Na webináři s Romanem Vontorem z Premium Systems jsme v další CyberEdu Konzultační hodině otevřeli téma, o kterém se „příliš nemluví“ – NIS2 a digitální služby, tedy prováděcí nařízení Komise (EU) 2024/2690, které doplňuje NIS2 a nový Zákon o kybernetické bezpečnosti pro jedenáct konkrétních typů poskytovatelů digitálních služeb. Roman Vontor je systémový analytik a auditor, který nařízení se svým týmem prošel řádek po řádku – všech 378 dílčích požadavků. Sepsali jsme si z toho přehledné poznámky, tematicky přeorganizované tak, aby se v nich dalo rychle najít to, co je pro vás relevantní. Nebo si celý záznam můžete pustit:

Co to vlastně je (a co to NEmění)

Nařízení 2024/2690 cílí na poskytovatele digitálních služeb vyjmenované v § 18 zákona č. 264/2025 Sb., o kybernetické bezpečnosti – jde o 11 služeb z odvětví 16 (digitální infrastruktura a služby), jak je definuje vyhláška č. 408/2025 Sb. Zbylých 7 služeb z tohoto odvětví se nadále řídí standardně vyhláškami č. 409 a 410/2025 Sb.

Zajímavost na okraj: tři z těch 11 služeb – online tržiště, internetový vyhledávač a platforma pro sociální sítě – existují výhradně v nižším režimu, bez ohledu na velikost firmy. Přesto musí plnit nařízení, které je svým rozsahem mnohem blíž vyššímu režimu.

Nařízení mění jen dvě věci:

  1. jaká bezpečnostní opatření musíte zavést a
  2. co a v jakých lhůtách musíte hlásit jako incident.

Vše ostatní – lhůty pro posouzení změn, rozsah řízení kybernetické bezpečnosti, požadavky na dodavatele, součinnost s úřadem i sankce – se řídí českým zákonem stejně jako u jakékoli jiné regulované služby.

Pozor: platí to přesně obráceně, než si spousta firem myslí. Poskytovatelé digitálních služeb se NEřídí jen nařízením EU – český zákon je pro ně základem, nařízení je jen výjimka pro tyto dvě oblasti.

Jak zjistit, jestli se vás nařízení pro digitální služby týká

Roman doporučuje striktní pořadí kroků. Řada firem ho podle něj obchází a rovnou řeší „musím, nebo nemusím“, aniž by měla vyřešený první krok:

  1. Samoidentifikace – poskytuji některou ze služeb ze seznamu ve vyhlášce 408, odvětví 16?
  2. Podmínka významnosti – splňuji kritéria velikosti/významu pro danou službu?
  3. Určení režimu – nižší, nebo vyšší?

Důležitý detail: samoidentifikace není jednorázová záležitost. Při každé změně ji musíte znovu posoudit a na nahlášení změny máte 60 dní.

Past, o které se podle Romana málo mluví: § 12 odst. 4 zákona říká, že primární aktiva, která jste ještě neposoudili, a podpůrná aktiva, která jste ještě neurčili, jsou automaticky součástí rozsahu řízení kybernetické bezpečnosti. Odkládáním analýzy si tedy rozsah nezmenšíte – naopak máte v rozsahu úplně všechno. Čím dřív samoidentifikaci a analýzu uděláte, tím dřív můžete některé věci z rozsahu oprávněně vyloučit.

NIS2 digitální služby – přehled kdo spadá pod nařízení 2024/2690Spadáte, nebo nespadáte? Přehled podle jednotlivých služeb

Definice jsou exaktní a nezáleží na tom, jak službu pojmenujete ve svém ceníku.

Přehled podle jednotlivých kategorií:

  • Cloud computing – rozhoduje skutečná definice, ne obchodní název; prostý pronájem serveru nebo webhosting sám o sobě nestačí.
  • Datacentrum – komerční poskytování prostoru třetím stranám ano; provoz vlastní serverovny (i v rámci holdingu) ne. Pokud datacentrum provozujete jako součást vlastní cloudové služby, počítá se jen jednou (jako cloud).
  • Registr domény nejvyšší úrovně – patří pod nařízení (u nás fakticky CZ.NIC). Nejčastěji se plete se správou domény gov.cz – ta je doménou druhé úrovně a pod nařízení nespadá.
  • Systém překladu doménových jmen (DNS resolvery) – patří pod nařízení. Druhá častá záměna: běžná registrace a správa doménových jmen (prodej domén) už ne.
  • CDN – komerční zrychlení obsahu pro třetí strany ano; vlastní interní řešení ne.
  • Řízená (bezpečnostní) služba – outsourcovaná IT podpora nebo bezpečnostní služba pro klienty ano; služba jen pro vlastní potřebu nebo prodej softwarové licence ne.
  • Online tržiště – platformy propojující prodejce a zákazníky typu Aukro, Allegro, Amazon; běžný e-shop na vlastní platformě ne (nejčastější falešný poplach).
  • Internetový vyhledávač – typicky Seznam.cz; vyhledávací pole na vlastním webu vyhledávačem není.
  • Platforma pro sociální sítě – veřejné sociální platformy; interní firemní intranet se jako sociální síť nebere.
  • Poskytovatel služby vytvářející důvěru – jen státem uznávané certifikáty/podpisy (např. Česká pošta); interní firemní certifikační autorita pro přístupy do systémů do toho nespadá.

