Vaše dokumentace souladu
s NIS2 za 5 dní

Vícefaktorové ověřování (MFA)

„Pro které služby vyžadujete MFA? E-mail, VPN, RDP, správa sítě a cloudu, privilegované účty.“

Zabezpečení e-mailu

„Jaké kontroly používáte proti padělání e-mailů (SPF, DKIM, DMARC)? Vypnuli jste zastaralé protokoly (IMAP, POP3, nezabezpečené SMTP)?“

Plán reakce na incidenty

„Jaký je váš plán reakce na incidenty a v jaké lhůtě nás o kybernetickém bezpečnostním incidentu informujete?“

Subdodávky a dodavatelský řetězec

„Využíváte subdodavatele 4. úrovně? Přijmete smluvní doložky vyžadující soulad s NIS2 (kontroly, oznamování narušení, právo auditu)?“

Zálohování a kontinuita

„Provádí se zálohy? Testuje se integrita a postupy obnovy alespoň jednou ročně?“

Řízení bezpečnosti

„Vychází vaše politika bezpečnosti informací z uznávaného rámce (NIST, ISO 27001)?“

Koho se to týká?

Směrnice cílí na „střední“ nebo „velké“ podniky (ve smyslu evropského práva) působící v seznamu odvětví považovaných za kritická: energetika, doprava, zdravotnictví, bankovnictví, voda, digitální oblast, veřejná správa na jedné straně; pošta, odpady, chemie, potravinářství, výroba, výzkum na straně druhé. Stát do ní může zahrnout i menší subjekty, pokud mají klíčovou roli.

Co vám NIS2 skutečně ukládá

Jednoduše: zavést „přiměřená“ bezpečnostní opatření, umět určit svá rizika, chránit data, odhalit útok, reagovat na něj a po něm se znovu rozjet. K tomu přistupuje fyzická bezpečnost prostor, kontrola přístupů a oprávnění a ověřování bezpečnosti svých poskytovatelů a dodavatelů.

V případě potíží přesné lhůty

Nastane-li „významný“ incident, je třeba orgán informovat ve třech krocích: včasné varování do 24 hodin, podrobnější oznámení do 72 hodin a poté závěrečná zpráva do jednoho měsíce. Dotčení příjemci služeb musí být rovněž bez zbytečného odkladu informováni o opatřeních, která mohou sami přijmout.

Sankce, bez dramatizace

Strop pokut stanoví směrnice: až 10 mil. € nebo 2 % celosvětového obratu (podle toho, co je vyšší) u „základních“ subjektů; až 7 mil. € nebo 1,4 % celosvětového obratu u „významných“ subjektů. Jde o zákonné stropy, nikoli o automatický účet, a pokuta přichází až po řadě nápravných opatření - viz podrobnosti níže.

Data, která je třeba znát

Směrnice platí od 16. ledna 2023. Každý členský stát měl své povinnosti provést do vnitrostátního práva nejpozději do 17. října 2024, s účinným použitím od 18. října 2024, kdy byl dřívější předpis NIS1 zrušen.

Ve Francii, kdo má věc na starosti

ANSSI je orgán pověřený podporou při zavádění souladu s NIS2. Zveřejnil „Référentiel Cyber France“ (ReCyF, k dispozici od 17. března 2026) a nabízí platformu „MonEspaceNIS2“ i „ClubSSI“, které podnikům pomáhají zorientovat se.

Co se už děje u sousedů

V Německu úřad BSI uvádí, že zákonná lhůta k registraci dotčených podniků již uplynula: ty, které tak dosud neučinily, musí tak učinit bez odkladu. Konkrétní signál, že evropský proces je již v pohybu, a to daleko za hranicemi samotných textů.

Zjednodušení se zvažuje

Evropská komise v roce 2026 předložila návrh („balíček omnibus“) ke zmírnění souladu s NIS2, zejména pro nejmenší subjekty: úlevy by se týkaly přibližně 28 700 podniků, z toho 6 200 mikropodniků a malých podniků.

Soukromá klinika nebo analytická laboratoř

Spadá do odvětví „Zdravotnictví“ Přílohy I, jakmile jde o zdravotnické zařízení ve smyslu evropského práva, pokud překračuje práh velikosti středního podniku.

Automobilový subdodavatel nebo výrobce strojů

Patří do odvětví „Zpracovatelský průmysl“ Přílohy II (vozidla, elektrická zařízení, stroje, elektronika) nad prahem velikosti.

Poskytovatel cloudu nebo společnost spravující IT (MSP/MSSP)

Patří do „Digitální infrastruktury“ nebo „Řízení služeb ICT“ Přílohy I: dotčená od velikosti středního podniku (významný subjekt), základní subjekt, pokud je velká. Jediná výjimka z hlediska velikosti: pokud je zároveň kvalifikovaným poskytovatelem služeb vytvářejících důvěru, registrem doménových jmen nebo poskytovatelem DNS.

Obec nebo regionální veřejná instituce

Spadá do odvětví „Veřejná správa“ Přílohy I, pokud ji členský stát určí, zejména když by výpadek jejích služeb měl významný dopad na kritické společenské nebo hospodářské činnosti.

Zpracovatel potravin nebo velkoobchodník

Patří pod „Výroba, zpracování a distribuce potravin“ Přílohy II, pokud vykonává velkoobchodní činnost nebo průmyslovou výrobu/ zpracování.

Podnik „mimo 18 odvětví“, ale dodavatel dotčeného subjektu

Není přímo v působnosti NIS2, ale může do ní být dotlačen smlouvou: viz oddíl „Nepřímý dopad“ výše na této stránce.

Otázka: Co je směrnice NIS2 jednou větou?

