NIS2 a nizozemský zákon o kybernetické bezpečnosti: rozsah, povinnosti a lhůty

Nizozemský zákon o kybernetické bezpečnosti ( Cyberbeveiligingswet , Cbw), který provádí směrnici NIS2, vstoupil v platnost 15. srpna 2026. Vztahuje se na střední a velké organizace v osmnácti určených odvětvích a na řadu klíčových poskytovatelů bez ohledu na jejich velikost; vláda odhaduje, že se vztahuje na přibližně 8 000 organizací v Nizozemsku, z nichž mnohé dříve nepodléhaly žádné regulaci kybernetické bezpečnosti.

Jeho jádrem jsou tři povinnosti. Organizace v rámci působnosti musí přijmout vhodná a přiměřená opatření k řízení rizik pro svou síť a informační systémy, včetně svého dodavatelského řetězce (povinnost péče, zorgplicht ). Musí nahlásit významný incident ve třech krocích: včasné varování do 24 hodin, oznámení do 72 hodin a závěrečná zpráva do jednoho měsíce. A musí se zaregistrovat u Národního centra kybernetické bezpečnosti (NCSC).

Pro mnoho představenstev je klíčovou změnou to, kde leží odpovědnost. Podle článku 20 směrnice musí vedení schvalovat opatření pro řízení rizik, dohlížet na jejich implementaci a absolvovat školení a může nést odpovědnost, pokud tyto povinnosti nejsou splněny. Tuto odpovědnost nelze delegovat na IT oddělení ani na externího poskytovatele.

Co je NIS2?

NIS2 je směrnice (EU) 2022/2555, druhá evropská směrnice o bezpečnosti sítí a informací. Nahradila první směrnici (NIS1) od 18. října 2024 a přináší mnohem širší oblast působnosti a přísnější dohled a vymáhání.

Zatímco NIS1 rozlišoval mezi provozovateli základních služeb a poskytovateli digitálních služeb, NIS2 rozlišuje mezi základními subjekty ( essentiële entiteiten ) a důležitými subjekty ( belangrijke entiteiten ). Toto rozlišení určuje, jak intenzivní je dohled a jak vysoké mohou být pokuty.

Které organizace spadají pod NIS2?

NIS2 se vztahuje na organizace působící v osmnácti určených odvětvích, které jsou alespoň středně velké, a na některé poskytovatele bez ohledu na jejich velikost. To si musíte posoudit sami, žádný nadřízený vám to neřekne.

Které sektory jsou zahrnuty?

Osmnáct sektorů je rozděleno na sektory s vysokou kritickou hodnotou (příloha I směrnice) a ostatní kritické sektory (příloha II).

• Sektory s vysokou kritickou hodnotou: energetika, doprava, bankovnictví, infrastruktura finančních trhů, zdravotnictví, pitná voda, odpadní vody, digitální infrastruktura, správa IKT služeb pro firemní uživatele, veřejná správa a vesmír.
• Další kritická odvětví: poštovní a kurýrní služby, nakládání s odpady, chemikálie, potravinářství, výroba, poskytovatelé digitálních služeb a výzkumné organizace.

V rámci každého odvětví směrnice specifikuje, na které typy organizací se vztahuje. Například ve výrobě se týká výrobců zdravotnických prostředků, počítačů a elektroniky, elektrických zařízení, strojů a vozidel, nikoli všech výrobců.

Jaká je prahová hodnota velikosti?

Organizace v určeném odvětví spadá pod NIS2, pokud je alespoň středním podnikem podle doporučení 2003/361/ES. V praxi to znamená 50 a více zaměstnanců nebo roční obrat a roční bilanční sumu, které obojí přesahují 10 milionů EUR.

Podle evropské definice musí být v zásadě zahrnuty počty zaměstnanců a finanční údaje partnerských a propojených podniků. Dceřiná společnost s 30 zaměstnanci proto může spadat do působnosti, pokud patří do větší skupiny.

Některé organizace spadají do působnosti bez ohledu na velikost, protože jejich služby jsou považovány za obzvláště důležité. Patří mezi ně:

• poskytovatelé veřejných sítí a služeb elektronických komunikací;
• poskytovatelé důvěryhodných služeb;
• poskytovatelé služeb registrace doménových jmen, registry doménových jmen nejvyšší úrovně a poskytovatelé služeb DNS;
• orgány veřejné správy, mezi které v Nizozemsku patří ministerstva, provincie, obce a jejich společné ujednání.

Zahrnuje přibližně 8 000 organizací, což je mnohem více než v rámci předchozího zákona o bezpečnosti sítí a informačních systémů ( Wet beveiliging netwerk- en informatiesystemen , Wbni). Mohou být postiženi středně velcí výrobci, producenti potravin, výzkumné instituce a poskytovatelé digitálních služeb. Vláda nabízí podrobný nástroj pro sebehodnocení prostřednictvím webových stránek NCTV a NCSC.

Co vyžaduje povinnost péče?

