Směrnice NIS2 je evropské pravidlo, které říká, jak mají firmy a organizace v důležitých odvětvích chránit svá data a systémy. V Česku ji od 1. listopadu 2025 provádí nový zákon o kybernetické bezpečnosti (zákon č. 264/2025 Sb.). Místo několika stovek organizací se tak povinnosti nově týkají odhadem 6 000 až 10 000 subjektů. V tomto článku vysvětlujeme bez právničiny, koho se NIS2 týká, jaké lhůty běží, co je potřeba zavést a jak s tím začít.
Obsah:
- Co je směrnice NIS2
- Koho se NIS2 týká
- Od kdy NIS2 platí a jaké lhůty běží
- Jaké povinnosti NIS2 přináší
- Hlášení kybernetických incidentů
- Jaké pokuty hrozí
- Jak se připravit na NIS2 ve čtyřech krocích
- NIS2 jednoduše na videu
- Jak vám s NIS2 pomůžeme
- Nejčastější dotazy
Co je směrnice NIS2
NIS2 (Network and Information Security 2) je směrnice Evropské unie, která navazuje na původní směrnici NIS z roku 2016 a výrazně ji rozšiřuje i zpřísňuje. Cílem je, aby organizace poskytující důležité služby (energetika, zdravotnictví, doprava, digitální infrastruktura, výroba a další) měly alespoň základní úroveň zabezpečení, uměly incidenty rychle řešit a hlásily je státu. Zároveň se sjednocují pravidla napříč EU, protože jednotlivé země k tématu dřív přistupovaly různě.
Směrnice sama o sobě firmám povinnosti neukládá. Musí ji provést každý členský stát vlastním zákonem. V Česku je to nový zákon o kybernetické bezpečnosti (č. 264/2025 Sb.), který nahradil starý zákon z roku 2014 a je účinný od 1. listopadu 2025. K němu patří prováděcí vyhlášky: vyhláška o regulovaných službách (č. 408/2025 Sb.) říká, kdo je regulovaný, a dvě vyhlášky o bezpečnostních opatřeních (č. 409/2025 a 410/2025 Sb.) říkají, co musí zavést. Když se tedy dnes v Česku mluví o „NIS2“, v praxi jde o povinnosti podle tohoto zákona. Dozor vykonává Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB).
Koho se NIS2 týká
Regulace se na organizaci vztahuje, když splní dvě podmínky zároveň: poskytuje regulovanou službu v některém z vyjmenovaných odvětví a je alespoň středním podnikem. Střední podnik má 50 a více zaměstnanců, nebo roční obrat či bilanční sumu nad 10 milionů eur. Velký podnik má 250 a více zaměstnanců, obrat nad 50 milionů eur nebo bilanční sumu nad 43 milionů eur. Velikost se počítá včetně propojených a partnerských podniků, takže i menší dceřiná firma silné skupiny může do regulace spadnout.
Odvětví vycházejí z příloh směrnice:
- Odvětví s vysokou kritičností: energetika, doprava, bankovnictví a finanční trhy, zdravotnictví, pitná a odpadní voda, digitální infrastruktura, správa ICT služeb pro firmy, veřejná správa, vesmírný sektor.
- Další kritická odvětví: poštovní a kurýrní služby, odpadové hospodářství, chemický průmysl, potravinářství, výroba (zdravotnické prostředky, elektronika a počítače, stroje, vozidla a dopravní prostředky), poskytovatelé digitálních služeb (online tržiště, vyhledávače, sociální sítě) a výzkum.
U některých služeb velikost nehraje roli: poskytovatelé DNS, správci domén nejvyšší úrovně, poskytovatelé internetového připojení nebo veřejná správa spadají do regulace bez ohledu na počet zaměstnanců. Naopak dodavatelé regulovaných firem přímo regulovaní nejsou. Zákazník po nich ale bude bezpečnostní záruky vyžadovat, protože za bezpečnost svého dodavatelského řetězce odpovídá on.
