Ako funguje pôsobnosť NIS2
Rozhodujú tri otázky (smernica (EÚ) 2022/2555, čl. 2–3):
- Odvetvie. Je typ vášho subjektu uvedený v prílohe I (energetika, doprava, bankovníctvo, infraštruktúra finančného trhu, zdravotníctvo, pitná a odpadová voda, digitálna infraštruktúra, riadenie služieb IKT, verejná správa, vesmír) alebo v prílohe II (pošta, odpady, chemikálie, potraviny, výroba zdravotníckych pomôcok, elektroniky, elektrických zariadení, strojov, vozidiel a iných dopravných prostriedkov, digitálni poskytovatelia, výskum)?
- Veľkosť. Ste aspoň stredným podnikom podľa odporúčania 2003/361/ES?
- Výnimky. Niektoré subjekty patria do pôsobnosti bez ohľadu na veľkosť a členské štáty môžu pridať ďalšie.
Prahové hodnoty veľkosti
| Kategória | Zamestnanci | a obrat | alebo bilančná suma | Účinok NIS2 (ak ste v odvetví príloh) |
|---|---|---|---|---|
| Mikro | < 10 | ≤ 2 mil. EUR | ≤ 2 mil. EUR | Mimo, ak nejde o subjekt bez ohľadu na veľkosť |
| Malý | < 50 | ≤ 10 mil. EUR | ≤ 10 mil. EUR | Mimo, ak nejde o subjekt bez ohľadu na veľkosť |
| Stredné | < 250 | ≤ 50 mil. EUR | ≤ 43 mil. EUR | Dôležitý (prílohy I a II) |
| Veľký | Prekračuje stropy pre stredné podniky | Základný (príloha I), dôležitý (príloha II) | ||
Strop počtu zamestnancov platí vždy; pri finančných údajoch stačí zostať pod stropom buď obratu, alebo bilančnej sumy. Firma so 40 zamestnancami, obratom 12 miliónov EUR a bilančnou sumou 8 miliónov EUR je stále malá. Firma so 40 zamestnancami a 12 miliónmi EUR v oboch ukazovateľoch je stredná a patrí do pôsobnosti, ak je jej odvetvie uvedené. Kategória sa mení, až keď sú stropy prekročené v dvoch po sebe nasledujúcich účtovných obdobiach (čl. 4 ods. 2 prílohy).
V pôsobnosti bez ohľadu na veľkosť
- Vždy základné: kvalifikovaní poskytovatelia dôveryhodných služieb, registre TLD a poskytovatelia služieb DNS (čl. 3 ods. 1 písm. b)); subjekty ústrednej vlády (čl. 3 ods. 1 písm. d)); kritické subjekty podľa smernice CER (čl. 3 ods. 1 písm. f)).
- V pôsobnosti pri akejkoľvek veľkosti: poskytovatelia verejných sietí alebo služieb elektronických komunikácií (základné od strednej veľkosti, čl. 3 ods. 1 písm. c)) a nekvalifikovaní poskytovatelia dôveryhodných služieb (čl. 2 ods. 2 písm. a)).
- Určené členským štátom: jediní poskytovatelia základnej služby alebo subjekty, ktorých narušenie by zasiahlo verejnú bezpečnosť, poriadok alebo zdravie, vyvolalo systémové riziko alebo má osobitný význam na celoštátnej či regionálnej úrovni (čl. 2 ods. 2 písm. b)–e)).
- Služby registrácie doménových mien patria pod povinnosti týkajúce sa registračných údajov podľa článku 28 (čl. 2 ods. 4).
Základný, alebo dôležitý: čo sa mení
Obe kategórie musia prijať opatrenia na riadenie rizík podľa článku 21, nechať ich schváliť a dohliadať na ne riadiacim orgánom (čl. 20) a hlásiť významné incidenty (čl. 23). Rozdiel je v dohľade a pokutách. Základné subjekty podliehajú proaktívnemu dohľadu (čl. 32) a pokutám aspoň do 10 miliónov EUR alebo 2 % celosvetového obratu; dôležité subjekty podliehajú dohľadu následnému (čl. 33) s pokutami aspoň do 7 miliónov EUR alebo 1,4 % (čl. 34). Finančné subjekty podľa DORA sa pri rizikách IKT a hlásení incidentov riadia DORA (čl. 4).
Mimo pôsobnosti, ale aj tak dotazovaní
Čl. 21 ods. 2 písm. d) robí subjekty NIS2 zodpovednými za bezpečnosť ich dodávateľského reťazca. Počítajte s bezpečnostnými dotazníkmi, zmluvnými doložkami a právami na audit od zákazníkov v pôsobnosti, najmä ak dodávate IT, softvér, hosting alebo komponenty. Zdokumentované politiky, stav ISO 27001 a proces riešenia incidentov ušetria pri každom dotazníku dni.
Poznámky ku krajinám
- Holandsko: Cyberbeveiligingswet účinný od 15. augusta 2026 (Rijksoverheid); registrácia cez MijnNCSC; oficiálna samokontrola NCSC. Podrobne: Valt mijn organisatie onder de Cbw?
- Taliansko: D.Lgs. 138/2024, účinný od 16. októbra 2024, s ďalšími kategóriami v prílohách III a IV; každoročná registrácia na portáli ACN medzi 1. januárom a 28. februárom. Podrobne: La NIS2 si applica alla mia azienda?
- Belgicko: zákon NIS2 z 26. apríla 2024, účinný od 18. októbra 2024, pod dohľadom CCB; základné subjekty mali prvý termín posúdenia zhody 18. apríla 2026 (cesta CyFun alebo ISO/IEC 27001).
- Nemecko: NIS2UmsuCG (BGBl. 2025 I Nr. 301) účinný od 6. decembra 2025; registrácia na BSI; pozrite FAQ BSI.
Čo sa môže zmeniť
Dňa 20. januára 2026 Komisia navrhla cielené zmeny NIS2, vrátane kategórie „malých podnikov so strednou trhovou kapitalizáciou“ (menej ako 750 zamestnancov a obrat do 150 miliónov EUR alebo bilančná suma do 129 miliónov EUR), ktorých členovia by mohli byť nanajvýš dôležitými subjektmi. K 1. októbru 2026 ide o návrh v legislatívnom procese; kontrola uplatňuje existujúcu smernicu.
Len orientačné, nejde o právne poradenstvo. Vnútroštátne transpozície môžu pridať odvetvia alebo subjekty a o určení a registrácii rozhoduje váš príslušný úrad.