Zákon o kybernetické bezpečnosti a dodavatelé softwaru: co musí udělat obě strany

01NIS2 na podzim 2026

Směrnice NIS 2 (otevře externí web), směrnice (EU) 2022/2555, byla vyhlášena v Úředním věstníku 27. prosince 2022 a vstoupila v platnost 16. ledna 2023. Členské státy ji měly provést do 17. října 2024 a uplatňovat od 18. října 2024, kdy byla zrušena první směrnice NIS.

Protože jde o směrnici, organizaci zavazuje národní zákon, který ji provádí. Provedení bylo nerovnoměrné: některé členské státy začaly svůj zákon uplatňovat včas, jiné až v roce 2025 nebo 2026, a Evropská komise zahájila řízení o nesplnění povinnosti proti státům, které lhůtu nestihly. Registrace, ohlašovací portály a dozorové orgány se proto v jednotlivých zemích liší.

02Česko: nový zákon o kybernetické bezpečnosti

V Česku NIS2 provádí zákon č. 264/2025 Sb., o kybernetické bezpečnosti (otevře externí web). Byl vyhlášen 4. srpna 2025, účinný je od 1. listopadu 2025 a nahradil zákon č. 181/2014 Sb.; související změny dalších zákonů přinesl zákon č. 265/2025 Sb. Dozor vykonává Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB (otevře externí web)).

Zákon rozlišuje dva režimy: režim vyšších povinností a režim nižších povinností. Které služby jsou regulované, stanoví vyhláška č. 408/2025 Sb., bezpečnostní opatření pro režim vyšších povinností vyhláška č. 409/2025 Sb. a pro režim nižších povinností vyhláška č. 410/2025 Sb. Všechny jsou účinné od 1. listopadu 2025. Subjekty se registrují samy přes Portál NÚKIB, který upravuje vyhláška č. 334/2025 Sb.

Pro dodavatele softwaru je podstatné, že požadavky na bezpečnost dodavatelského řetězce se k nim dostanou přes zákazníky: regulované subjekty je promítnou do smluv, dotazníků a auditů a veřejní zadavatelé i do zadávací dokumentace.

03Základní a důležité subjekty

NIS2 se vztahuje na veřejné a soukromé subjekty v odvětvích přílohy I (odvětví s vysokou kritičností: energetika, doprava, bankovnictví, infrastruktura finančních trhů, zdravotnictví, pitná voda, odpadní voda, digitální infrastruktura, řízení služeb ICT, veřejná správa a vesmír) a přílohy II (další kritická odvětví: poštovní a kurýrní služby, nakládání s odpady, chemické látky, potraviny, výroba, digitální poskytovatelé a výzkum). Zpravidla jde o střední a velké organizace. Některé subjekty spadají do působnosti bez ohledu na velikost, například poskytovatelé služeb vytvářejících důvěru, poskytovatelé služeb DNS a subjekty ústřední státní správy.

Článek 3 směrnice tyto organizace dělí do dvou kategorií:

• Základní subjekty: hlavně velké organizace v odvětvích přílohy I a subjekty, které jsou základní bez ohledu na velikost, například kvalifikovaní poskytovatelé služeb vytvářejících důvěru, registry jmen domén nejvyšší úrovně, poskytovatelé služeb DNS a subjekty ústřední státní správy. Dozor nad nimi je preventivní a může zahrnovat audity a kontroly na místě.
• Důležité subjekty: ostatní organizace v působnosti přílohy I a II. Dozor je následný: orgán zasahuje, když existují náznaky, že subjekt povinnosti neplní.

Obě kategorie mají stejné základní povinnosti: opatření k řízení rizik (článek 21), hlášení incidentů (článek 23) a odpovědnost vedení (článek 20). Liší se dozorem a pokutami. Za porušení článků 21 nebo 23 musí národní právo podle směrnice umožnit horní hranici pokut nejméně 10 milionů EUR nebo 2 % celosvětového ročního obratu u základních subjektů a nejméně 7 milionů EUR nebo 1,4 % u důležitých subjektů, podle toho, která částka je vyšší. Zda a do jaké míry se pokuty vztahují na subjekty veřejné správy, rozhodují členské státy. Jak se na vás vztahuje český zákon a který režim pro vás platí, ověřte v zákoně č. 264/2025 Sb. a ve vyhlášce č. 408/2025 Sb.

Kdy do působnosti spadá i dodavatel softwaru

Vývoj softwaru sám o sobě odvětvím NIS2 není. Dodavatel přesto může do působnosti spadat přímo. Příloha I zahrnuje poskytovatele řízených služeb a NIS2 je vymezuje široce: subjekty, které pro zákazníky instalují, spravují, provozují nebo udržují produkty ICT, sítě, infrastrukturu nebo aplikace, na místě nebo na dálku. Střední nebo větší dodavatel, který pro zákazníky provozuje nebo udržuje aplikace, tak může pod NIS2 spadat sám, stejně jako poskytovatelé služeb cloud computingu a služeb datových center. Pro tyto poskytovatele podrobně rozvádí technické požadavky prováděcí nařízení (EU) 2024/2690 (otevře externí web).

