NIS2 a holandský zákon o kybernetickej bezpečnosti (Cyberbeveiligingswet): vzťahujú sa na moju firmu?

Od 15. augusta 2026 platí v Holandsku zákon o kybernetickej bezpečnosti (Cyberbeveiligingswet). Pojem NIS2 ste už možno počuli od zákazníka, dodávateľa alebo poradcu. V tomto článku sa stručne dozviete, čo tento zákon je, na koho sa vzťahuje a čo znamená pre malú firmu, na ktorú sa sám nevzťahuje.

Tento článok poskytuje všeobecné vysvetlenie a nie je právnym poradenstvom. Aktuálne pravidlá nájdete na stránkach NCSC a v znení zákona.

Čo to je?

NIS2 je európska smernica z roku 2022 (smernica (EÚ) 2022/2555), ktorá má zvýšiť digitálnu odolnosť organizácií v dôležitých odvetviach. Každá krajina transponuje smernicu do vlastného zákona. V Holandsku je to Cyberbeveiligingswet (Cbw), holandský zákon o kybernetickej bezpečnosti. Zákon platí od 15. augusta 2026 bez prechodného obdobia a nahrádza pôvodný zákon o bezpečnosti sietí a informačných systémov (Wet beveiliging netwerk- en informatiesystemen, Wbni). Podľa NCSC sa vzťahuje na viac ako 8 000 organizácií. Kontaktným miestom je NCSC.

Vzťahuje sa zákon na moju firmu?

Závisí to od dvoch otázok: od vášho odvetvia a od veľkosti vašej firmy.

1. Pôsobíte v odvetví uvedenom v zákone?

Pre niektoré odvetvia platia ďalšie podmienky. Nie každá firma, ktorá má niečo spoločné s potravinami, teda automaticky spadá pod zákon.

2. Je vaša firma dostatočne veľká? Stručne povedané, zákon sa vzťahuje na stredné a veľké organizácie. Započítavate sa, ak:

• máte 50 alebo viac zamestnancov (FTE), alebo
• máte menej ako 50 zamestnancov, ale váš ročný obrat aj vaša bilančná suma presahujú 10 miliónov eur.

Započítavajú sa aj partnerské a prepojené podniky. Firma s 20 zamestnancami, ktorá patrí do skupiny s 200 zamestnancami, teda pod zákon môže spadať.

Výnimky bez ohľadu na veľkosť. Niekoľko druhov organizácií spadá pod zákon vždy, nech sú akokoľvek malé. Ide napríklad o poskytovateľov DNS služieb, registre domén najvyššej úrovne, poskytovateľov verejných elektronických komunikačných sietí a služieb, poskytovateľov dôveryhodných služieb a orgány verejnej správy. Ak bola vaša organizácia určená podľa zákona o odolnosti kritických subjektov (Wet weerbaarheid kritieke entiteiten), vzťahuje sa na ňu aj Cyberbeveiligingswet.

Overenie pomocou sebahodnotenia

Holandský inšpektorát pre digitálnu infraštruktúru (Rijksinspectie Digitale Infrastructuur, RDI) ponúka bezplatné sebahodnotenie NIS2. Odpoviete na otázky o svojom odvetví, veľkosti a službách a dostanete výsledok. Z neho vyplynie aj to, či je vaša organizácia základným alebo dôležitým subjektom. Rozdiel spočíva najmä v dohľade: pri základných subjektoch môže orgán dohľadu vykonávať kontroly aj z vlastnej iniciatívy, pri dôležitých subjektoch najmä dodatočne. Patrí vaša firma do skupiny alebo pôsobíte vo viacerých krajinách? V takom prípade vám pomôže príručka pre zložité obchodné modely od NCSC.

Čo musíte urobiť, ak pod zákon spadáte?

• Registrácia. Svoju organizáciu zaregistrujete cez MijnNCSC.
• Povinnosť starostlivosti. Vypracujete analýzu rizík a prijmete primerané a úmerné opatrenia. NCSC uvádza najmenej desať oblastí, okrem iného riešenie incidentov, zálohovanie a obnovu, zabezpečenie dodávateľského reťazca, školenia, aktualizácie, riadenie prístupu, viacfaktorovú autentifikáciu alebo passkeys, šifrovanie a testovanie účinnosti opatrení. Vedenie organizácie opatrenia schvaľuje a dohliada na ne.
• Oznamovacia povinnosť. Významný incident nahlásite cez MijnNCSC: do 24 hodín prvé varovanie, do 72 hodín hlásenie s prvotným posúdením závažnosti a dopadu a do jedného mesiaca záverečnú správu.

Toto hlásenie je nezávislé od povinnosti oznamovať porušenie ochrany osobných údajov podľa GDPR. Tá platí pre každého, kto spracúva osobné údaje, aj pre živnostníka, a porušenie sa v Holandsku oznamuje úradu na ochranu osobných údajov (Autoriteit Persoonsgegevens). Kedy ide o únik údajov a či ho musíte nahlásiť, sa dočítate v článku Ide o únik údajov a musím ho nahlásiť? Útok, pri ktorom boli ukradnuté aj údaje zákazníkov, preto môže byť potrebné nahlásiť na obe miesta.

Nespadáte pod zákon? Dodávateľský reťazec sa vás aj tak môže týkať

Väčšina malých firiem pod zákon nespadá. V takom prípade nemáte povinnosť registrácie, povinnosť hlásiť incidenty NCSC ani nepodliehate dohľadu. Organizácie, ktoré pod zákon spadajú, však musia zohľadňovať aj riziká u svojich priamych dodávateľov a poskytovateľov služieb. Podľa NCSC zákon samotným dodávateľom žiadne povinnosti neukladá, zákazníci však môžu klásť požiadavky na ich digitálnu bezpečnosť. Tie sa potom objavia v zmluve alebo v dotazníku.

Dodávate služby väčšej organizácii, napríklad ako tvorca webových stránok, správca IT alebo účtovná kancelária? Potom môžete dostať otázky ako: používate dvojstupňové overenie, kto má prístup k našim údajom, kde sú uložené zálohy a ako rýchlo nahlasujete incident?

• Požiadavky majú byť primerané riziku vašej služby. Dodávateľ s prístupom do systémov dostane prísnejšie požiadavky ako pekár, ktorý prináša obed.
• Ide o priamych dodávateľov. Dodávatelia vašich dodávateľov do toho nepatria.
• Certifikát zákon nepredpisuje. Pri rokovaní môže pomôcť, nie je však zárukou.
• Začnite včas: zmapujte, aké opatrenia už máte, a dohody so zákazníkom si dajte písomne.

Ďalšie čítanie

• NCSC: Zákon o kybernetickej bezpečnosti (NIS2)
• NCSC: Vzťahuje sa zákon o kybernetickej bezpečnosti na moju organizáciu?
• NCSC: Povinnosť starostlivosti
• NCSC: Oznamovacia povinnosť
• NCSC: Zákon o kybernetickej bezpečnosti a dodávatelia
• RDI: Sebahodnotenie NIS2
• Znenie zákona o kybernetickej bezpečnosti (Cyberbeveiligingswet)

Chcete sa dozvedieť viac? Absolvujte bezplatný kurz Bezpečne online pre podnikateľov, lekcia 9.1 NIS2 a zákon o kybernetickej bezpečnosti.