Transpozice směrnice NIS2 napříč EU: V čem se národní pravidla reálně liší

Proč je tento článek zásadní pro právní a obchodní týmy

V přeshraničním korporátním prostředí spočívá hlavní operativní výzva v mapování toho, jak různorodé vnitrostátní legislativy převádějí ústřední principy do konkrétních lokálních povinností. Zvládnutí této roztříštěnosti vyžaduje od podniků strukturovaný přístup: centralizaci dokumentace, předběžné vymezení rozsahu (scoping) pomocí AI, zajištění cenové transparentnosti a koordinaci prověřené sítě lokálních specialistů, kteří zajistí závaznou validaci lidským expertem.

NIS2 významně rozšiřuje působnost EU v oblasti kybernetické bezpečnosti a dopadá na tisíce základních a důležitých subjektů v osmnácti kritických odvětvích. Vzhledem k tomu, že směrnice umožňuje členským státům zavést přísnější vnitrostátní ustanovení, čelí přeshraniční korporátní skupiny značnému regulatornímu riziku. Centrální právní oddělení se může mylně domnívat, že zavedlo jednotnou politiku souladu s NIS2, zatímco lokální závody, datová centra nebo dceřiné společnosti podléhají zcela odlišným národním pravidlům.

Řízení tohoto multijurisdikčního rizika vyžaduje strukturovaný, procesně řízený postup. Propojením centrálních repozitářů dokumentů, bezpečného předzpracování pro rozdílovou analýzu (gap analysis) s využitím AI a přímé koordinace s místními právními experty mohou korporátní skupiny přejít od ad hoc reaktivního přístupu k centralizovanému rámci compliance.

Přechod od NIS1 k NIS2 jako rámec správy a řízení (governance)

NIS2 nahrazuje původní směrnici NIS, která trpěla nejednotnou aplikací, úzkým odvětvovým rozsahem a absencí harmonizovaného vymáhání. Zatímco směrnice NIS1 se zaměřovala především na provozovatele základních služeb a vybrané poskytovatele digitálních služeb, NIS2 rozšiřuje působnost a povyšuje kybernetickou bezpečnost z izolovaného IT tématu na povinnost správy a řízení společnosti (corporate governance) na úrovni vedení.

Podle NIS2 mají vrcholné řídící orgány ze zákona povinnost schvalovat opatření k řízení kybernetických bezpečnostních rizik, dohlížet na ně a absolvovat v této oblasti školení. Za jejich nedodržení mohou nést osobní odpovědnost, což kybernetickou bezpečnost staví na roveň finančnímu auditu a ochraně osobních údajů napříč všemi dceřinými společnostmi skupiny.

Na institucionální úrovni posiluje NIS2 strategickou koordinaci v rámci EU prostřednictvím Skupiny pro spolupráci a sítě CSIRT. Tato institucionální struktura znamená, že závažný kybernetický incident nebo porušení předpisů v jednom členském státě budou rychle oznámeny regulačním orgánům v jiných jurisdikcích, kde skupina působí. Koordinovaný přístup ke compliance se tak stává naprostou nutností.

Základní povinnosti: působnost, řízení rizik, hlášení a vymáhání

Na evropské úrovni zavádí NIS2 základní klasifikační systém, který rozděluje dotčené organizace na základní a důležité subjekty. Základní subjekty podléhají proaktivním auditům v rámci předběžného (ex ante) dohledu, zatímco důležité subjekty čelí následnému (ex post) dohledu, který je vyvolán konkrétními incidenty nebo důkazy o nesouladu s předpisy.

Základní pravidlo velikostního limitu se vztahuje na subjekty, které překračují stropy pro střední podniky. Členské státy však mohou tyto prahové hodnoty snížit pro kritickou místní infrastrukturu, výhradní poskytovatele nebo orgány veřejné správy, což okamžitě vede k regulatorním odchylkám.

Všechny dotčené subjekty musí zavést vhodná a přiměřená technická, provozní a organizační opatření k řízení kybernetických rizik. Mezi tato povinná opatření patří robustní analýza rizik, zvládání incidentů, bezpečnost dodavatelského řetězce, základní postupy kybernetické hygieny a strukturované využívání kryptografie či šifrování.

