NIS2 a kybernetická bezpečnost odpovědnosti managementu jako mezinárodní právní povinnost v roce 2025

Zavedení ustanovení o odpovědnosti managementu podle článku 20 NIS2 znamená historický odklon od předchozích rámců. Vystavuje jednotlivé ředitele následkům za hrubou nedbalost v řízení kybernetické bezpečnosti, včetně možného dočasného pozastavení výkonu manažerských pozic a veřejného jmenování.

Současně organizace čelí pokutám až do výše 10 milionů EUR nebo 2 % celkového ročního obratu pro klíčové subjekty a 7 milionů EUR nebo 1,4 % pro důležité subjekty, v závislosti na konkrétních národních implementacích. Tato transformace odráží širší regulační uznání, že kybernetická bezpečnost nemůže být delegována pouze na IT oddělení, ale vyžaduje aktivní zapojení na úrovni představenstva.

Vývoj od technického souladu ke strategickému řízení

Původní směrnice NIS (NIS1), platná od roku 2016, byla prvním celoevropským právním předpisem o kybernetické bezpečnosti, avšak trpěla omezeními, která se projevila s vývojem digitální krajiny. Hlavní slabinou byla nadměrná diskrece udělená členským státům při určování „provozovatelů základních služeb“, což vedlo k fragmentaci.

Společnost považovaná za „základní“ ve Francii nemusela být v Německu, což komplikovalo dodržování předpisů pro přeshraniční organizace. Kromě toho se NIS1 silně zaměřovala na technická opatření, aniž by nařizovala struktury řízení nezbytné k jejich prosazení na strategické úrovni.

Nedostatky NIS1 se projevily s rostoucí sofistikovaností kybernetických hrozeb. Organizace často považovaly dodržování předpisů za „zaškrtávací“ IT funkci, přičemž vedoucí pracovníci byli odtrženi od řízení rizik. Legislativní reforma vedoucí k NIS2 řešila tyto systémové mezery harmonizací rozsahu napříč EU a povýšením kybernetické bezpečnosti na odpovědnost představenstva.

Proč se odpovědnost managementu stala nezbytnou

Posun k odpovědnosti managementu v NIS2 odráží trendy v obecném nařízení o ochraně osobních údajů (GDPR) a aktu o digitální provozní odolnosti (DORA). EU uznala, že pasivní rámce dodržování předpisů – kde je odpovědnost posouvána na operační úroveň – nedokážou vést k nezbytným kulturním změnám.

Zavedením odpovědnosti na úrovni řízení NIS2 zajišťuje, že rozhodnutí o kybernetické bezpečnosti týkající se rizik, alokace zdrojů a kontinuity podnikání jsou považována za nedelegovatelné fiduciární povinnosti. Pro ředitele je zpráva jasná: neznalost rizik kybernetické bezpečnosti již není platnou právní obranou.

To je v souladu s principem „tónu shora“, který zajišťuje, že odolnost organizace je prioritou pro ty, kteří mají pravomoc přidělovat zdroje.

Rozsah a velikost směrnice

NIS2 významně rozšiřuje rozsah regulovaných subjektů, nyní zahrnujících přibližně 160 000 subjektů napříč EU. Zavádí „pravidlo o velikostním stropu“, podle kterého všechny střední a velké podniky v pokrytých odvětvích spadají pod směrnici.

Základní subjekty obecně zahrnují velké organizace v odvětvích s vysokou kritičností, jako je energetika, doprava, bankovnictví, zdravotnictví, voda a digitální infrastruktura. Důležité subjekty obecně zahrnují střední organizace v odvětvích, jako je nakládání s odpady, poštovní služby, chemikálie, potraviny a výroba kritických produktů.

Klíčové je, že směrnice se vztahuje na společnosti mimo EU, které poskytují služby v EU. Poskytovatel cloudových služeb se sídlem v USA nebo asijský výrobce nabízející služby v EU musí splňovat požadavky a pokud nejsou usazeni v členském státě, musí jmenovat zástupce v Unii.

To vytváří specifický právní krok pro mezinárodní podniky, aby se vyhnuly regulačním třenicím.

Výzva mezi základními a důležitými subjekty napříč hranicemi

Ačkoliv se NIS2 snaží harmonizovat pravidla, členské státy si ponechávají právo identifikovat menší subjekty jako „základní“, pokud jsou jediným poskytovatelem kritické služby. To vytváří potenciální nesourodost, kdy dceřiná společnost v jedné zemi je „důležitým“ subjektem, zatímco sesterská společnost v jiné je „základní“, podléhající přísnějším režimům dohledu.

Pro nadnárodní organizace tato fragmentace vyžaduje koordinovanou právní strategii. Správa těchto rozdílů prostřednictvím platformy, jako je Anywhere.legal, umožňuje generálním právníkům centralizovat posouzení a využít místní odborníky k potvrzení konkrétní klasifikace v každé jurisdikci.