Je to evropský předpis, který od 18. října 2024 nahradil dřívější zákon z roku 2016 o kybernetické bezpečnosti: Evropská komise jej popisuje jako text, který „zvyšuje společnou úroveň ambicí EU v oblasti kybernetické bezpečnosti prostřednictvím širší působnosti, jasnějších pravidel a posílených kontrolních nástrojů“.

Otázka: Jsem malý podnik, týkají se mě skutečně prahy velikosti?

Text cílí především na „střední“ nebo „velké“ podniky ve smyslu evropského práva, přesné zákonné kritérium odkazující na doporučení 2003/361/ES (v praxi: od 50 zaměstnanců, nebo zároveň od více než 10 mil. EUR obratu a bilanční sumy), působící v jednom z 18 uvedených odvětví. Pod tím nejste zpravidla přímo podřízeni, pokud váš stát nezahrnuje menší subjekty považované za základní, nebo pokud dodáváte subjektu, který takovým je (nepřímý dopad, viz výše na této stránce).

Otázka: Mohu být jako člen vedení osobně odpovědný?

Ano, a je to nejméně známý bod textu: úřední právní shrnutí směrnice upřesňuje, že řídící orgán musí schvalovat opatření pro řízení rizik a dohlížet na jejich provádění a že může nést odpovědnost za jejich porušení. Kybernetická bezpečnost tedy není jen IT téma: je to otázka řízení, která sahá až k vedení.

Otázka: Jak konkrétně zjistím, zda se musím registrovat?

Každý členský stát musí vést aktuální úřední seznam základních a významných subjektů, přezkoumávaný každé dva roky (první evropský termín: 17. dubna 2025). Ve Francii dává ANSSI k dispozici bezplatný online nástroj pro sebehodnocení „MonEspaceNIS2“, který přímo odpovídá na otázku „týká se mě to?“.

Otázka: Má Francie zpoždění? Co to dnes pro mě mění?

Ano: francouzský transpoziční zákon stále není zveřejněn, a to výrazně po evropském termínu. V červenci 2026 Evropská komise navíc předala Francii Soudnímu dvoru EU za to, že nesdělila opatření k provedení (viz podrobný kalendář výše). Konkrétně: žádná „francouzská sankce NIS2“ zatím není možná, dokud prováděcí předpis nevyjde, ale v den jeho vydání nebudou už připravené podniky mít co dohánět.

Otázka: Co se skutečně mění oproti dřívějšímu zákonu NIS1?

NIS1 (2016) se omezovala na energetiku, dopravu, zdravotnictví, finance, vodu a digitální oblast. NIS2 tuto působnost výrazně rozšiřuje: nově přibývají veřejné elektronické komunikace, sociální sítě a digitální platformy, nakládání s odpady, výroba kritických produktů, poštovní služby a veřejná správa. Mnoho dosud neviditelných podniků nyní do působnosti spadá.

Otázka: Je pro malé subjekty plánována úleva?

Ano, zvažuje se: Evropská komise v roce 2026 představila balíček zjednodušení ke snížení administrativní zátěže spojené s NIS2, zejména pro nejmenší subjekty. Úleva by se týkala přibližně 28 700 podniků, z toho 6 200 mikropodniků a malých podniků. Text zatím není definitivně přijat: sledovat, ale s přípravou nečekat.

Maximální správní pokuta: nejméně 10 000 000 EUR NEBO nejméně 2 % celosvětového obratu za předchozí hospodářský rok - použije se vyšší z obou částek.

Maximální správní pokuta: nejméně 7 000 000 EUR NEBO nejméně 1,4 % celosvětového obratu za předchozí hospodářský rok - stejná logika, použije se vyšší částka.

Kdo sankcionuje?

Každý členský stát určí jeden nebo více „příslušných orgánů“ odpovědných za dohled a prosazování směrnice. Ve Francii tuto roli plní ANSSI.

Poslední možnost - pouze základní subjekty

Pokud předchozí opatření zůstanou bez účinku, může orgán požádat soud o dočasné pozastavení certifikace nebo oprávnění, případně o dočasné odvolání člena vedení (generálního ředitele nebo statutárního zástupce) z funkce, dokud nebude dosaženo souladu. Tato extrémní eskalace se týká POUZE základních subjektů, nikoli významných subjektů.

Částka není automatická

Zákon ukládá přihlížet v každém případě zvlášť k: závažnosti a době trvání porušení, opakování, způsobené škodě, úmyslu nebo nedbalosti, opatřením přijatým ke zmírnění újmy, dodržování kodexů chování nebo certifikací, míře spolupráce s orgánem. Dva podniky ve stejné situaci nedostanou automaticky stejnou pokutu.

Členové vedení, osobně odpovědní

Text výslovně stanoví, že fyzické osoby řídící subjekt (generální ředitel, statutární zástupce) mohou nést odpovědnost za porušení povinností zajistit soulad - u základních i významných subjektů.

A pokud jde zároveň o únik dat?

Pokud incident představuje zároveň porušení zabezpečení osobních údajů, musí orgán NIS2 bez zbytečného odkladu informovat příslušný orgán podle GDPR (ve Francii CNIL). Oba režimy se koordinují - nejde o automatický souběh sankcí, ale o vzájemnou informaci mezi orgány.

Číselné příklady? Zatím ne, upřímně

K datu tohoto monitoringu nebylo v úředním zdroji nalezeno žádné zveřejněné rozhodnutí o sankci NIS2. Systém závisí na transpozičním zákonu každého členského státu, který se dokončuje. Znamení, že proces je v pohybu: v Německu úřad BSI uvádí, že zákonná lhůta k registraci dotčených subjektů již uplynula.