Dva režimy: vyšší a nižší povinnosti
Zákon zavádí takzvanou dvourychlostní kybernetickou bezpečnost. Režim vyšších povinností (ve směrnici „subjekty zásadního významu“) platí typicky pro velké podniky v kritických odvětvích. Režim nižších povinností („subjekty důležitého významu“) platí pro střední podniky a méně kritické služby. Rozdíl je v rozsahu opatření, v tom komu a jaké incidenty se hlásí, i ve výši pokut. Platí princip jedna organizace = jeden režim: pokud alespoň jedna služba spadá do vyššího režimu, řídí se jím celá organizace.
Nejste si jistí? NÚKIB provozuje na svém portálu kalkulačku, která po zodpovězení několika otázek řekne, zda regulovanou službu poskytujete a v jakém režimu.
Od kdy NIS2 platí a jaké lhůty běží
- Účinnost zákona: 1. listopadu 2025.
- Ohlášení regulované služby: do 60 dnů ode dne, kdy organizace splnila kritéria, přes Portál NÚKIB. Pro většinu firem to znamenalo do konce roku 2025. Kdo kritéria splní později (růst firmy, nová služba), má 60 dnů od toho okamžiku. Jde o samoidentifikaci: NÚKIB firmy neobesílá, organizace se musí přihlásit sama.
- Rozhodnutí o registraci: NÚKIB ho doručí po ohlášení. Od tohoto dne běží všechny další lhůty.
- Hlášení kontaktních údajů: do 30 dnů od doručení rozhodnutí.
- Zavedení bezpečnostních opatření: do 1 roku od doručení rozhodnutí o registraci.
- Hlášení kybernetických incidentů: nejpozději do 1 roku od doručení rozhodnutí.
- Reakce na varování a protiopatření NÚKIB: ihned po registraci, bez přechodné lhůty.
Firmě, která se registrovala na přelomu let 2025 a 2026, tedy většina lhůt vyprší na přelomu let 2026 a 2027. Rok na zavedení opatření zní jako dost času, ale analýza, výběr technologií, nasazení a zaškolení lidí ho obvykle zaberou celý.
Jaké povinnosti NIS2 přináší
Konkrétní seznam opatření určuje vyhláška podle režimu. Dají se rozdělit do dvou skupin.
Organizační opatření:
- Řízení rizik: pravidelné hodnocení rizik a plán, jak se s nimi vypořádat. Ve vyšším režimu je povinná analýza rizik, v nižším režimu vyhláška stanoví „nepominutelná“ opatření, která se zavádějí vždy.
- Bezpečnostní politiky a role: pojmenovaný manažer kybernetické bezpečnosti (vyšší režim) nebo pověřená osoba (nižší režim).
- Odpovědnost vedení: statutární orgán opatření schvaluje, dohlíží na ně a musí být v kybernetické bezpečnosti proškolen.
- Řízení kontinuity činností: plán, jak provoz přežije výpadek nebo útok, včetně záloh a obnovy.
- Bezpečnost dodavatelů: smluvní požadavky na dodavatele a u strategicky významných služeb i hlášení dodavatelů NÚKIB.
- Vzdělávání zaměstnanců a evidence bezpečnostních událostí.
Technická opatření:
- Správa a ověřování identit včetně vícefaktorového přihlašování a řízení přístupových oprávnění podle principu nejmenších oprávnění, ideálně podle principů Zero Trust.
- Správa a zabezpečení všech zařízení s přístupem do sítě: počítačů, telefonů i průmyslových a IoT zařízení, včetně ochrany koncových bodů.
- Zabezpečení sítě a segmentace, aby se útočník po průniku nemohl volně pohybovat.
- Kryptografie, ochrana dat, zálohování a obnova.
- Detekce a vyhodnocování bezpečnostních událostí, tedy sběr logů a nepřetržitý dohled.
- Pravidelný audit a testování, například penetrační testy a skenování zranitelností.