Hlášení incidentů se řídí přísným třístupňovým notifikačním rámcem, který začíná včasným varováním do 24 hodin. Následuje oznámení incidentu do 72 hodin a závěrečná komplexní zpráva předložená nejpozději do jednoho měsíce od incidentu.

Zpožděná transpozice jako systémový jev

Ačkoli článek 41 směrnice NIS2 ukládal členským státům povinnost transponovat směrnici do vnitrostátního práva do 17. října 2024, značná většina z nich tento termín nedodržela. To přimělo Evropskou komisi k zahájení formálního řízení o nesplnění povinnosti (infringement proceedings) a k vydání odůvodněných stanovisek devatenácti zaostávajícím členským státům, včetně Německa, Francie, Nizozemska, Španělska, Polska a Švédska.

Tento opožděný legislativní proces vytvořil na celém kontinentu dlouhé období regulatorní nejistoty. Korporátní skupiny musí plánovat své strategie compliance na základě měnících se vnitrostátních návrhů zákonů a současně sledovat přechodná ustanovení v každé cílové zemi.

Ve Španělsku zůstává návrh zákona o koordinaci a správě kybernetické bezpečnosti zpožděn, což nutí společnosti odvozovat své povinnosti z přechodných návrhů. Podobně Nizozemsko a Německo čelily několika parlamentním revizím, což organizace nutí monitorovat neustále se měnící regulatorní požadavky.

Různé legislativní techniky

Volba legislativní techniky přímo ovlivňuje to, jak se povinnosti z NIS2 integrují do stávajících lokálních předpisů. Dánsko a Řecko zavedly své rámce prostřednictvím centralizovaných, samostatných zákonných režimů, které nahrazují nebo sjednocují předchozí úpravu. Polsko naopak zvolilo novelizaci svého stávajícího zákona o národním kybernetickém bezpečnostním systému, čímž rozšířilo pravomoci dozorových orgánů i výši správních pokut.

Rumunsko zvolilo dvoufázovou transpozici – nejprve přijalo mimořádné nařízení pro rychlé ustavení základního legislativního rámce, než jej formalizovalo prostřednictvím řádného zákona. Tyto odlišné techniky znamenají, že se korporátní agenda compliance nemůže spoléhat na jedinou univerzální šablonu, protože povinnosti jsou často rozptýleny v několika místních předpisech.

Časové osy a přechodné režimy

I tam, kde je transpozice dokončena, se operativní lhůty pro registraci, technický soulad a skutečné vymáhání značně liší. Italský dekret vstoupil v platnost v říjnu 2024, ale funguje na bázi fázovaného harmonogramu, kdy se povinnosti hlášení incidentů postupně zavádějí v průběhu let 2025 a 2026.

Francie do značné míry spoléhá na připravované prováděcí dekrety, které upřesní technické požadavky a harmonogramy plnění pro různé kategorie subjektů. Švédsko zavádí náběhovou lhůtu, která subjektům poskytuje odstupňované termíny od tří do dvanácti měsíců od vstupu v platnost pro dokončení povinné registrace.

Klíčové oblasti národních odchylek v rámci NIS2

Zatímco směrnice stanoví společný evropský základ, skutečné operativní požadavky se přeshraničně výrazně liší. Tyto rozdíly mají dopad na rozsah subjektů, dozorové orgány, rychlost hlášení i míru osobní odpovědnosti vedení.

Působnost a prahové hodnoty: na koho předpisy skutečně dopadají

Ačkoli NIS2 stanoví obecné velikostní prahy, členské státy tyto hranice upravily podle svých národních bezpečnostních priorit. Německo přijalo odlišnou terminologii – subjekty klasifikuje jako „obzvláště důležité“ nebo „důležité“ namísto „základních“ a „důležitých“, přičemž vylučuje obecní samosprávy ze spolkových pravidel.

Švédsko rozšiřuje svou působnost nad rámec osmnácti výchozích sektorů EU i na vnitrostátní veřejný sektor, jako jsou výzkumné ústavy a univerzity. Itálie zavádí komplexní korporátní kritéria na úrovni skupiny, která specifikují, jak kontrola mateřské společnosti a sdílená IT prostředí ovlivňují klasifikaci lokálních dceřiných společností.

