NIS2 a Zákon o kybernetickej bezpečnosti: vzťahuje sa to aj na vašu spoločnosť?
Od 15. augusta 2026 platí v Holandsku Zákon o kybernetickej bezpečnosti (Cyberbeveiligingswet). Možno ste termín NIS2 už počuli od klienta, dodávateľa alebo poradcu. V tomto článku sa v krátkosti dozviete, čo tento zákon znamená, na koho sa vzťahuje a čo znamená pre malú firmu, ktorej sa sám netýka.
Tento článok poskytuje všeobecné vysvetlenie a nie je právnym poradenstvom. Aktuálne pravidlá nájdete na stránke NCSC a v znení zákona.
Čo to je?
NIS2 je európska smernica z roku 2022 (smernica (EÚ) 2022/2555), ktorej cieľom je zvýšiť digitálnu odolnosť organizácií v dôležitých odvetviach. Každá krajina preberá smernicu do vlastného zákona. V Holandsku je to Zákon o kybernetickej bezpečnosti (Cyberbeveiligingswet, Cbw). Zákon platí od 15. augusta 2026, bez prechodného obdobia, a nahrádza predchádzajúci Zákon o zabezpečení sietí a informačných systémov (Wbni). Podľa NCSC sa týka viac ako 8 000 organizácií. NCSC je kontaktným miestom.
Vzťahuje sa to na moju firmu?
Závisí to od dvoch otázok: vášho odvetvia a veľkosti vašej firmy.
1. Pôsobíte v odvetví uvedenom v zákone?
| Príloha 1 | Príloha 2 |
|---|---|
| Energetika, doprava, bankovníctvo, infraštruktúra finančného trhu, zdravotníctvo, pitná voda, odpadové vody, digitálna infraštruktúra, správa IKT služieb, verejná správa, kozmický priemysel | Poštové a kuriérske služby, nakladanie s odpadom, chemické látky, potraviny, výroba (spracovateľský priemysel), digitálni poskytovatelia, výskum |
Pre niektoré odvetvia platia dodatočné podmienky. Nie každá firma, ktorá sa zaoberá potravinami, teda automaticky patrí pod zákon.
2. Ste dostatočne veľkí? Stručne povedané, zákon sa vzťahuje na stredné a veľké organizácie. Počítate sa medzi ne, ak:
- máte 50 alebo viac zamestnancov (prepočítaných na plný úväzok), alebo
- máte menej ako 50 zamestnancov, ale váš ročný obrat aj celková súvaha sú obidva vyššie ako 10 miliónov eur.
Partnerské podniky a prepojené podniky sa počítajú tiež. Firma s 20 zamestnancami, ktorá patrí do skupiny so 200 zamestnancami, teda môže aj tak spadať pod zákon.
Výnimky bez ohľadu na veľkosť. Niekoľko typov organizácií patrí pod zákon vždy, bez ohľadu na ich veľkosť. Ide napríklad o poskytovateľov DNS služieb, registre domén najvyššej úrovne, poskytovateľov verejných elektronických komunikačných sietí a služieb, poskytovateľov dôveryhodných služieb a organizácie verejnej správy. Ak ste označení podľa Zákona o odolnosti kritických subjektov, vzťahuje sa na vás aj Zákon o kybernetickej bezpečnosti.
Overte si to pomocou sebahodnotenia
Holandská inšpekcia digitálnej infraštruktúry (Rijksinspectie Digitale Infrastructuur, RDI) ponúka bezplatné sebahodnotenie NIS2. Odpoviete na otázky o svojom odvetví, veľkosti a službách a dostanete výsledok. Z neho zistíte aj to, či ste základným alebo dôležitým subjektom. Rozdiel spočíva najmä v dohľade: pri základných subjektoch môže dozorný orgán kontrolovať aj z vlastnej iniciatívy, pri dôležitých subjektoch najmä dodatočne. Patrí vaša firma do skupiny alebo pôsobíte vo viacerých krajinách? Potom vám pomôže príručka pre zložité podnikové modely od NCSC.
Čo musíte urobiť, ak sa vás zákon týka?
- Registrácia. Svoju organizáciu nahlásite prostredníctvom MijnNCSC.
- Povinnosť starostlivosti. Vypracujete analýzu rizík a prijmete primerané a proporcionálne opatrenia. NCSC uvádza aspoň desať oblastí, medzi ktoré patrí riešenie incidentov, zálohovanie a obnova, zabezpečenie dodávateľského reťazca, školenia, aktualizácie, správa prístupov, viacfaktorové overenie alebo passkeys, šifrovanie a testovanie, či vaše opatrenia skutočne fungujú. Vedenie organizácie opatrenia schvaľuje a dohliada na ne.
- Oznamovacia povinnosť. Závažný incident nahlásite prostredníctvom MijnNCSC: do 24 hodín prvé upozornenie, do 72 hodín hlásenie s prvotným odhadom závažnosti a dopadu a do jedného mesiaca záverečnú správu.
Toto hlásenie je nezávislé od oznamovacej povinnosti pri únikoch osobných údajov podľa GDPR. Tá platí pre každého, kto spracúva osobné údaje, teda aj pre živnostníka, a nahlasuje sa Úradu pre ochranu osobných údajov (Autoriteit Persoonsgegevens). Útok, pri ktorom boli ukradnuté aj údaje klientov, teda môže byť potrebné nahlásiť na oboch miestach.
Netýka sa vás zákon? Reťazec vás môže zasiahnuť aj tak
Väčšina malých firiem pod zákon nespadá. V takom prípade nemáte registračnú povinnosť, oznamovaciu povinnosť voči NCSC ani dohľad. Organizácie, na ktoré sa zákon vzťahuje, však musia zohľadňovať aj riziká u svojich priamych dodávateľov a poskytovateľov služieb. Podľa NCSC zákon dodávateľom samotným neukladá žiadne povinnosti, ale zákazníci môžu klásť požiadavky na ich digitálnu bezpečnosť. Tie sa potom zahrnú do zmluvy alebo dotazníka.
Dodávate služby väčšej organizácii, napríklad ako webový vývojár, správca IT alebo účtovná kancelária? Potom môžete dostávať otázky ako: používate dvojkrokové overenie, kto má prístup k našim údajom, kde sa nachádzajú zálohy a ako rýchlo nahlasujete incident?
- Požiadavky majú byť primerané riziku vašej služby. Dodávateľ s prístupom k systémom dostane prísnejšie požiadavky než pekár, ktorý dováža obed.
- Ide o priamych dodávateľov. Dodávatelia vašich dodávateľov do toho nespadajú.
- Certifikát zákon nevyžaduje. Môže pomôcť v rozhovore, ale nie je zárukou.
- Začnite včas: zmapujte si, aké opatrenia už máte, a dohody s klientom si zaznamenajte.