Co NIS2 vlastně je
NIS2 je evropská směrnice o kybernetické bezpečnosti. Sama o sobě žádné firmě nic nepřikazuje. Směrnice říká členským státům, co mají dostat do vlastních zákonů, a v Česku ji od 1. listopadu 2025 provádí zákon č. 264/2025 Sb., o kybernetické bezpečnosti. Kdo chce vědět, co přesně musí, dívá se tedy do českého zákona, ne do textu směrnice.
A ty pokuty z novinových titulků? Zákon je umí uložit jen povinným organizacím – v přísnějším režimu až 250 milionů korun nebo 2 % celosvětového obratu, v mírnějším až 175 milionů. Než začnete počítat rizika, vyplatí se zjistit, jestli mezi ně patříte. Většina menších firem zjistí, že ne.
Na koho dopadá přímo
Zákon vyjmenovává patnáct regulovaných odvětví – mimo jiné energetiku, dopravu, zdravotnictví, výrobní a potravinářský průmysl, digitální infrastrukturu a služby nebo veřejnou správu. Které konkrétní služby do regulace patří, určuje prováděcí vyhláška č. 408/2025 Sb. K odvětví se přidává velikost firmy: povinnosti dopadají na střední a velké organizace – tedy od 50 zaměstnanců, nebo když roční obrat či bilanční suma přesáhne 10 milionů eur. U vybraných služeb velikost roli nehraje a firmám v holdingu se počítají i propojené podniky.
Typická firma s 1–100 počítači, která vyrábí nebo poskytuje běžné služby, pod přímé povinnosti většinou nespadá. Slovo „většinou“ píšeme schválně, protože rozhoduje kombinace odvětví a velikosti a výjimky existují. Jistotu dá jen kontrola podle oficiálních kritérií. Agendu vede NÚKIB: na jeho Portálu se podle průvodce posoudíte sami, a kdo kritéria naplní, ohlásí se do 60 dnů. Od registrace pak běží rok na zavedení bezpečnostních opatření.
Kudy se NIS2 dostane i k malé firmě
I firma, na kterou zákon nemíří, ho může pocítit. Povinné organizace totiž odpovídají také za bezpečnost svého dodavatelského řetězce. Přeloženo: váš zákazník, který pod regulaci spadá, začne bezpečnostní požadavky přenášet na dodavatele. Smluvně.
V praxi to vypadá tak, že vám přijde bezpečnostní dotazník s otázkami na zálohy, přístupy a síť, nebo dodatek ke smlouvě s požadavkem na hlášení incidentů. Žádná zákonná povinnost vám v tu chvíli nevzniká a pokuta ze zákona nepovinné firmě nehrozí. Přijít ale můžete o zakázku. Pro dodavatele povinných organizací je právě tohle hlavní dopad NIS2.
Co dává smysl mít v pořádku už dnes
Na většinu otázek z takového dotazníku se dá odpovědět bez jediného nákupu s nálepkou NIS2. Ptají se totiž na věci, které se firmě vyplatí samy o sobě:
- Víte, kdo má přístup do firemní sítě a k datům – včetně externistů a bývalých zaměstnanců.
- Návštěvy a soukromá zařízení se připojují na oddělenou Wi-Fi, ne do sítě s firemními daty. Proč a jak, popisujeme v článku o Wi-Fi pro návštěvy.
- Hesla k routeru a dalším prvkům sítě máte uložená u sebe, ne jen u dodavatele. Podrobněji v článku o heslech k firemnímu routeru.
- Zálohy běží pravidelně a někdo ověřil, že z nich jde obnovit. Jak na to, radíme v článku o zálohování firemních dat.
- Počítače dostávají aktualizace a neběží na systému bez podpory. Podpora Windows 10 skončila 14. října 2025 – co to znamená, řešíme v článku o konci Windows 10.
Když tenhle seznam splňujete, dotazník od zákazníka vás nerozhodí. Když ne, máte před sebou práci, která dává smysl i v případě, že se vás NIS2 nikdy nedotkne.
Kde do toho vstupujeme my
Službu s názvem „NIS2 compliance“ v nabídce nemáme a tenhle článek se vám ji nesnaží prodat. Staráme se o IT a sítě firem s 1–100 počítači. Správa firemní sítě znamená, že se o router, switch a Wi-Fi průběžně stará konkrétní dodavatel a podle potřeby přibude oddělení sítí, Wi-Fi pro návštěvy nebo VPN pro připojení na dálku. Tedy přesně ty věci, na které se bezpečnostní dotazníky ptají. Začíná na 1 500 Kč bez DPH měsíčně; podrobnosti najdete v ceníku.
A když dotazník nebo smluvní dodatek od zákazníka přijde, proberte ho s někým dřív, než cokoli podepíšete – objednat se dá přes konzultaci. Projdeme, jestli na vás NIS2 dopadá a co po vás zákazník vlastně chce; dokumentaci, směrnice a hlášení úřadům řešíme jako samostatnou službu na míru.
Co z toho plyne pro firmu s deseti počítači
Strach není plán. Zjistěte, jestli pod zákon spadáte, a pořádek v síti a přístupech si udělejte tak jako tak – hodí se, ať už vám NIS2 do života vstoupí, nebo ne.