Co je NIS2
NIS2 (Network and Information Security Directive 2) je směrnice Evropské unie z roku 2022, která zásadně rozšiřuje pravidla kybernetické bezpečnosti pro firmy v EU. Nahrazuje původní směrnici NIS1 z roku 2016.
- Plný název: Směrnice EU 2022/2555 ze dne 14. prosince 2022 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii
- EUR-Lex: https://eur-lex.europa.eu/eli/dir/2022/2555
- Transpozice do ČR: zákon č. 264/2025 Sb. o kybernetické bezpečnosti (nový ZoKB), platný od 18. 10. 2024
- Český dohledový orgán: NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost)
Co se NIS2 změnila oproti NIS1
| Oblast | NIS1 | NIS2 |
|---|---|---|
| Rozsah | ~700 firem v ČR | ~6 000+ firem v ČR |
| Sektory | 7 | 18 (esential) + 11 (important) |
| Odpovědnost vedení | Implicitní | Výslovná (čl. 20) — sankce pro statutární orgán |
| Hlášení incidentů | Bez deadline | 24h early warning, 72h notification, 1 měsíc final report |
| Pokuty | Nestanoveny | Až 10 mil. EUR / 2 % obratu |
| Dodavatelský řetězec | Doporučení | Povinnost hodnocení |
Jakých článků se NIS2 nejvíce týká
Pro firmy jsou nejdůležitější články 20–23:
Článek 20 — Odpovědnost vedení
Statutární orgán musí schvalovat opatření pro řízení rizik kybernetické bezpečnosti, dohlížet na jejich implementaci a může nést osobní odpovědnost při porušení.
V Sentribase to řeší modul Schválení vedením — 4-eyes princip, kde dokument vytvoří admin a schválí ho executive/owner.
Článek 21 — Opatření pro řízení rizik
Konkrétní výčet 10 oblastí, které musí firma pokrýt:
| Písmeno | Oblast | Modul v Sentribase |
|---|---|---|
| 21(2)(a) | Politiky analýzy rizik a ISMS | Rizika, Dokumenty |
| 21(2)(b) | Hlášení incidentů a školení | Incidenty, Školení |
| 21(2)(c) | Kontinuita podnikání a krizový management | Kontinuita |
| 21(2)(d) | Bezpečnost dodavatelského řetězce | Dodavatelé |
| 21(2)(e) | Pořízení, vývoj a údržba sítí a systémů | Aktiva, Zranitelnosti |
| 21(2)(f) | Posuzování účinnosti opatření | Opatření, Compliance matice |
| 21(2)(g) | Kybernetická hygiena a školení | Školení |
| 21(2)(h) | Použití kryptografie | Opatření (technické kontroly) |
| 21(2)(i) | Bezpečnost lidských zdrojů a kontrola přístupu | Fyzický přístup, Role a oprávnění |
| 21(2)(j) | Multi-faktorová autentizace | Nastavení účtu (MFA) |
Článek 22 — Koordinované zveřejňování zranitelností
Firma má povinnost evidovat zranitelnosti a podle závažnosti je hlásit / koordinovat se s NÚKIB. Modul Zranitelnosti udržuje CVE registr.
Článek 23 — Hlášení incidentů NÚKIB
Pro významné incidenty platí třístupňový workflow:
V Sentribase v modulu Incidenty zaškrtnete „Vyžaduje hlášení NÚKIB" a systém spočítá deadline. Modul Upozornění vás pak na blížící se lhůtu upozorní.
Sankce za nesoulad
Český ZoKB předpokládá pokuty:
| Typ subjektu | Maximální pokuta |
|---|---|
| Essential entity | 10 mil. EUR nebo 2 % celosvětového obratu (vyšší z hodnot) |
| Important entity | 7 mil. EUR nebo 1,4 % celosvětového obratu |
NÚKIB může uložit i dočasný zákaz výkonu manažerské funkce statutárním orgánem (čl. 32).
Co tedy musí firma reálně dělat
V kostce:
- Identifikovat aktiva a rizika → Aktiva, Rizika
- Implementovat opatření → Opatření
- Mít zdokumentované politiky → Dokumenty
- Statutár schvaluje klíčové dokumenty → Schválení vedením
- Hlásit incidenty NÚKIB ve lhůtách → Incidenty
- Hodnotit dodavatele → Dodavatelé
- Školit zaměstnance → Školení
- Plánovat kontinuitu a testovat backup → Kontinuita
- Vést auditní stopu → Auditní log
- Demonstrovat soulad → Compliance matice
Detailní mapování modulů na požadavky: Jak vám pomůžeme.
Pokud nevíte, jestli NIS2 platí pro vás
Pokračujte na Pro koho NIS2 platí.