybernetická bezpečnost tak jde ruku v ruce s kvalitou samotného řešení. Web postavený na aktuálních technologiích, s promyšlenou architekturou a spolehlivým provozem je nejen bezpečnější, ale i lépe splňuje regulatorní požadavky. Podobně jako u zákona o přístupnosti platí, že je lepší mít soulad zabudovaný už v návrhu než ho dohánět dodatečně.

Nejčastější mýty o NIS2

Kolem nového zákona koluje řada nedorozumění, která firmy zbytečně uspávají nebo naopak straší. Za pozornost stojí zejména tři:

„Máme antivirus, takže jsme v pohodě.“ NIS2 není o jednom nástroji, ale o systému řízení rizik, procesech a odpovědnosti vedení. Antivirus je jen malý dílek.
„Jsme malí, nás se to netýká.“ Ve vybraných odvětvích stačí 50 zaměstnanců nebo obrat nad 10 milionů eur. A i menší firmy bývají zavázány nepřímo jako dodavatelé.
„Je to jen papírování pro IT.“ Odpovědnost podle zákona nese vedení firmy, ne pouze IT oddělení. Nesplnění může vést k osobní odpovědnosti statutárů.

Kybernetická bezpečnost jako konkurenční výhoda

Splnění NIS2 se dá vnímat jen jako nutné zlo, ale chytré firmy z něj dělají přednost. Prokazatelně zabezpečená firma je důvěryhodnějším partnerem – zejména pro velké zákazníky, kteří dnes bezpečnost prověřují u svých dodavatelů. Investice do bezpečnosti navíc snižuje riziko nákladného výpadku nebo úniku dat, který by mohl firmu položit. Bezpečný a spolehlivě provozovaný web či B2B portál tak není jen otázkou souladu, ale i obchodní argument.

Jak začít s přípravou na NIS2

Ověřte, zda spadáte do zákona. Posuďte odvětví a velikost firmy (práh 50 zaměstnanců / 10 mil. eur) a určete pravděpodobný režim.
Udělejte si analýzu současného stavu. Zjistěte, jak jste na tom s řízením rizik, zabezpečením systémů a zálohováním.
Zaregistrujte se u NÚKIB v požadované lhůtě a ohlaste regulovanou službu.
Zaveďte chybějící opatření. Doplňte procesy řízení rizik, hlášení incidentů, řízení přístupů a bezpečnost dodavatelů.
Zabezpečte web a aplikace. Aktualizace, zálohy, přístupová práva a bezpečný provoz jsou součástí souladu.
Udržujte a zlepšujte. Kybernetická bezpečnost je průběžný proces, ne jednorázový projekt.

Jak dlouho příprava trvá

Uvést firmu do souladu s NIS2 není otázka několika dnů. Podle výchozího stavu jde obvykle o měsíce práce – od úvodní analýzy, přes zavedení chybějících opatření, až po zaškolení lidí a nastavení procesů hlášení incidentů. Firmy, které mají bezpečnost dlouhodobě zanedbanou, čeká více práce než ty, které už nějaká opatření zavedená mají. Právě proto se nevyplatí čekat na poslední chvíli – čím dřív se začne, tím klidněji a levněji celý proces proběhne.

Zásadní je také to, že soulad není jednorázová akce. Kybernetické hrozby se vyvíjejí, firma se mění a opatření je potřeba průběžně aktualizovat, testovat a revidovat. NIS2 tak firmy fakticky vede k tomu, aby se z bezpečnosti stala trvalá součást řízení, ne jen splněný bod na seznamu.

Nejčastější dotazy

Týká se NIS2 i malých firem?

Ve vybraných odvětvích ano – rozhodující je práh 50 zaměstnanců nebo obrat nad 10 milionů eur. Nejmenší firmy pod tímto prahem obvykle přímé povinnosti nemají, ale mohou být zavázány nepřímo jako dodavatelé regulovaných subjektů.

Od kdy zákon platí?

Nový zákon o kybernetické bezpečnosti č. 264/2025 Sb. je účinný od 1. listopadu 2025. Registrační a další lhůty běží od okamžiku, kdy se firma stane dotčeným subjektem.

Je NIS2 jen o technice?

Ne. Vedle technických opatření klade důraz na procesy, řízení rizik, bezpečnost dodavatelů a odpovědnost vedení firmy. Kybernetická bezpečnost se stává manažerským tématem.

Řešíte soulad s NIS2 u svého webu?

V AITOM stavíme weby, e-shopy a online aplikace na moderních a bezpečných technologiích a bezpečnost i provoz řešíme jako součást celého řešení. Pomůžeme vám zabezpečit digitální systémy tak, aby odpovídaly požadavkům nového zákona o kybernetické bezpečnosti. Podívejte se na naši tvorbu webů a aplikací nebo nám napište. Domluvte si nezávaznou konzultaci →