Zásadní a důležité subjekty musí přijmout vhodná a přiměřená technická, provozní a organizační opatření k řízení rizik pro své sítě a informační systémy. Tato opatření musí zahrnovat alespoň témata uvedená v článku 21 směrnice:

• analýza rizik a politika informační bezpečnosti;
• řešení incidentů;
• kontinuita podnikání, správa záloh a obnova po havárii;
• bezpečnost dodavatelského řetězce;
• bezpečnost při pořizování, vývoji a údržbě systémů, včetně řešení zranitelností;
• kybernetická hygiena a školení zaměstnanců;
• vícefaktorové ověřování a zabezpečená komunikace;
• kryptografie a případně šifrování;
• zabezpečení lidských zdrojů, řízení přístupu a správa aktiv;
• pravidelné hodnocení účinnosti opatření.

Opatření musí být úměrná velikosti organizace a jejím skutečným rizikům, takže menší důležitý subjekt nepotřebuje stejná opatření jako velký zásadní subjekt. Přesto musíte být schopni nadřízenému ukázat, která rizika jste identifikovali, jaká opatření jste přijali a proč jsou vhodná.

Jak funguje bezpečnost dodavatelského řetězce v praxi?

Posuzujete kybernetickou bezpečnost svých přímých dodavatelů a poskytovatelů služeb a uzavíráte s nimi dohody. Mnoho incidentů začíná u dodavatele, nikoli v samotné organizaci.

V praxi to znamená revizi vašich smluv. Užitečné doložky zahrnují minimální bezpečnostní požadavky, povinnost dodavatele neprodleně vám hlásit incidenty, práva na audit, subdodávky a spolupráci během incidentu.

Co musíte udělat po incidentu?

Po závažném incidentu musíte podat hlášení ve třech fázích: včasné varování do 24 hodin, oznámení do 72 hodin a závěrečná zpráva do jednoho měsíce. Lhůty běží od okamžiku, kdy se o incidentu dozvíte.

Incident je významný, pokud způsobil nebo může způsobit vážné narušení provozu nebo finanční ztrátu organizace, nebo značnou materiální či nemateriální škodu jiným osobám. Podle článku 23 směrnice:

• do 24 hodin: včasné varování příslušnému týmu pro reakci na počítačové bezpečnostní incidenty (CSIRT) nebo orgánu s uvedením, zda incident mohl být způsoben nezákonným nebo zlomyslným jednáním a zda může mít přeshraniční dopad;
• do 72 hodin: oznámení, které aktualizuje včasné varování a poskytuje počáteční posouzení závažnosti a dopadu a případně i indikátory ohrožení;
• nejpozději do jednoho měsíce: závěrečnou zprávu popisující incident, jeho pravděpodobnou příčinu, přijatá opatření a jakékoli přeshraniční dopady.

Předem si stanovte postup: kdo rozhoduje o tom, zda je incident oznamovací povinný, kdo oznamuje a jak je informována rada. Pokud se jedná o osobní údaje, může být podle článku 33 GDPR do 72 hodin vyžadováno samostatné oznámení nizozemskému Úřadu pro ochranu osobních údajů (Autoriteit Persoonsgegevens).

Jakou odpovědnost má představenstvo?

Podle článku 20 směrnice musí řídící orgán schvalovat opatření pro řízení kybernetických rizik, dohlížet na jejich provádění a může nést odpovědnost za porušení. Jeho členové musí také absolvovat školení.

Zaznamenávejte zapojení představenstva způsobem, který lze prokázat: provedená školení, rozhodnutí představenstva, schválené zásady, posouzení rizik a dohled nad jejich implementací. Pro ředitele nizozemských společností je to také důležité pro standard řádného plnění povinností podle článku 2:9 nizozemského občanského zákoníku (BW).

Jak Nizozemsko zavedlo NIS2?

Prostřednictvím zákona o kybernetické bezpečnosti a zákona o odolnosti kritických entit ( Wet weerbaarheid kritieke entiteiten , Wwke), které jsou v platnosti od 15. srpna 2026. Lhůta pro provedení do 17. října 2024 nebyla dodržena.

Senát ( Eerste Kamer ) schválil oba zákony dne 7. července 2026. O den později, 8. července 2026, se Evropská komise rozhodla předložit Soudnímu dvoru Evropské unie případ Nizozemska spolu s Irskem, Španělskem a Francií za to, že neoznámily prováděcí opatření.

WWKE implementuje směrnici CER (směrnice (EU) 2022/2557) o fyzické odolnosti kritické infrastruktury; přibližně 500 organizací je příslušným ministrem formálně označeno za kritické subjekty. Vstupem CBW v platnost pozbyla platnosti WBNI.

Jak se zaregistrujete u NCSC?

Zásadní a důležité subjekty se musí zaregistrovat v národním registru subjektů prostřednictvím portálu Mijn.NCSC.nl. Registrace je povinná od 15. srpna 2026 a změny musí být nahlášeny do dvou týdnů.