Česká republika rozšiřuje působnost na menší subjekty v kritických dodavatelských řetězcích a uplatňuje jurisdikci nad poskytovateli ze zemí mimo EU, kteří obsluhují české zákazníky. Tyto odchylky znamenají, že dceřiná společnost působící v jednom členském státě může čelit mnohem přísnější klasifikaci než sesterská společnost v sousední zemi.

Modely dohledu: centralizovaná versus rozdělená pravomoc

Dozorové modely se pohybují mezi vysoce centralizovanými systémy s jedním úřadem a rozděleným sektorovým dohledem. Belgie a Řecko využívají centralizované modely, kde jediný národní orgán vystupuje jako výhradní regulátor, což zjednodušuje komunikaci pro povinné subjekty.

Dánsko rozděluje dozorové pravomoci mezi více odvětvových regulátorů, přičemž Agentura pro krizové řízení plní administrativní koordinační roli. Německo a Francie využívají hybridní modely, kde centrální agentury koordinují dohled nad místní kritickou infrastrukturou s regionálními úřady nebo sektorovými ministerstvy.

Hlášení incidentů: lhůty, prahové hodnoty a definice

Hlášení incidentů představuje provozně jednu z nejnáročnějších oblastí národních odchylek, jelikož jednotlivé země interpretují pojem „významný incident“ odlišně. Zatímco Německo striktně dodržuje unijní 24hodinovou lhůtu, Česká republika požaduje hlášení všech zjištěných incidentů, které narušují dostupnost systému, bez ohledu na jejich závažnost.

Kypr ukládá zkrácenou šestihodinovou lhůtu pro prvotní včasné varování ve vysoce kritických sektorech, což výrazně zpřísňuje standardní výchozí rámec. Rumunsko zavádí specifické rizikové vzorce kombinující objem ztracených dat, finanční dopad a dobu výpadku služby k výpočtu, zda incident dosahuje prahu pro nahlášení.

Sankce a odpovědnost vedení společnosti

Zatímco směrnice stanoví vysoké maximální pokuty, mechanismy vymáhání a odpovědnosti vedení se v jednotlivých zemích liší. Podle italského dekretu mohou členové statutárních orgánů nést osobní odpovědnost za škody způsobené nezavedením řádných opatření k řízení kybernetických rizik.

Řecko umožňuje národnímu orgánu dočasně zakázat vedoucím pracovníkům, kteří neplní předpisy, výkon řídicích funkcí. Švédsko zavádí podobný model osobních donucovacích pokut a profesní diskvalifikace pro opakované porušovatele, což zajišťuje, že compliance zůstane prioritou na úrovni představenstva.

Bezpečnost dodavatelského řetězce a záruky na úrovni skupiny

Článek 21 ukládá subjektům povinnost řešit zranitelnosti ve svých dodavatelských řetězcích, avšak členské státy k tomu přistupují s různou mírou administrativní přísnosti. Italská implementace vyžaduje, aby regulované subjekty prováděly formální kybernetické audity svých kritických ICT dodavatelů a promítly tyto požadavky do svých nákupních politik.

Rumunsko využívá detailní hodnocení rizik pro klasifikaci dodavatelů, což může přímo pod regulaci vtáhnout i malé poskytovatele IT služeb. V rámci finančního sektoru funguje nařízení DORA jako lex specialis, které vyjímá finanční subjekty z překrývajících se požadavků NIS2, i když po nich nadále požaduje řízení dodavatelských vztahů.

Přeshraniční daňový rozměr

Vytvoření přeshraničního rámce kybernetické bezpečnosti s sebou nese významné finanční a daňové souvislosti, které musí korporátní právní oddělení řešit. Když nadnárodní skupina centralizuje svou kyberbezpečnostní infrastrukturu, musí být tyto náklady alokovány na lokální dceřiné společnosti, které tyto služby využívají.

