Váš dokumentačný balík
súladu s NIS2 za 5 dní

Viacfaktorové overenie (MFA)

« Pre ktoré služby vyžadujete MFA? E-mail, VPN, RDP, správa siete a cloudu, privilegované účty. »

Bezpečnosť e-mailu

« Aké kontroly používate proti falšovaniu e-mailov (SPF, DKIM, DMARC)? Vypli ste staršie protokoly (IMAP, POP3, nezabezpečené SMTP)? »

Plán reakcie na incidenty

« Aký je váš plán reakcie na incidenty a v akej lehote by ste nás informovali o kybernetickom bezpečnostnom incidente? »

Subdodávky a dodávateľský reťazec

« Využívate subdodávateľov 4. úrovne? Prijmete zmluvné doložky vyžadujúce súlad s NIS2 (kontroly, oznamovanie porušení, právo auditu)? »

Zálohovanie a kontinuita

« Vykonáva sa zálohovanie? Testuje sa integrita a postupy obnovy aspoň raz ročne? »

Riadenie bezpečnosti

« Opiera sa vaša politika informačnej bezpečnosti o uznávaný rámec (NIST, ISO 27001)? »

Koho sa to týka?

Smernica sa vzťahuje na „stredné“ alebo „veľké“ podniky (v zmysle európskeho práva) pôsobiace v zozname sektorov považovaných za kritické: na jednej strane energetika, doprava, zdravotníctvo, bankovníctvo, voda, digitálna oblasť, verejná správa; na druhej strane pošta, odpad, chémia, potravinárstvo, výroba, výskum. Členský štát tam môže zahrnúť aj menšie subjekty, ak zohrávajú kľúčovú úlohu.

Čo vám NIS2 naozaj ukladá

Jednoducho povedané: zaviesť „primerané“ bezpečnostné opatrenia, vedieť identifikovať svoje riziká, chrániť údaje, odhaliť útok, reagovať naň a následne sa obnoviť. K tomu sa pridáva fyzická bezpečnosť priestorov, kontrola prístupov a oprávnení a overovanie bezpečnosti svojich poskytovateľov a dodávateľov.

Keď nastane problém, platí presné časovanie

Ak nastane „významný“ incident, treba upovedomiť orgán v troch krokoch: skoré varovanie do 24 hodín, podrobnejšie oznámenie do 72 hodín a záverečná správa do jedného mesiaca. Dotknutí príjemcovia služieb musia byť tiež bez zbytočného odkladu informovaní o opatreniach, ktoré majú prijať na svojej strane.

Sankcie bez dramatizovania

Strop pokút určuje smernica: do 10 mil. € alebo 2 % celosvetového obratu (podľa toho, ktorá suma je vyššia) pre „základné“ subjekty; do 7 mil. € alebo 1,4 % celosvetového obratu pre „významné“ subjekty. Ide o zákonné stropy, nie o automatickú faktúru, a pokuta prichádza až po rade nápravných opatrení - podrobnosti nájdete nižšie.

Dátumy, ktoré si treba zapamätať

Smernica je účinná od 16. januára 2023. Každý členský štát mal svoje povinnosti prebrať do vnútroštátneho práva najneskôr do 17. októbra 2024, s účinným uplatňovaním od 18. októbra 2024, keď bol pôvodný predpis NIS1 zrušený.

Kto vo Francúzsku túto agendu vedie

ANSSI je orgán určený na sprevádzanie súladu s NIS2. Zverejnil „Référentiel Cyber France“ (ReCyF, dostupný od 17. marca 2026) a ponúka platformu „MonEspaceNIS2“ a „ClubSSI“, ktoré podnikom pomáhajú zorientovať sa.

Čo sa už deje u našich susedov

V Nemecku orgán BSI uvádza, že zákonná lehota na registráciu dotknutých podnikov už uplynula: tie, ktoré tak ešte neurobili, to majú urobiť bez čakania. Konkrétny signál, že európsky proces je už v pohybe, ďaleko za hranicami textov.

Zjednodušenie sa posudzuje

Európska komisia v roku 2026 predstavila návrh („balík omnibus“) na zmiernenie súladu s NIS2, najmä pre najmenšie subjekty: týkalo by sa to približne 28 700 podnikov, z toho 6 200 mikropodnikov a malých podnikov.

