Směrnice o bezpečnosti sítí a informací 2 (také známá jako NIS 2, nebo směrnice 2022/2555) je směrnice Evropské unie. Jejím cílem je sjednocení postupů a posílení informační bezpečnosti mezi členskými státy EU. Zejména posiluje oblasti bezpečnosti dodavatelských řetězců, řízení zranitelností, vzdělávání a informovanosti o kyberbezpečnosti; také rozšiřuje povinnosti na větší počet subjektů. Jedná se o nástupce původní směrnice NIS z roku 2016.

Směrnice vstoupila v platnost v lednu 2023 (společně se souvisejícím nařízením DORA) a členské státy EU byly povinny ji implementovat do 18. října 2024.

Obsah směrnice

Obecná ustanovení, rozsah a regulované subjekty (kapitola 1) Směrnice rozšiřuje odvětví a oblasti působnosti regulovaných subjektů a dělí regulované subjekty na základní a důležité, a to dle jednotného kritéria, které je založeno na jejich velikosti a odvětví ve kterém působí. Všechna regulovaná odvětví jsou definována v přílohách I a II.

Ustanovuje hierarchii odvětvových právních aktů, umožňuje členským státům přijímat i vyšší opatření než požaduje a také vymezuje důležité pojmy.

Koordinované rámce kybernetické bezpečnosti (kapitola 2) Směrnice také členským státům ukládá, aby přijaly národní strategii kybernetické bezpečnosti, která požaduje například, aby měly vymezené strategické cíle, aby měly aktivní CSIRT tým, aby všechny zúčastněné strany spolupracovaly, nebo aby zajistily kyberbezpečnost dodavatelského řetězce ICT služeb. Také je požadováno aby členské státy pravidelně (nejméně po 5 letech) revidovaly své rámce a posílaly aktualizace na agenturu ENISA, která v této oblasti zajišťuje koordinační a poradní roli.

Členské státy jsou také povinny stanovit příslušné orgány (například úřady, jako je NÚKIB) s adekvátními zdroji, postupy a schopností mezinárodní spolupráce. Dále je vyžadováno aby CSIRT týmy zranitelnosti odhalovaly koordinovaně na evropské úrovni v rámci nové Evropské databáze zranitelností, za kterou zodpovídá ENISA.

Spolupráce na Unijní a mezinárodní úrovni (kapitola 3) Vytváří kooperační skupinu, ve které mají být zastoupeny členské státy, Evropská komise i úřad ENISA. Skupina má spolupracovat se sítí národních CSIRT týmů a také s Evropskou službou pro vnější činnost. Účelem kooperační skupiny je sdílení dobrých praktik a zkušeností mezi úřady a koordinovaná spolupráce v záležitostech souvisejících s kyberbezpečností.

Síť CSIRT týmů zajišťuje přeshraniční spolupráci. Zahrnuje CSIRT týmy členských států (př. CSIRT.CZ) i unijní CSIRT-EU.

Skupina EU-CYCLONe je zavedena k přeshraniční koordinaci v případě velkých kybernetických incidentů a krizí. Zároveň je jejím cílem koordinace z hlediska situačního povědomí a předcházení takovým krizím.

ENISA společně s komisí a kooperační skupinou vydává každé dva roky zprávu o stavu kybernetické bezpečnosti v EU.

Opatření k řízení bezpečnostních rizik a oznamovací povinnosti (kapitola 4) Požaduje aby měly základní i důležité subjekty rámce o řízení rizik a aby měly pravidelná školení. Také definuje minimální nutná technická a organizační opatření, která mají základní a důležité subjekty dodržovat a vzít při tom v úvahu známé slabiny. (např. MFA, bezpečnost dodavatelského řetězce, šifrování, zálohování, atp.) A požaduje po členských státech, aby tato opatření vymáhaly a, v případě nesplnění, vyžadovaly nápravná opatření.

Kooperační skupiny mohou společně s úřadem ENISA a Evropskou komisí rozhodnout o přezkoumání rizik některého z kritických ICT systémů, produktů nebo služeb.

Požaduje aby subjekty informovaly příslušné orgány o každém kybernetickém incidentu, který znatelně ovlivňuje provoz jejich služeb. Subjekty musí o tomto incidentu informovat také dotčené klienty. Příslušné orgány musí informovat CSIRT. Také upřesňuje definici incidentu. Udává, že po nahlášení musí CSIRT nebo příslušný orgán vydat do 24 hodin včasné varování, do 72 hodin oznámení incidentu a do 1 měsíce závěrečné hlášení. Pakliže se incident týká i jiných členských států, tak je musí CSIRT nebo příslušný orgán neprodleně informovat. Jednotné kontaktní místo každé tři měsíce posílá shrnutí významných incidentů na úřad ENISA.