Z pohledu převodních cen (transfer pricing) budou daňové orgány tyto vnitroskupinové poplatky podrobně zkoumat podle směrnic OECD. Mateřská společnost musí prokázat, že lokální dceřiné společnosti z centralizovaných služeb skutečně měly ekonomický prospěch a že použité alokační klíče jsou logické a konzistentní.

Kromě toho mohou tyto přeshraniční vnitroskupinové platby vyvolat povinnosti k dani z přidané hodnoty a srážkové daně u softwarových licencí nebo poplatků za technické služby. Přeshraniční programy proto musí být koncipovány v úzké koordinaci s daňovými poradci, aby byl zajištěn soulad s místními daňovými předpisy.

Praktické případy: jak se odlišná pravidla NIS2 projevují v reálných situacích

Abychom pochopili, jak tato odlišná pravidla fungují v praxi, můžeme analyzovat tři běžné přeshraniční korporátní scénáře. Tyto scénáře demonstrují provozní komplexitu řízení compliance napříč více jurisdikcemi.

Případ 1: Panevropský poskytovatel cloudových a spravovaných služeb

Představte si poskytovatele cloudových a řízených služeb se sídlem v Německu, který provozuje datová centra v Itálii a poskytuje služby v Nizozemsku. Tento poskytovatel se musí současně orientovat v německém zákoně NIS2UmsuCG, italském legislativním dekretu a nizozemských přechodných pravidlech.

Incident ovlivňující službu vzdálené plochy by mohl vyvolat oznamovací povinnost ve všech třech jurisdikcích. Vzhledem k tomu, že Německo, Itálie a Nizozemsko mají různé oznamovací portály, technické prahy a očekávání v oblasti compliance, čelí poskytovatel značným provozním překážkám.

K řešení této situace může poskytovatel využít Anywhere.legal k centralizaci údajů o incidentu a technické dokumentace. Díky využití bezpečných nástrojů AI k předzpracování faktů o incidentu s ohledem na různá národní pravidla může poskytovatel rychle vygenerovat návrhy oznámení odpovídající specifickým prahovým hodnotám a formulářům jednotlivých zemí.

Případ 2: Výrobní skupina s decentralizovanými závody

Představte si výrobní skupinu se sídlem ve Francii, která provozuje výrobní závody v Polsku, Rumunsku a České republice, přičemž všechny jsou podporovány centralizovaným IT oddělením. Bezpečnostní incident v centralizovaném IT oddělení by mohl ovlivnit výrobní linky ve všech čtyřech zemích a vyvolat komplexní spleť regulatorních povinností.

Incident by musel být nahlášen NÚKIB podle širokých českých pravidel hlášení, agentuře ANSSI podle francouzských lhůt, do polského systému KSC a rumunskému DNSC. Tento multijurisdikční požadavek na hlášení vyžaduje absolutní preciznost, aby se předešlo správním sankcím a provozním prodlevám.

Pro zvládnutí této složité situace může skupina centralizovat data o svých regionálních subjektech, IT politiky a vnitroskupinové smlouvy v zabezpečeném prostředí. Využitím nástrojů pro vymezení rozsahu (scoping) s podporou AI k zmapování, které místní zákony se vztahují na jednotlivé dceřiné společnosti, může skupina identifikovat mezery v compliance a prioritizovat své kroky.

Případ 3: Veřejno-soukromé partnerství v oblasti infrastruktury

Představte si partnerství veřejného a soukromého sektoru (PPP), které provozuje větrné parky a dopravní infrastrukturu v Dánsku, Švédsku a Řecku. Toto partnerství se musí vypořádat s dánským decentralizovaným modelem, švédským zahrnutím veřejného sektoru a řeckými povinnými kontrolami i osobní odpovědností vedení.

Toto partnerství vyžaduje jednotný rámec compliance, který dokáže pojmout různé regulatorní struktury, technické požadavky a modely vymáhání. Založením centralizovaného spisu na Anywhere.legal mohou orgány veřejné správy i soukromí provozovatelé sdílet informace, sledovat regulatorní změny a řídit soulad s předpisy.

