Jak funguje působnost NIS2
Rozhodují tři otázky (směrnice (EU) 2022/2555, čl. 2–3):
- Odvětví. Je typ vašeho subjektu uveden v příloze I (energetika, doprava, bankovnictví, infrastruktura finančního trhu, zdravotnictví, pitná a odpadní voda, digitální infrastruktura, řízení služeb ICT, veřejná správa, vesmír) nebo v příloze II (pošta, odpady, chemikálie, potraviny, výroba zdravotnických prostředků, elektroniky, elektrických zařízení, strojů, vozidel a jiných dopravních prostředků, digitální poskytovatelé, výzkum)?
- Velikost. Jste alespoň středním podnikem podle doporučení 2003/361/ES?
- Výjimky. Některé subjekty spadají do působnosti bez ohledu na velikost a členské státy mohou přidat další.
Prahové hodnoty velikosti
| Kategorie | Zaměstnanci | a obrat | nebo bilanční suma | Účinek NIS2 (pokud jste v odvětví příloh) |
|---|---|---|---|---|
| Mikro | < 10 | ≤ 2 mil. EUR | ≤ 2 mil. EUR | Mimo, pokud nejde o subjekt bez ohledu na velikost |
| Malý | < 50 | ≤ 10 mil. EUR | ≤ 10 mil. EUR | Mimo, pokud nejde o subjekt bez ohledu na velikost |
| Střední | < 250 | ≤ 50 mil. EUR | ≤ 43 mil. EUR | Důležitý (přílohy I a II) |
| Velký | Překračuje stropy pro střední podniky | Základní (příloha I), důležitý (příloha II) | ||
Strop počtu zaměstnanců platí vždy; u finančních údajů stačí zůstat pod stropem buď obratu, nebo bilanční sumy. Firma se 40 zaměstnanci, obratem 12 milionů EUR a bilanční sumou 8 milionů EUR je stále malá. Firma se 40 zaměstnanci a 12 miliony EUR v obou ukazatelích je střední a spadá do působnosti, pokud je její odvětví uvedeno. Kategorie se mění, až když jsou stropy překročeny ve dvou po sobě jdoucích účetních obdobích (čl. 4 odst. 2 přílohy).
V působnosti bez ohledu na velikost
- Vždy základní: kvalifikovaní poskytovatelé služeb vytvářejících důvěru, registry TLD a poskytovatelé služeb DNS (čl. 3 odst. 1 písm. b)); subjekty ústřední vlády (čl. 3 odst. 1 písm. d)); kritické subjekty podle směrnice CER (čl. 3 odst. 1 písm. f)).
- V působnosti při jakékoli velikosti: poskytovatelé veřejných sítí nebo služeb elektronických komunikací (základní od střední velikosti, čl. 3 odst. 1 písm. c)) a nekvalifikovaní poskytovatelé služeb vytvářejících důvěru (čl. 2 odst. 2 písm. a)).
- Určené členským státem: jediní poskytovatelé základní služby nebo subjekty, jejichž narušení by zasáhlo veřejnou bezpečnost, pořádek nebo zdraví, vyvolalo systémové riziko nebo má zvláštní význam na celostátní či regionální úrovni (čl. 2 odst. 2 písm. b)–e)).
- Služby registrace doménových jmen spadají pod povinnosti týkající se registračních údajů podle článku 28 (čl. 2 odst. 4).
Základní, nebo důležitý: co se mění
Obě kategorie musí přijmout opatření k řízení rizik podle článku 21, nechat je schválit a dohlížet řídícím orgánem (čl. 20) a hlásit významné incidenty (čl. 23). Rozdíl je v dozoru a pokutách. Základní subjekty podléhají proaktivnímu dozoru (čl. 32) a pokutám alespoň do 10 milionů EUR nebo 2 % celosvětového obratu; důležité subjekty podléhají dozoru následnému (čl. 33) s pokutami alespoň do 7 milionů EUR nebo 1,4 % (čl. 34). Finanční subjekty podle DORA se u rizik ICT a hlášení incidentů řídí DORA (čl. 4).
Mimo působnost, ale přesto dotazováni
Čl. 21 odst. 2 písm. d) činí subjekty NIS2 odpovědnými za bezpečnost jejich dodavatelského řetězce. Počítejte s bezpečnostními dotazníky, smluvními doložkami a právy na audit od zákazníků v působnosti, zejména pokud dodáváte IT, software, hosting nebo komponenty. Zdokumentované politiky, stav ISO 27001 a proces řešení incidentů ušetří u každého dotazníku dny.
Poznámky k zemím
- Nizozemsko: Cyberbeveiligingswet účinný od 15. srpna 2026 (Rijksoverheid); registrace přes MijnNCSC; oficiální samokontrola NCSC. Podrobně: Valt mijn organisatie onder de Cbw?
- Itálie: D.Lgs. 138/2024, účinný od 16. října 2024, s dalšími kategoriemi v přílohách III a IV; každoroční registrace na portálu ACN mezi 1. lednem a 28. únorem. Podrobně: La NIS2 si applica alla mia azienda?
- Belgie: zákon NIS2 z 26. dubna 2024, účinný od 18. října 2024, pod dozorem CCB; základní subjekty měly první termín posouzení shody 18. dubna 2026 (cesta CyFun nebo ISO/IEC 27001).
- Německo: NIS2UmsuCG (BGBl. 2025 I Nr. 301) účinný od 6. prosince 2025; registrace u BSI; viz FAQ BSI.
Co se může změnit
Dne 20. ledna 2026 Komise navrhla cílené změny NIS2, včetně kategorie „malých podniků se střední tržní kapitalizací“ (méně než 750 zaměstnanců a obrat do 150 milionů EUR nebo bilanční suma do 129 milionů EUR), jejichž členové by mohli být nanejvýš důležitými subjekty. K 1. říjnu 2026 jde o návrh v legislativním procesu; kontrola uplatňuje stávající směrnici.
Pouze orientační, nejde o právní poradenství. Vnitrostátní transpozice mohou přidat odvětví nebo subjekty a o určení a registraci rozhoduje váš příslušný úřad.