Proč znát svou kategorii ještě před příchodem auditorů
Směrnice NIS2 výrazně rozšiřuje okruh organizací, které musí prokazovat kybernetickou odolnost. Už nejde jen o kritickou infrastrukturu a banky – přibývají výrobní podniky střední velikosti, poskytovatelé digitálních služeb i menší firmy, pro které bývala regulace okrajovou záležitostí.
Rychlý odhad: podle analýz NÚKIBu přibude v ČR 6-12 tisíc nově regulovaných subjektů. Většina se o svých povinnostech dozví pozdě – často až ve chvíli, kdy do datové schránky dorazí auditorský dotazník.
Vyplatí se tedy předem zjistit, kam na mapě NIS2 patříte, a včas vyčlenit rozpočet i kapacity.
Dvě kategorie, dva režimy dohledu
Essential = subjekty poskytující klíčovou službu pro chod státu.
Important = organizace, jejichž výpadek má značný, ale ne existenční dopad.
Velikostní kritéria („50+ / 10 / 10“)
NIS2 zavádí univerzální velikostní práh (👥 50+ / 💶 10 mil. € / 🏦 10 mil. €). Pokud působíte v uvedeném sektoru a překročíte alespoň jednu z hodnot, stáváte se regulovanou entitou.
- ≥ 50 zaměstnanců
- ≥ 10 mil. € ročního obratu
- ≥ 10 mil. € bilanční sumy
Detailní vymezení řeší zákon a prováděcí předpisy
Mikro a malé podniky (pod 50 zaměstnanců a pod 10 mil. € obratu) jsou v zásadě vyňaty, ale výjimka neplatí, pokud poskytují službu kritické infrastruktuře.
Příklady z praxe
Specifika pro Českou republiku (navrhovaná/indikativní)
Český transpoziční zákon (květen 2025) přebírá evropské kategorie, ale zpřesňuje lokální prahy v připravovaných vyhláškách NÚKIBu a MMR:
- Energetika: essential už od 10 000 odběrných míst nebo 150 GWh roční dodávky.
- Doprava: essential pro městskou MHD s > 50 vozidly a > 1 mil. cestujících ročně.
- Potravinářství: important od kapacity 30 000 t/rok, bez ohledu na obrat.
- ICT služby: cloud provider s > 100 firemními klienty přechází do režimu important.
Důsledek: Firma, která by v jiné zemi spadala do výjimky, může být v ČR regulovaná.
Jak zjistit svou kategorii – 5 kroků
- Určete odvětví podle hlavní i vedlejší činnosti (NACE kódy).
- Shromážděte data – počet FTE, konsolidovaný obrat, bilanční suma.
- Ověřte národní specifika – sledujte web NÚKIBu, vyhlášky se očekávají ve 3Q 2025.
- Zvažte dodavatelské řetězce – regulovaný zákazník může přenést požadavky i na vás.
- 💡 Tip pro CFO: Sledujte tříleté klouzavé průměry; pokud se blížíte limitům, alokujte rozpočet na compliance včas.
Co dělat v „šedé zóně“
Máte 40 zaměstnanců a 8 mil. € obratu v automotive? Na papíře do NIS2 nespadáte, přesto doporučujeme:
- zavést minimální bezpečnostní standardy (MFA, patch management, školení),
- připravit krizový plán – incident u OEM partnera může spustit dominový efekt,
- začít evidovat aktiva a dodavatele dřív, než to bude povinné,
- sledovat revizi směrnice (2028) – limity se mohou snížit.
Nejčastější mýty o NIS2
Shrnutí – 3 klíčové body
- Kategorie ovlivňuje dohled, ne samotné povinnosti – požadavky na řízení rizik jsou stejné pro všechny.
- Limit 50+ / 10 / 10 je orientační; české vyhlášky jej mohou zpřísnit.
- Dodavatelský řetězec je klíčový – požadavky se smluvně propíšou i na vaše partnery, proto je prověřujte včas.