Súkromná klinika alebo analytické laboratórium

Patrí do sektora „Zdravotníctvo“ Prílohy I, ak ide o zdravotnícke zariadenie v zmysle európskeho práva a presahuje prah veľkosti stredného podniku.

Automobilový subdodávateľ alebo výrobca strojov

Spadá do sektora „Spracovateľský priemysel“ Prílohy II (vozidlá, elektrické zariadenia, stroje, elektronika), ak presahuje prah veľkosti.

Poskytovateľ cloudu alebo firma spravujúca IT (MSP/MSSP)

Patrí do „Digitálnej infraštruktúry“ alebo „Správy služieb IKT“ Prílohy I: dotknutá od veľkosti stredného podniku (významný subjekt), základný subjekt, ak je veľká. Jediná výnimka týkajúca sa veľkosti: ak je zároveň kvalifikovaným poskytovateľom dôveryhodných služieb, registrom doménových mien alebo poskytovateľom DNS.

Územná samospráva alebo regionálna verejnoprávna inštitúcia

Patrí do sektora „Verejná správa“ Prílohy I, ak ju členský štát určí, najmä keď by výpadok jej služieb mal významný vplyv na kritické spoločenské alebo hospodárske činnosti.

Potravinársky spracovateľ alebo veľkoobchodník

Spadá pod „Výrobu, spracovanie a distribúciu potravín“ Prílohy II, ak vykonáva veľkoobchodnú činnosť alebo priemyselnú výrobu/ spracovanie.

Podnik „mimo 18 sektorov“, ale dodávateľ dotknutého subjektu

Nie je priamo v rozsahu pôsobnosti NIS2, ale zmluva ho do nej môže vtiahnuť: pozrite si vyššie na tejto stránke časť „Efekt odrazu“.

Otázka: Čo je smernica NIS2, jednou vetou?

Je to európsky predpis, ktorý od 18. októbra 2024 nahradil pôvodný zákon z roku 2016 o kybernetickej bezpečnosti: Európska komisia ho opisuje ako predpis, ktorý „zvyšuje spoločnú úroveň ambícií EÚ v oblasti kybernetickej bezpečnosti prostredníctvom širšej pôsobnosti, jasnejších pravidiel a posilnených kontrolných nástrojov“.

Otázka: Som malý podnik, týkajú sa ma naozaj prahy veľkosti?

Text sa zameriava predovšetkým na „stredné“ alebo „veľké“ podniky v európskom zmysle, čo je presné právne kritérium odkazujúce na odporúčanie 2003/361/ES (v praxi: od 50 zamestnancov alebo od obratu a bilančnej sumy presahujúcich súčasne 10 mil. EUR), pôsobiace v jednom z 18 uvedených sektorov. Pod týmito prahmi nepodliehate spravidla priamo, pokiaľ váš štát nezahrnie menšie subjekty považované za základné alebo pokiaľ nedodávate subjektu, ktorý takým je (efekt odrazu, pozrite vyššie na tejto stránke).

Otázka: Môžem ako konateľ niesť osobnú zodpovednosť?

Áno, a je to najmenej známy bod textu: oficiálny právny súhrn smernice upresňuje, že riadiaci orgán musí schvaľovať opatrenia na riadenie rizík a dohliadať na ich vykonávanie a že môže niesť zodpovednosť v prípade porušenia. Kybernetická bezpečnosť teda nie je len IT téma: je to otázka riadenia, ktorá siaha až ku konateľovi.

Otázka: Ako konkrétne zistím, či sa má moja firma zaregistrovať?

Každý členský štát musí viesť aktuálny oficiálny zoznam základných a významných subjektov, ktorý sa preskúmava každé dva roky (prvý európsky termín: 17. apríl 2025). Vo Francúzsku ANSSI ponúka bezplatný online nástroj na sebahodnotenie „MonEspaceNIS2“, ktorý priamo odpovedá na otázku „týka sa to mňa?“.

Otázka: Mešká Francúzsko? Čo to pre mňa dnes mení?