Nižší režim má opatření méně a firma může doložit, proč konkrétní opatření pro ni není relevantní. Musí to ale mít zdůvodněné a zapsané v přehledu bezpečnostních opatření, který je základním dokumentem pro případnou kontrolu.
Hlášení kybernetických incidentů
Pro většinu firem je to nejnáročnější povinnost, protože předpokládá, že incident vůbec včas poznáte. Základní schéma vypadá takto:
- Vyšší režim: hlásí NÚKIB všechny incidenty s původem v kybernetickém prostoru, u kterých nelze do 24 hodin vyloučit úmyslné zavinění. NÚKIB do 24 hodin posoudí, zda má incident významný dopad. Pokud ano, následuje doplňující hlášení do 72 hodin, na výzvu průběžné zprávy a závěrečná zpráva do 30 dnů (do 60 dnů, pokud incident trvá).
- Nižší režim: hlásí Národnímu CERT incidenty s významným dopadem na regulovanou službu. Významnost posuzuje organizace sama podle vyhlášky, bližší informace doplňuje do 72 hodin.
Hlášení probíhá přes Portál NÚKIB a incident může nahlásit kdokoli. Prakticky to znamená mít dohled nad prostředím v režimu 24/7, umět odlišit planý poplach od skutečného útoku a mít popsaný postup, kdo co hlásí. Přesně tady většina firem naráží: kvalifikovaných lidí je málo a interní tým na nepřetržitý provoz si mohou dovolit jen velké organizace. Řešením bývá externí dohledové centrum a nástroje, které bezpečnostní události vyhodnocují automaticky.
Jaké pokuty hrozí
Zákon nastavuje horní hranice pokut podle režimu. Při ukládání se posuzují polehčující i přitěžující okolnosti a pokuta nesmí být likvidační:
- Režim vyšších povinností: až 250 000 000 Kč, nebo až 2 % čistého celosvětového ročního obratu podniku.
- Režim nižších povinností: až 175 000 000 Kč, nebo až 1,4 % čistého celosvětového ročního obratu podniku.
Nejvyšší sazby míří na nejzávažnější přestupky, například záměrné vyhýbání se ohlášení regulované služby nebo nezavádění bezpečnostních opatření. Za méně závažné přestupky jsou hranice nižší. Novinkou je i osobní odpovědnost: členovi vrcholného vedení organizace ve vyšším režimu, který opakovaně nebo závažně porušuje povinnosti, může NÚKIB zakázat výkon funkce nejméně na 6 měsíců.
Jak se připravit na NIS2 ve čtyřech krocích
1. Zjistěte, zda a v jakém režimu jste regulovaní
Projděte kalkulačku NÚKIB, ověřte velikost podniku včetně propojených firem a ohlaste regulovanou službu, pokud jste to ještě neudělali. Každý den prodlevy zvyšuje riziko sankce, a naopak: bez rozhodnutí o registraci vám neběží lhůty, ale ani ochrana, kterou jasný harmonogram dává.
2. Analýza současného stavu
Stanovte rozsah řízení kybernetické bezpečnosti, tedy které systémy, data a služby do něj spadají. Porovnejte současný stav s požadavky vyhlášky pro váš režim, identifikujte slabá místa v technice i v procesech a stanovte realistické cíle včetně potřebné dokumentace.
3. Plán a zavedení opatření
Určete odpovědnou osobu a tým, opatření seřaďte podle rizika a sestavte harmonogram, který se vejde do roku od registrace. Technická část obvykle začíná u identit a řízení přístupů, pokračuje zabezpečením zařízení, segmentací sítě, ochranou dat a zálohováním a končí viditelností do celého prostředí. Organizační část zahrnuje řízení rizik, proškolení vedení, postupy pro hlášení incidentů a plán kontinuity provozu.
4. Průběžný dohled a testování
Shoda s NIS2 není jednorázový projekt, ale trvalý stav. Patří k ní pravidelné audity, penetrační testy, skenování zranitelností, kontrola aplikací i sledování varování NÚKIB. Čím dřív začnete, tím rovnoměrněji si rozložíte náklady i práci.