Většina dodavatelů softwaru se však s NIS2 setká přes své zákazníky, kteří vlastní povinnost v dodavatelském řetězci promítnou do smluvních ujednání, dotazníků a auditů. Na softwarové produkty se navíc vztahuje akt o kybernetické odolnosti (otevře externí web), nařízení (EU) 2024/2847: jeho ohlašovací povinnosti pro aktivně zneužívané zranitelnosti a závažné incidenty platí od 11. září 2026 a ostatní povinnosti od 11. prosince 2027.

04Deset minimálních opatření podle článku 21

Článek 21 vyžaduje vhodná a přiměřená technická, provozní a organizační opatření založená na přístupu zohledňujícím všechny druhy rizik. Mají odpovídat současnému stavu techniky a příslušným evropským a mezinárodním normám a být přiměřená expozici subjektu vůči rizikům, jeho velikosti a pravděpodobné závažnosti incidentů. Zahrnují nejméně:

1. 01politiky analýzy rizik a bezpečnosti informačních systémů;
2. 02řešení incidentů;
3. 03kontinuitu provozu, například správu záloh a obnovu po havárii, a krizové řízení;
4. 04bezpečnost dodavatelského řetězce, včetně bezpečnostních aspektů vztahů s přímými dodavateli a poskytovateli služeb;
5. 05bezpečnost při pořizování, vývoji a údržbě sítí a informačních systémů, včetně řešení a zveřejňování zranitelností;
6. 06politiky a postupy pro posouzení účinnosti těchto opatření;
7. 07základní postupy kybernetické hygieny a školení v oblasti kybernetické bezpečnosti;
8. 08politiky a postupy pro kryptografii a případně šifrování;
9. 09bezpečnost lidských zdrojů, politiky řízení přístupu a správu aktiv;
10. 10vícefaktorové nebo nepřetržité ověřování a případně zabezpečenou hlasovou, obrazovou a textovou komunikaci a zabezpečenou nouzovou komunikaci.

Body 4 a 5 se týkají dodavatelů. Čl. 21 odst. 3 žádá, aby subjekty zohlednily zranitelnosti specifické pro každého přímého dodavatele, celkovou kvalitu jeho produktů a postupů v oblasti kybernetické bezpečnosti i jeho postupy bezpečného vývoje. Vaši zákazníci se tedy mají dívat na to, jak software vyvíjíte, ne jen na to, co dodáváte.

05Vedení schvaluje, dohlíží a odpovídá

Podle článku 20 musí řídící orgány základních a důležitých subjektů schvalovat opatření k řízení kybernetických rizik a dohlížet na jejich zavádění a mohou nést odpovědnost za porušení povinností. Jejich členové musí absolvovat školení a subjekty se vybízejí, aby pravidelně školily i zaměstnance. U veřejných institucí dál platí národní pravidla o odpovědnosti veřejných institucí a úředníků.

To mění rozhovor s dodavateli. Vedení, které má opatření schvalovat, chce důkazy, kterým rozumí: kteří dodavatelé podporují které služby, jaká rizika zůstávají a co bylo skutečně otestováno.

06Hlášení incidentů: 24 hodin, 72 hodin, jeden měsíc

Článek 23 ukládá subjektům hlásit významné incidenty svému týmu CSIRT nebo příslušnému orgánu. Incident je významný, pokud způsobil nebo může způsobit vážné narušení provozu nebo finanční ztrátu subjektu, nebo značnou hmotnou či nehmotnou újmu jiným. Hlášení probíhá v etapách:

Kde je to vhodné, musí subjekty také bez zbytečného odkladu informovat příjemce svých služeb o významných incidentech, které pravděpodobně ovlivní poskytování těchto služeb. Národní zákony k tomu přidávají vlastní formuláře a portály; v Česku ověřte lhůty, formuláře a kanály hlášení v zákoně č. 264/2025 Sb. a v metodice NÚKIB.

Lhůta začíná běžet ve chvíli, kdy se subjekt o incidentu dozví. Pokud incident začne v systému dodavatele, zákazník splní 24hodinovou lhůtu jen tehdy, když ho dodavatel během několika hodin odhalí, rozpozná a předá dál. Detekce, logování a dohodnutý kanál pro oznámení jsou proto smluvní podmínky, ne jen technické detaily.