Áno: francúzsky transpozičný zákon stále nie je uverejnený, a to ďaleko za európskym termínom. V júli 2026 Európska komisia podala na Súdny dvor EÚ žalobu proti Francúzsku pre neoznámenie svojich transpozičných opatrení (pozrite podrobný kalendár vyššie). Konkrétne: žiadna „francúzska sankcia podľa NIS2“ zatiaľ nie je možná, kým nariadenie vlády nevyjde, ale v deň, keď vyjde, pripravené podniky nebudú mať čo dobiehať.

Otázka: Čo sa naozaj mení oproti pôvodnému zákonu NIS1?

NIS1 (2016) sa obmedzovala na energetiku, dopravu, zdravotníctvo, financie, vodu a digitálnu oblasť. NIS2 tento rozsah výrazne rozširuje: pribúdajú verejné elektronické komunikácie, sociálne siete a digitálne platformy, nakladanie s odpadom, výroba kritických výrobkov, poštové služby a verejná správa. Mnohé podniky, ktoré boli dovtedy mimo radaru, teraz do rozsahu spadajú.

Otázka: Je pre malé subjekty naplánované zmiernenie?

Áno, posudzuje sa: Európska komisia v roku 2026 predstavila balík zjednodušenia na zníženie administratívnej záťaže spojenej s NIS2, najmä pre najmenšie subjekty. Zmiernenie by sa týkalo približne 28 700 podnikov, z toho 6 200 mikropodnikov a malých podnikov. Text zatiaľ nie je definitívne prijatý: treba ho sledovať, no bez čakania s prípravou.

Maximálna správna pokuta: najmenej 10 000 000 EUR ALEBO najmenej 2 % celosvetového obratu za predchádzajúci účtovný rok - uplatní sa vyššia z oboch súm.

Maximálna správna pokuta: najmenej 7 000 000 EUR ALEBO najmenej 1,4 % celosvetového obratu za predchádzajúci účtovný rok - rovnaká logika, použije sa vyššia suma.

Kto sankcionuje?

Každý členský štát určí jeden alebo viac „príslušných orgánov“ poverených dohľadom nad smernicou a jej presadzovaním. Vo Francúzsku túto úlohu plní ANSSI.

Posledná možnosť - len pre základné subjekty

Ak predchádzajúce opatrenia zostanú bez účinku, orgán môže požiadať súd o dočasné pozastavenie certifikácie alebo povolenia, ba aj o dočasné odvolanie člena vedenia (generálneho riaditeľa alebo zákonného zástupcu) z funkcie až do dosiahnutia súladu. Táto krajná eskalácia sa týka LEN základných subjektov, nie významných subjektov.

Suma nie je automatická

Zákon ukladá prihliadať, podľa okolností prípadu, na: závažnosť a trvanie porušenia, opakovanie, spôsobenú škodu, úmysel alebo nedbanlivosť, opatrenia prijaté na zmiernenie ujmy, dodržiavanie kódexov správania alebo certifikácií, úroveň spolupráce s orgánom. Dva podniky v rovnakej situácii nedostanú automaticky rovnakú pokutu.

Členovia vedenia sú osobne zodpovední

Text výslovne ustanovuje, že fyzické osoby vedúce subjekt (generálny riaditeľ, zákonný zástupca) môžu niesť zodpovednosť v prípade porušenia povinností týkajúcich sa dosiahnutia súladu - pre základné aj pre významné subjekty.

A ak ide zároveň o únik údajov?

Ak incident zároveň predstavuje porušenie ochrany osobných údajov, orgán podľa NIS2 o tom musí bez odkladu informovať príslušný orgán podľa GDPR (vo Francúzsku CNIL). Oba režimy sa koordinujú - nejde o automatické kumulovanie sankcií, ale o vzájomnú výmenu informácií medzi orgánmi.

Číselné príklady? Zatiaľ nie, úprimne

Ku dňu tohto monitoringu sa v oficiálnom zdroji nenašlo žiadne zverejnené rozhodnutie o sankcii podľa NIS2. Systém závisí od transpozičného zákona každého členského štátu, ktorý sa dokončuje. Signál, že proces je v plnom prúde: v Nemecku orgán BSI uvádza, že zákonná lehota na registráciu dotknutých subjektov už uplynula.