Odpovědnost řídícího orgánu a osobní odpovědnost

Článek 20 je základním kamenem nového režimu odpovědnosti. Nařizuje, aby členské státy zajistily, že řídící orgány základních a důležitých subjektů schvalují opatření pro řízení rizik kybernetické bezpečnosti, dohlížejí na jejich implementaci a mohou být pohnáni k odpovědnosti za nedodržení.

Tato formulace odstraňuje možnost, aby se ředitelé skrývali za kolektivní odpovědnost představenstva nebo se odvolávali na nedostatek technických znalostí. Regulační orgány očekávají, že ředitelé budou uchovávat záznamy o svém zapojení, včetně zápisů, které prokazují aktivní diskusi o kybernetických rizicích, schvalování rozpočtů a revizi plánů reakce na incidenty.

Rozsah nedelegovatelných povinností

Zatímco realizace může být delegována na CISO, dohled nikoli. Ředitelé se musí osobně zapojit do schvalování hodnocení rizik, ověřovat, že organizace dodržuje „komplexní“ přístup pokrývající kybernetická, fyzická a dodavatelská rizika.

Musí také zajistit, aby alokace zdrojů odpovídala zjištěným rizikům. Členové řídícího orgánu jsou povinni absolvovat školení, aby získali dostatečné znalosti k identifikaci rizik a posouzení postupů řízení rizik.

Pokuty a pozastavení činnosti

Sankce jsou přísné a dvojí, zahrnující jak organizační pokuty, tak osobní důsledky pro klíčové subjekty. Členské státy musí mít pravomoc dočasně pozastavit výkon manažerských funkcí jakékoli osobě vykonávající manažerské funkce v daném subjektu.

Tato pravomoc k pozastavení je pro regulátory „jadernou možností“, navrženou k vynucení dodržování. Navíc, pokud selhání ředitele představuje hrubou nedbalost, může čelit žalobám za osobní odpovědnost podle národního korporátního práva a potenciálnímu vyloučení z pojištění D&O.

Deset základních opatření pro řízení rizik kybernetické bezpečnosti

NIS2 nařizuje základní úroveň bezpečnostních opatření založených na „komplexním přístupu“. Jedná se o právní závazky, nikoli pouze technické pokyny.

• Analýza rizik a bezpečnostní politiky informačních systémů.

• Řešení incidentů.

• Kontinuita podnikání.

• Bezpečnost dodavatelského řetězce.

• Bezpečnost při akvizici/vývoji.

• Hodnocení účinnosti.

• Kybernetická hygiena a školení.

• Kryptografie a šifrování.

• Bezpečnost lidských zdrojů.

• Vícefaktorová autentizace (MFA).

Bezpečnost dodavatelského řetězce jako právní výzva

Bezpečnost dodavatelského řetězce je často uváděna jako nejobtížnější požadavek, protože organizace musí řešit bezpečnost svých přímých dodavatelů. To spouští kaskádu smluvních oprav, vyžadující od společností aktualizaci smluv o službách, aby zahrnovaly doložky o právu na audit a požadavky na bezpečnostní postupy.

U přeshraničních dodavatelských řetězců to zahrnuje navigaci v různých smluvních zákonech a limitech odpovědnosti napříč jurisdikcemi. Používání platformy, jako je Anywhere.legal, usnadňuje přezkum dodavatelských smluv napříč několika zeměmi, což zajišťuje, že hlavní smlouva o službách v jedné zemi splňuje místní transpozice NIS2 v jiných.

Řešení incidentů a přísné lhůty pro hlášení

Lhůta pro hlášení je agresivní a striktní. Subjekty musí poskytnout včasné varování do 24 hodin od okamžiku, kdy se dozvěděly o významném incidentu, následované oznámením incidentu s počátečním posouzením do 72 hodin a závěrečnou zprávou do jednoho měsíce.

„Významný incident“ je takový, který způsobuje vážné provozní narušení nebo finanční ztrátu, nebo ovlivňuje jiné osoby. 24hodinové počítání začíná v okamžiku, kdy se subjekt o incidentu dozví. To vyžaduje předem schválený právní a technický plán, protože chyby při určování, kterému orgánu nahlásit přeshraniční scénář, mohou vyvolat sankce.

Budování odpovědnosti na úrovni představenstva

Účinné dodržování vyžaduje restrukturalizaci řízení. CISO by měl ideálně mít přímou podřízenou linku k řídícímu orgánu, obcházející CIO, pokud je to nutné, aby se zajistilo, že obavy z rizik nebudou filtrovány. Zasedání představenstva musí mít kybernetickou bezpečnost jako stálý bod programu, nikoli jako ad-hoc diskusi.

Implementace NIS2 není jednorázový úkol; je to neustálý právní a provozní proces. Anywhere.legal to podporuje poskytováním strukturovaného prostředí pro koordinaci těchto úsilí, zejména pro subjekty působící napříč hranicemi.