Ustanovuje, že základní a důležité subjekty mohou vyžadovat evropské kyberbezpečnostní certifikace, nebo konkrétní technické standarty.

Pravomoc a registrace (kapitola 5) Definuje do které jurisdikce které subjekty patří včetně pravidel a postupů pro dané subjekty. Také zavádí registr subjektů, za který zodpovídá ENISA, a ve kterém musí být registrovány subjekty jako: provozovatelé DNS, TLD registry, registrátoři TLD, poskytovatelé cloud computing služeb, poskytovatelé datových center, řízených bezpečnostních služeb, online tržišť, internetových vyhledávačů, nebo sociálních sítí.

Ujednání o sdílení informací o kybernetické bezpečnosti (kapitola 6) Členské státy jsou povinny zajistit, že subjekty, na které se směrnice vztahuje, jsou na dobrovolné bázi schopny sdílení informací o hrozbách mezi sebou a také s CSIRTem. Sdílení informací se děje v rámci dohod o sdílení informací.

Dohled a vymáhání (kapitola 7) Ukládá aby příslušné státní orgány dohlížely a vymáhaly dodržování požadavků této směrnice. A definuje požadavky a odpovědnost z hlediska základních a důležitých subjektů, na které mají vládní instituce dohlížet.

Stanovuje maximální výše správních pokut za nedodržování dané regulace na minimálně 10 000 000 euro, nebo maximálně 2 % celosvětového ročního obratu pro základní subjekty a 7 000 000 euro, nebo 1,4 % celosvětového ročního obratu pro důležité subjekty.

Propojuje NIS2 s GDPR a definuje vymáhání sankcí v případě úniku osobních dat.

Také ukládá členským státům, aby měly zavedeny další sankce za porušení pravidel na národní úrovni a aby byly schopny spolupracovat mezi sebou z hlediska jejich vymáhání i na přeshraniční úrovni.

Z hlediska Evropské komise (kapitoly 8 a 9) Dává Evropské komisi pravomoci, po konzultaci s odborným výborem, přijímat akty v přenesené pravomoci po dobu 5 let od 16. ledna 2023. A také upravuje další evropské regulace k zajištění kompatibility NIS2 se zbytkem evropské legislativy.

Stav implementace

Evropská unie Do stanoveného data (18. října 2024) zvládly směrnici implementovat pouze 4 z 27 členských států EU, a to Belgie, Chorvatsko, Itálie a Litva. 28. listopadu 2024 zahájila Evropská komise řízení proti 23 členským státům (včetně Česka), které nezvládly včas schválit své transpoziční zákony.

K březnu 2026 ji již transponovaly všechny členské státy kromě Francie, Irska, Lucemburska, Nizozemska a Španělska.

Česko Česko implementuje směrnici NIS2 pomocí zákona číslo 264/2025 Sb., známého jako nový zákon o kybernetické bezpečnosti (nZKB), a pěti prováděcích vyhlášek. Zákon i vyhlášky nabyly účinnosti 1. listopadu 2025. Tento zákon rozšiřuje původní zákon o kybernetické bezpečnosti (transpozici směrnice NIS z roku 2016) aby splňoval požadavky nové směrnice. A to zejména rozšíření regulovaných subjektů a rozdělení na základní a důležité subjekty. (v české transpozici jsou popsány jako režimy vyšších a nižších povinností)

Specifikem české transpozice je, že vláda může na doporučení NÚKIBu, přímo vyřadit dodavatele infrastruktury, která je pro stát strategicky důležitá.

Země EFTA (Island, Lichtenštejnsko, Norsko a Švýcarsko) Komise EFTA se připravuje k přijetí směrnice NIS2 do svého práva. Ze zemí EFTA směrnici k březnu 2026 implementovalo pouze Lichtenštejnsko. K implementaci se připravuje také Norsko, úpravy tamní legislativy mají být platné od 1. října 2026.

Odkazy

Reference

Literatura

Externí odkazy

Vyhláška o regulovaných službách (408/2025 Sb.) Vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností (409/2025 Sb.) Vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu nižších povinností (410/2025 Sb.) Vyhláška o bezpečnostních úrovních informačních systémů veřejné správy (411/2025 Sb.) Vyhláška o bezpečnostních pravidlech pro orgány veřejné správy využívající služby poskytovatelů cloud computingu (412/2025 Sb.)

Kategorie:Směrnice Evropské unie Kategorie:Informační bezpečnost Kategorie:Vzniklo 2022 Kategorie:Evropská unie v roce 2022