NIS2 jednoduše na videu
Pokud dáváte přednost obrazu před textem, shrnuli jsme to nejdůležitější do krátkého videa.
Jak vám s NIS2 pomůžeme
- Security Assessment: do 30 dnů prověříme vaše prostředí Microsoft 365, identity a koncová zařízení, odhalíme slabá místa a dodáme konkrétní doporučení, co pro soulad s NIS2 chybí.
- Návrh a zavedení opatření: správa identit a řízení přístupů, správa a zabezpečení zařízení, zálohování a segmentace sítě. Postupně a s ohledem na běžný provoz.
- SecuRadar: služba kybernetického dohledu postavená na Microsoft Sentinel. Sbírá logy z celého prostředí, vyhodnocuje anomálie a pokrývá řešení i hlášení incidentů, ve vyšších variantách s dohledem 24/7.
- Dohledové centrum: nepřetržitý monitoring a reakce na incidenty, když nechcete stavět vlastní tým.
Se SecuRadarem a dohledovým centrem máte pokrytou nejnáročnější část NIS2: detekci, vyhodnocení a hlášení incidentů. Ozvěte se nám, projdeme s vámi, v jakém režimu jste a co vám k souladu chybí.
Nejčastější dotazy
Co je směrnice NIS2?
NIS2 je evropská směrnice o kybernetické bezpečnosti, která organizacím v důležitých odvětvích ukládá zavést bezpečnostní opatření a hlásit incidenty. V Česku ji provádí nový zákon o kybernetické bezpečnosti č. 264/2025 Sb., účinný od 1. listopadu 2025.
Koho se NIS2 týká?
Středních a velkých podniků (od 50 zaměstnanců nebo 10 milionů eur obratu) v regulovaných odvětvích, jako je energetika, doprava, zdravotnictví, výroba, digitální služby nebo veřejná správa. Některých služeb, například DNS, poskytovatelů internetu nebo veřejné správy, se týká bez ohledu na velikost. Přesně to ověří kalkulačka na Portálu NÚKIB.
Od kdy NIS2 platí a jaké jsou termíny?
Zákon je účinný od 1. listopadu 2025. Organizace musí ohlásit regulovanou službu do 60 dnů od splnění kritérií, nahlásit kontaktní údaje do 30 dnů od registrace a do 1 roku od registrace zavést bezpečnostní opatření a začít hlásit incidenty.
Jaké povinnosti ukládá NIS2 při hlášení incidentů?
Ve vyšším režimu se NÚKIB hlásí každý incident s původem v kybernetickém prostoru, u kterého nelze do 24 hodin vyloučit úmysl. U incidentů s významným dopadem následuje doplňující hlášení do 72 hodin a závěrečná zpráva do 30 dnů. V nižším režimu se Národnímu CERT hlásí incidenty s významným dopadem na regulovanou službu.
Jaké sankce hrozí za nedodržení NIS2?
Ve vyšším režimu až 250 milionů korun nebo 2 % čistého celosvětového ročního obratu, v nižším režimu až 175 milionů korun nebo 1,4 % obratu. Členům vrcholného vedení ve vyšším režimu hrozí za opakované porušování povinností zákaz výkonu funkce.
Kolik stojí implementace NIS2?
Záleží na režimu, velikosti prostředí a na tom, co už máte zavedené. Největší položky bývají nepřetržitý dohled nad incidenty, řízení identit a zabezpečení zařízení. Proto začínáme analýzou stavu, která ukáže, co chybí, a rozpočet se odvíjí od ní.
Jak NIS2 implementovat ve firmě?
Ověřit režim a ohlásit službu, zmapovat stav proti vyhlášce, sestavit plán s odpovědnou osobou a zavést opatření do roka od registrace. Pak průběžně testovat a auditovat. Nejčastější mezery bývají v dohledu nad incidenty a v řízení přístupů, tam se vyplatí začít.