Mezinárodní dimenze a přeshraniční komplikace

Ačkoli je NIS2 směrnicí, vyžaduje transpozici do vnitrostátního práva. I když lhůta uplynula, implementace se liší. Některé země mohou mít přísnější „gold-plating“ přidáváním dalších požadavků, zatímco jiné se mohou držet minim.

Obecně platí, že subjekty spadají pod jurisdikci členského státu, kde jsou usazeny. Výjimky existují pro poskytovatele telekomunikačních služeb a určité poskytovatele digitálních služeb, kteří často spadají pod jurisdikci „hlavního sídla“ v EU.

Subjekty mimo EU

Pro subjekty mimo EU nabízející služby v Unii je požadavek na jmenování zástupce kritický. Tento zástupce může být pohnán k odpovědnosti za nedodržení. Výběr správné jurisdikce pro tohoto zástupce je strategické právní rozhodnutí, často ovlivněné regulačním prostředím vybraného členského státu.

Praktický plán pro dodržování předpisů

1. Právní vymezení a klasifikace: Závazně určete, zda jste zásadní nebo důležitý v každé jurisdikci, kde působíte.

2. Analýza mezer: Porovnejte stávající kontroly s požadavky článku 21.

3. Restrukturalizace řízení: Aktualizujte stanovy představenstva a reportovací linie.

4. Oprava smluv: Revidujte a upravte smlouvy s dodavateli.

5. Testování reakce na incidenty: Proveďte simulace za účasti právního zástupce k otestování schopnosti hlášení do 24 hodin.

Kybernetická bezpečnost jako strategický imperativ řízení

NIS2 zásadně změnila rizikový profil evropských řídících orgánů. Transformuje kybernetickou bezpečnost z provozního nákladu na strategický imperativ podpořený osobní odpovědností. Rizika nedodržení – od provozních narušení po poškození osobní pověsti a pozastavení činnosti – jsou příliš vysoká na to, aby je bylo možné ignorovat.

Pro organizace působící napříč hranicemi je výzva znásobena nutností navigovat 27 různých národních implementací. Úspěch vyžaduje více než jen technické nástroje; vyžaduje koordinovanou právní strategii, která propojuje místní odborné znalosti s centrálním dohledem. Právě zde Anywhere.legal poskytuje hodnotu: kombinací platformy pro správu případů s globální sítí expertů a bezpečnou podporou AI umožňuje organizacím strukturovat jejich přeshraniční dodržování předpisů a zajistit, aby řídící orgány mohly prokázat dohled vyžadovaný zákonem.

Potřebujete mezinárodní právní pomoc s dodržováním NIS2 nebo přeshraniční koordinací? Kontaktujte nás prostřednictvím Anywhere.legal.

Často kladené otázky

1. Jaký je praktický rozdíl mezi základními a důležitými subjekty ohledně odpovědnosti?
   Obě kategorie ukládají osobní odpovědnost managementu. Klíčový rozdíl spočívá v dohledu a sankcích. Základní subjekty čelí dohledu ex-ante a potenciálnímu dočasnému pozastavení výkonu manažerů. Důležité subjekty obecně čelí dohledu ex-post po incidentu.

2. Může být ředitel osobně pokutován 10 miliony eur?
   Ne. Administrativní pokuty jsou ukládány subjektu. Ředitel však čelí administrativním sankcím (pozastavení činnosti) a potenciálně občanskoprávní odpovědnosti (náhrada škody) vůči společnosti za porušení povinností podle národního korporátního práva.

3. Co když má moje společnost sídlo v USA, ale prodává digitální služby v EU?
   Pokud nabízíte služby v EU, NIS2 se na vás pravděpodobně vztahuje. Musíte jmenovat zástupce v jednom z členských států, kde nabízíte služby. Tento zástupce slouží jako kontaktní místo pro úřady a může být předmětem vymáhacích řízení.

4. Jak funguje pravidlo hlášení do 24 hodin v praxi?
   Musíte podat „včasné varování“ týmu CSIRT nebo příslušnému orgánu do 24 hodin od okamžiku, kdy se dozvíte o významném incidentu. Nejedná se o úplnou zprávu, ale o signalizaci úřadům. Vyžaduje nepřetržité monitorování a předem stanovený právní protokol, aby se zajistilo, že oznámení omylem nepřizná odpovědnost bez důvodu.

5. Je NIS2 stejné v každé zemi?
   Ne. NIS2 je směrnice, což znamená, že stanovuje základní úroveň. Členské státy ji transponují do vnitrostátního práva. Mohou zavést přísnější pravidla, vyšší pokuty nebo širší definice „základních“ odvětví. Přeshraniční soulad vyžaduje kontrolu konkrétního zákona v každé zemi, kde působíte.