07Co bude zákazník v působnosti NIS2 chtít po dodavateli softwaru

V praxi se článek 21 promítá do technických opatření a důkazů, které by dodavatel měl umět předložit, aniž by kvůli tomu zakládal projekt. Nejčastěji vidíme tyto:

• Bezpečný životní cyklus vývoje. Modelování hrozeb u významných změn, revize kódu, automatické bezpečnostní testy a kontrola závislostí v pipeline, podepsaná sestavení a softwarový kusovník (SBOM) ke každému vydání.
• Řešení a zveřejňování zranitelností. Zveřejněný způsob, jak zranitelnosti hlásit, dohodnuté reakční doby podle závažnosti a upozornění zákazníkovi, když zranitelnost zasahuje jeho prostředí.
• Řízení přístupu pracovníků dodavatele. Jmenné účty, vícefaktorové ověřování, nejnižší nutná oprávnění, časově omezený zvýšený přístup a záznam každé administrátorské akce v prostředí zákazníka.
• Logování a podklady k incidentům. Bezpečnostně relevantní události zaznamenané se spolehlivým časem, uchovávané po dohodnutou dobu a exportovatelné, aby zákazník dokázal odpovědět na otázky včasného varování i závěrečné zprávy.
• Spolupráce při incidentech. Jmenovitý kontakt a kanál, lhůta pro oznámení hluboko pod 24 hodinami zákazníka a podpora při analýze původní příčiny.
• Kontinuita a obnova. Zálohy ověřené skutečnou obnovou, cíle obnovy sladěné se zákazníkem a nacvičený postup.
• Dokumentace dodavatelského řetězce. Aktuální seznam subdodavatelů a míst hostingu a hlavních komponent a služeb třetích stran, na kterých řešení závisí.
• Plán ukončení. Export dat v použitelných formátech, dokumentace a podpora při předání, aby zákazník mohl změnit dodavatele bez ztráty kontroly nad službou.

Nic z toho není pro vyspělé vývojové týmy nové. NIS2 mění to, že zákazník to musí umět doložit. Na stránce Důvěra a compliance popisujeme, jak pracujeme jako dodavatel, včetně našeho systému řízení bezpečnosti informací certifikovaného podle ISO/IEC 27001.

08Kontrolní seznam pro smlouvy a zadávání

1. 01Přiřaďte dodavatele ke službám. Zaznamenejte, kteří dodavatelé podporují které služby v působnosti a kteří mají přístup k vašim systémům nebo datům.
2. 02Rozdělte je podle kritičnosti. Nejpřísnější požadavky uplatněte na dodavatele, kteří provozují kritické systémy nebo je mohou měnit.
3. 03Promítněte opatření do smlouvy. Bezpečnostní požadavky, lhůta a kanál pro oznámení incidentu, řešení zranitelností, logování a doba uchování, právo na audit nebo doložení, pravidla subdodávek a místa plnění. Veřejní zadavatelé je mohou uvést přímo v zadávací dokumentaci.
4. 04Žádejte důkazy, ne prohlášení. Certifikáty s rozsahem, výsledky testů, SBOM, datum posledního testu obnovy.
5. 05Ukončení dohodněte předem. Vrácení dat, podporu při přechodu a dobu, po kterou dodavatel službu ještě provozuje.
6. 06Nacvičujte společně. S kritickými dodavateli proveďte cvičení incidentu včetně včasného varování do 24 hodin.
7. 07Pravidelně revidujte. Dodavatelé, služby i hrozby se mění; seznam dodavatelů aktualizovaný jednou ročně je většinu roku zastaralý.

09Podrobnosti určuje národní právo

Registrace, ohlašovací portály, formuláře, příslušný orgán i případné další požadavky plynou z národního práva. Některé členské státy navazují opatření podle článku 21 na národní rámec nebo certifikaci; v Česku stanoví bezpečnostní opatření vyhlášky č. 409/2025 Sb. a č. 410/2025 Sb. Zpravidla subjekt spadá pod členský stát, kde je usazen. Článek 26 stanoví výjimky: poskytovatelé veřejných sítí elektronických komunikací spadají pod každou zemi, kde služby poskytují, poskytovatelé služeb cloud computingu, služeb datových center a řízených služeb a několik dalších digitálních poskytovatelů pod zemi své hlavní provozovny a subjekty veřejné správy pod stát, který je zřídil.

10Co sledovat v příštích měsících

• Metodiku a výkladová stanoviska NÚKIB k zákonu č. 264/2025 Sb. a k prováděcím vyhláškám.
• Návrh Komise Digital Omnibus (otevře externí web) z 19. listopadu 2025, COM(2025) 837, podle kterého by hlášení incidentů podle NIS2, GDPR, DORA a dalších předpisů procházela jediným vstupním místem provozovaným agenturou ENISA. V říjnu 2026 byl návrh stále projednáván v Evropském parlamentu (otevře externí web)); dokud nebude přijat a nezačne se uplatňovat, platí dosavadní kanály a lhůty.
• Koordinovaná posouzení rizik kritických dodavatelských řetězců ICT na úrovni EU podle článku 22, která musí subjekty zohlednit při volbě opatření vůči dodavatelům.
• Harmonogram aktu o kybernetické odolnosti pro softwarové produkty, který se plně uplatní od 11. prosince 2027.

Pro finanční subjekty nahrazuje pravidla NIS2 pro řízení rizik ICT, hlášení incidentů a dohled nařízení o digitální provozní odolnosti (DORA); viz náš článek o DORA a poskytovatelích ICT služeb. Evropská komise udržuje přehled NIS2 a jejích prováděcích aktů na své stránce věnované NIS2 (otevře externí web).