Nevíme, jestli spadáme pod NIS2 · čím začít?

Jak zjistit, do které kategorie organizace patříte

První krok je přiřazení vaší činnosti k konkrétním sektorům uvedeným v přilohách k zákonu o kybernetické bezpečnosti. Zákon rozlišuje esenciální subjekty (doprava, energetika, bankovnictví, zdravotnictví, vodohospodářství, digitální infrastruktura, správa veřejné správy, kosmonautika) a důležité subjekty (poštovní služby, odpadové hospodářství, chemie, potravinářství, výroba strojů, dodavatelé digitálních služeb a výzkum). Podívejte se na hlavního CZ-NACE kód firmy i na vedlejší činnosti · často rozhoduje i marginální část podnikání, například prodej vlastního softwaru jako dodavatel digitálních služeb.

Velikost jako rozhodující filtr

I když spadáte do správného odvětví, musíte splnit velikostní kritéria. Pro esenciální subjekty platí: alespoň 250 zaměstnanců nebo roční obrat nad 50 mil. EUR a bilance nad 43 mil. EUR. Pro důležité subjekty stačí: alespoň 50 zaměstnanců nebo roční obrat a bilance nad 10 mil. EUR. Počítá se konsolidovaně na úrovni celé skupiny · máte-li dcerskou společnost v zahraničí, její zaměstnanci a finance se k vám počítají. Malý lékařský ordinář s 10 zaměstnanci tedy pod NIS2 nespadá, ale nemocnice se 200 zaměstnanci ano.

Speciální případy a výjimky

Zákon explicitně vyjímá určité subjekty i při splnění kritérií. Mezi ně patří orgány veřejné moci vykonávající veřejnou moc (kromě správy veřejné správy), subjekty poskytující veřejné elektronické komunikační sítě (ty řeší vlastní zákon) a malé a střední podniky, které nejsou dodavateli důležitých služeb. Naopak, dodavatelé spravovaných IT služeb, cloudových služeb nebo online tržišť spadají pod NIS2 jako důležité subjekty již od 50 zaměstnanců, bez ohledu na odvětví zakladatele. Typický příklad: česká softwarová firma 60 lidí prodávající SaaS řešení pro logistiku · i když není v „kritické infrastruktuře“, je důležitým subjektem.

Praktický postup ověření v pěti krocích

1. Vyhledejte hlavní a vedlejší CZ-NACE kódy ve výpisu z obchodního rejstříku nebo ARES.
2. Porovnejte kódy s přilohami 1 a 2 k zákonu o kybernetické bezpečnosti.
3. Získejte konsolidované údaje o počtu zaměstnanců (FTE), obratu a bilanci za předchozí účetní období.
4. Aplikujte prahové hodnoty pro esenciální respektive důležité subjekty.
5. Pokud nejste jistí, požádejte o stanovení působnosti u Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB) · formulář je na jejich webu a odpověď je pro vás vazbou.

Co dělat, když zjistíte, že jste v působnosti

Máte povinnost se zaregistrovat do evidence NÚKIB do 60 dnů ode dne nabytí působnosti. Dále musíte stanovit kontaktní bod pro incidenty, zavést systém řízení kybernetické bezpečnosti (politiky, řízení rizik, zálohování, řízení incidentů) a pravidelně reportovat významné incidenty. Termíny pro plnou dodržení konkrétních opatření se liší · registrace je první a nejblízká povinnost. V auditech CIAD se ukazuje, že firmy často podceňují čas na dokumentaci procesů a školení zaměstnanců.

Co to znamená: Určení působnosti není jednorázová akce, ale proces, který opakujete při změně velikosti, struktury skupiny nebo rozšiřování činností. Začněte dnes přesným porovnáním CZ-NACE kódů a konsolidovanými finančními údaji · to vám dá jistotu, zda řešit registraci a bezpečnostní opatření, nebo zda můžete klidně pokračovat v podnikání.