Přístup vyžaduje eHerkenning na úrovni 3 nebo vyšší; subjekty veřejného sektoru používají SSOnRijk. Změna, jako je fúze nebo nové rozsahy IP adres, musí být nahlášena do dvou týdnů a dozorčí orgán může vynutit registraci pokutou nebo příkazem s úhradou penále. Po registraci můžete využívat služeb vašeho CSIRT, včetně podpory během incidentu.

Jak je organizován dohled a vymáhání?

Základní subjekty podléhají proaktivnímu dohledu; důležité subjekty reaktivnímu dohledu. Obě kategorie musí splňovat stejné základní povinnosti.

V proaktivním dohledu může supervizor provádět kontrolu z vlastní iniciativy, například vyžádáním informací nebo návštěvou místa. V reaktivním dohledu jedná v reakci na incident, stížnost nebo jiný konkrétní signál.

Nizozemský úřad pro digitální infrastrukturu ( Rijksinspectie Digitale Infrastructuur , RDI) dohlíží na devět odvětví: energetiku, digitální infrastrukturu, správu služeb IKT, veřejnou správu, vesmír, poštovní a kurýrní služby, výrobu, poskytovatele digitálních služeb a výzkum. Pro ostatní odvětví jsou určeni další dozorčí orgány. Sada nástrojů zahrnuje bezpečnostní audity, závazné pokyny, příkazy s možností sankce, zveřejnění porušení a pokuty; u nezbytných subjektů také pozastavení autorizace nebo dočasný zákaz činnosti člena představenstva.

Podle článku 34 směrnice činí maximální pokuta pro zásadní subjekty nejméně 10 milionů eur nebo 2 % z celkového celosvětového ročního obratu, podle toho, která částka je vyšší. Pro důležité subjekty činí nejméně 7 milionů eur nebo 1.4 %. Skutečná pokuta závisí na povaze, závažnosti a délce trvání porušení a na míře zavinění.

Co byste jako organizace měli v rámci rozsahu ověřit?

Začněte sebehodnocením a odtud postupujte k opatřením, procesu oznamování a zapojení představenstva. Povinnosti platí od 15. srpna 2026 bez přechodného období.

• Zjistěte, zda působíte v určeném odvětví a splňujete prahovou hodnotu velikosti, s přihlédnutím k společnostem ve skupině.
• Určete, zda jste nezbytný nebo důležitý subjekt a který nadřízený je kompetentní.
• Zaregistrujte se u NCSC prostřednictvím Mijn.NCSC.nl a nahlaste změny do dvou týdnů.
• Otestujte svá opatření s ohledem na deset oblastí uvedených v článku 21 směrnice.
• Zaznamenejte, kdo oznamuje a jak jsou dodržovány 24hodinové, 72hodinové a jednoměsíční lhůty.
• Dokumentovat rozhodnutí rady, školení a dohled.

Co byste měli jako dodavatel organizace v rozsahu působnosti zkontrolovat?

I když vás NIS2 nekryje, vaši zákazníci vám jeho požadavky často přenesou smlouvou. Zkontrolujte si, co podepisujete.

• Jaké minimální bezpečnostní požadavky smlouva ukládá a můžete je splnit?
• Do kolika hodin musíte zákazníkovi nahlásit incident?
• Jak daleko sahají auditorská práva zákazníka a kdo audit hradí?
• Můžete uzavírat subdodávky a za jakých podmínek?
• Je vaše odpovědnost za bezpečnostní incident omezena?

Co pro vás můžeme udělat s NIS2 a zákonem o kybernetické bezpečnosti?

Naši IT právníci pomáhají firmám, ředitelům a pracovníkům pro dodržování předpisů se zákonem o kybernetické bezpečnosti.

• Společně s vámi určíme, zda vaše organizace spadá do rozsahu působnosti a v jaké kategorii.
• Prověříme vaši dokumentaci o povinnosti péče podle článku 21 směrnice.
• Vypracováváme nebo kontrolujeme bezpečnostní, oznamovací a auditní doložky ve smlouvách s dodavateli a zákazníky.
• Nastavili jsme postup pro oznamování incidentů, včetně propojení s oznamováním úniku dat dle GDPR.
• Radíme představenstvu ohledně jeho odpovědnosti a dokumentování rozhodnutí a školení.

Shrnutí

• Nizozemský zákon o kybernetické bezpečnosti zavádí NIS2 a platí od 15. srpna 2026 pro přibližně 8 000 organizací v osmnácti odvětvích.
• Zpravidla se to týká středních a velkých organizací v těchto odvětvích; někteří poskytovatelé jsou zahrnuti bez ohledu na jejich velikost. To musíte posoudit sami.
• Základními povinnostmi jsou povinnost péče, postupné oznamování závažných incidentů (24 hodin, 72 hodin, jeden měsíc) a registrace u NCSC.
• Představenstvo musí schválit a dohlížet na opatření, absolvovat školení a může nést odpovědnost.
• Pokuty mohou u nezbytných subjektů dosáhnout nejméně 10 milionů eur nebo 2 % celosvětového obratu a u důležitých subjektů nejméně 7 milionů eur nebo 1.4 %.

Často kladené otázky