Využitím procesních nástrojů s podporou AI k zmapování povinností partnerství mohou partneři navrhnout zásady správy a řízení, které pokrývají jak obecné požadavky NIS2, tak specifická národní pravidla. To jim umožňuje spolupracovat s lokálními experty na přípravě jasných smluv, nastavení protokolů hlášení a zajištění toho, aby členové vedení rozuměli své lokální odpovědnosti.

Nastavení přeshraniční strategie souladu s NIS2 pomocí právních operací řízených AI

Řízení komplexních požadavků NIS2 vyžaduje přechod od roztříštěných lokálních snah o zajištění souladu k centralizovanému, procesně řízenému modelu. Spravování oddělených spisů, e-mailových vláken a právních stanovisek od desítek nezávislých advokátních kanceláří je neefektivní a zvyšuje riziko regulatorních pochybení.

Od fragmentace k jednotnému přehledu případu

Anywhere.legal poskytuje zabezpečené digitální prostředí, které sjednocuje korporátní data, interní politiky a regulatorní podání do jediného spisu. Shromážděním všech relevantních informací na jednom místě mohou organizace zavést jednotný přístup ke klasifikaci subjektů, řízení rizik i reakci na incidenty napříč celou svou evropskou působností.

Tento centralizovaný systém umožňuje centrálním právním týmům a compliance oddělením sledovat postup, hlídat regulatorní lhůty a udržovat plnou kontrolu nad celkovým stavem souladu ve skupině. Zefektivněním komunikace a správy dokumentů pomáhá platforma podnikům předcházet nákladným administrativním prodlevám a nekonzistentnímu hlášení.

Využití AI pro dokumentaci a analýzu

Administrativní nároky na zajištění souladu s NIS2 – včetně hodnocení rizik, plánů reakce na incidenty, dodavatelských směrnic a školicích materiálů pro vedení – vyžadují značné kapacity. Tradiční metody compliance často spoléhají na manuální tvorbu šablon, což je pomalé a náchylné k nekonzistentnostem.

Integrací bezpečných nástrojů AI do pracovního postupu mohou organizace zefektivnit proces tvorby dokumentace a identifikovat nedostatky. Nástroje AI dokáží analyzovat stávající směrnice, porovnat je s národními požadavky a vygenerovat prvotní návrhy interních předpisů, vnitroskupinových smluv a formulářů pro hlášení.

Cenový kalkulátor s podporou AI dokáže namodelovat složitost, rozsah a odhadované náklady projektů compliance v každé cílové jurisdikci, což organizacím umožňuje efektivně plánovat rozpočty, alokovat zdroje a řídit externí výdaje na právní služby.

Koordinace lokálních expertů ve sdíleném pracovním prostoru

Přestože nástroje AI a centralizované platformy zvyšují provozní efektivitu, lokální právní a regulatorní expertíza zůstává nenahraditelná. Porozumění tomu, jak místní tým CSIRT interpretuje technická vodítka, jak národní úřad provádí audity nebo jak místní soudy nahlížejí na odpovědnost jednatelů, vyžaduje přímý vklad kvalifikovaných odborníků.

Kolaborativní pracovní prostor Anywhere.legal propojuje interní právní týmy přímo se sítí prověřených místních specialistů v každém členském státě. Tento hybridní přístup kombinuje rychlost a efektivitu AI s odborností lokálních profesionálů, což zajišťuje, že kyberbezpečnostní zásady skupiny jsou jak jednotné, tak plně v souladu s vnitrostátními předpisy.

Pokyny ENISA a prováděcí nařízení

Komise přijala prováděcí nařízení 2024/2690, které specifikuje technické a metodické požadavky na opatření k řízení kybernetických bezpečnostních rizik. Agentura ENISA navíc pravidelně vydává podrobná vodítka mapující požadavky článku 21 na mezinárodní standardy, jako je ISO/IEC 27001.

Ačkoli pokyny ENISA nejsou právně závazné, národní regulátoři z nich při kontrolách a vyšetřováních incidentů často vycházejí. Organizace proto musí tyto technické aktualizace sledovat a promítat je do své dokumentace compliance, aby zajistily, že jejich bezpečnostní opatření odpovídají vyvíjejícím se regulatorním očekáváním.