Tři nejčastější omyly

  1. „Máme e-shop, tak jsme online tržiště.“ Ve většině případů ne – rozhoduje, jestli jen prodáváte vlastní zboží, nebo propojujete jiné prodejce se zákazníky.
  2. „Řídíme se jen tím evropským nařízením, český zákon nás nezajímá.“ Přesný opak pravdy – nařízení je jen dílčí výjimka, český zákon platí jako základ.
  3. Zkratky „MSP“ a „MSSP“ zákon vůbec nezná. Pro komunikaci s NÚKIB i interně doporučujeme držet se pojmů přímo z legislativy.

Čtvrtý rozměr navíc: autenticita

Nařízení kromě klasické trojice důvěrnost, integrita, dostupnost hodnotí ještě čtvrtý rozměr: autenticitu, tedy jistotu, že data pocházejí od toho, od koho mají.

Podvržený e‑mail nebo pozměněný log může být samostatným důvodem k nahlášení významného incidentu, i kdyby k žádnému úniku dat ani výpadku nedošlo.

Kdo eviduje aktiva ve třístupňové logice (důvěrnost/integrita/dostupnost), potřebuje přidat čtvrtý sloupec (MoyaKybeon má hodnocení autenticity už zabudované).

Detaily, které podle Romana bolí nejvíc

  • Nařízení má 378 dílčích požadavků v 49 skupinách – oproti 131 požadavkům v české vyhlášce č. 410/2025 Sb. pro nižší režim je podstatně podrobnější.
  • Shodu s vyhláškou 410 má jen 104 z 378 požadavků nařízení (necelých 28 %). Nejhůř je na tom dodavatelský řetězec (jen 4 % požadavků má protějšek) a kryptografie (6 %); naopak kybernetická hygiena a školení se s vyhláškou potkávají ze 71 %.
  • Nařízení nezná pojem „významný dodavatel“ – na rozdíl od české vyhlášky platí požadavky pro všechny přímé dodavatele, ne jen ty klíčové.
  • Služba vytvářející důvěru je výjimka z výjimky: bezpečnostní opatření zavádí podle nařízení, ale ohlašování incidentu se řídí podle obecné české úpravy, ne podle kritérií nařízení – a doplňující oznámení musí stihnout do 24 hodin místo běžných 72.
  • U cloudových služeb se za významný incident počítá už celková nedostupnost nad 30 minut, nebo výrazné omezení funkčnosti nad hodinu (pro víc než 5 % uživatelů v EU, nebo milion uživatelů – podle toho, které číslo je nižší).

Nejdůležitější korekce: „přiměřenost“ neznamená, že si můžete cokoliv odškrtnout

Tohle bod webu i podpůrné materiály často zjednodušují – a Roman ho označil za nejdůležitější upřesnění celé přednášky. Přiměřenost podle nařízení má dvě různé roviny a nesmí se plést dohromady:

  • Obecná přiměřenost (čl. 2 odst. 2, první pododstavec) – ovlivňuje JAK požadavek splníte (podle expozice rizikům, velikosti firmy, pravděpodobnosti a závažnosti incidentů). Platí na všechny požadavky.
  • Zdokumentované nepoužití (třetí pododstavec) – ovlivňuje ZDA požadavek vůbec musíte plnit. Platí ale jen tam, kde příloha používá podmíněnou formulaci („v případě potřeby“, „v příslušných případech“, „v proveditelném rozsahu“) – a to je jen asi 58 z 378 požadavků (necelých 15 %). Zbylých 85 % je bezpodmínečných.

Jinými slovy: na rozdíl od vyhlášky 409, která umožňuje širší odchýlení na základě vlastního řízení rizik, vám nařízení obecné právo požadavek s odůvodněním vynechat nedává – jen u té menšiny bodů, kde to sama příloha výslovně připouští.

Co platí stejně, ať už spadáte, nebo ne

  • Lhůty podle §6 a §11 po provedených změnách.
  • Rozsah řízení kybernetické bezpečnosti – primární a podpůrná aktiva, evidence, pravidelný přezkum.
  • Bezpečnostní požadavky na dodavatele a jejich promítnutí do nových i stávajících smluv.
  • Součinnost s úřadem, informační povinnosti vůči uživatelům, sankce za přestupky.

Souběh s jinou regulovanou službou? Platí přísnější pravidlo

Pokud firma poskytuje digitální službu a zároveň nějakou jinou regulovanou službu (typické třeba u výrobních podniků, které vedle výroby nabízejí zákazníkům i cloudový prostor pro výměnu dat), oba rámce platí souběžně. Pro společná aktiva se vždy použije přísnější sada opatření.

Tip na závěr

Pokud si nejste jistí, jestli se vás nařízení týká, můžete si od NÚKIB vyžádat písemné stanovisko (regulace@nukib.gov.cz) – zdarma získáte doložitelnou odpověď, o kterou se můžete opřít (Úřad k tomu ale dodává, že nepodává závazný výklad k předpisům, jejichž gestorem není). NÚKIB navíc už sám aktivně prochází veřejné rejstříky a firmy s podezřením na regulovanou službu oslovuje – lepší mít samoidentifikaci hotovou dřív, než přijde dopis. Kdo pod nařízení spadá, má na zavedení opatření i hlášení incidentů lhůtu jeden rok od doručení rozhodnutí o registraci regulované služby.