Řízení Komise o nesplnění povinnosti a žaloby u Soudního dvora

Rozhodnutí Evropské komise zahájit řízení o nesplnění povinnosti a předat neplnící členské státy Soudnímu dvoru podtrhuje její odhodlání vymáhat dodržování směrnice. Tento aktivní tlak na vymáhání vytváří praktické překážky pro společnosti působící v zaostávajících jurisdikcích.

Společnost se musí připravovat na soulad s NIS2 na základě přechodných návrhů zákonů s vědomím, že finální místní zákony mohou být přijaty ve zrychleném režimu nebo obsahovat retroaktivní požadavky. Pro zvládnutí této nejistoty musí korporátní právní týmy přijmout flexibilní strategii souladu a připravit klíčové prvky compliance tak, aby je bylo možné rychle přizpůsobit konečným národním pravidlům.

Předvídání novelizací a národních vyjasnění

Transpozice NIS2 není jednorázovou událostí, ale začátkem trvalého regulatorního procesu. S postupnou implementací národních rámců budou vnitrostátní zákonodárci a dozorové orgány pokračovat ve vydávání novel, prováděcích vyhlášek a administrativních stanovisek.

K udržení dlouhodobého souladu musí nadnárodní skupiny zavést procesy průběžného monitoringu a udržovat své centrální spisy a dokumentaci aktualizované s tím, jak se lokální pravidla vyvíjejí. Chápáním souladu s NIS2 jako aktivního, nepřetržitého procesu řízení rizik mohou organizace efektivně zvládat legislativní změny a chránit své provozy napříč celou EU.

Závěr: Přeměna odlišných režimů NIS2 v řízený přeshraniční rámec

Implementace směrnice NIS2 vytvořila v EU komplexní a roztříštěné kyberbezpečnostní prostředí. Přestože národní rámce sdílejí společný základ daný směrnicí, výrazně se liší v prahových hodnotách působnosti, modelech dohledu, pravidlech ohlašování, výši sankcí i ustanoveních o odpovědnosti statutárních orgánů.

Pro nadnárodní korporátní skupiny představují tyto národní odchylky reálná regulatorní, provozní a finanční rizika. Chybné zařazení lokálních entit, nepřizpůsobení se místním oznamovacím lhůtám nebo podcenění zabezpečení dodavatelských řetězců může vést k vysokým správním pokutám, narušení provozu a osobní odpovědnosti členů vedení.

Anywhere.legal poskytuje platformu, procesní nástroje a síť expertů potřebné ke zvládnutí této komplexity. Centralizací dokumentace v zabezpečeném prostředí, využitím nástrojů AI pro předběžné vymezení rozsahu a rozdílovou analýzu a koordinací s prověřenými místními právními a daňovými specialisty mohou organizace proměnit roztříštěnou regulatorní výzvu ve strukturovaný, opakovatelný a nákladově efektivní program compliance.

Tento článek poskytuje obecnou analýzu stavu transpozice NIS2 pro informační účely a nepředstavuje individuální právní, finanční ani daňové poradenství. Konkrétní aplikace kyberbezpečnostních předpisů, lhůt a sankcí se liší podle jurisdikce a korporátní struktury, a veškeré strategie zajištění souladu by měly být posouzeny a validovány kvalifikovanými lokálními odborníky.

Potřebujete mezinárodní právní pomoc? Spojte se s námi prostřednictvím Anywhere.legal.

FAQ: Praktické další kroky pro přeshraniční soulad s NIS2

• 1. Jak zjistím, zda je moje společnost podle NIS2 v různých zemích „základním“, nebo „důležitým“ subjektem?
  Klasifikace závisí na vašem odvětví, velikosti podniku a specifických národních prahových hodnotách. Měli byste shromáždit podrobné údaje o všech subjektech skupiny – včetně počtu zaměstnanců, obratu a místních provozů – a porovnat je s transpozičními zákony a administrativními pokyny každého příslušného členského státu. Ačkoli bezpečné nástroje AI mohou provést prvotní zmapování a označit hraniční případy, konečná klasifikace musí být potvrzena místními právními experty, kteří rozumějí tomu, jak národní orgány tato kritéria interpretují v praxi.

• 2. Jaký je nejefektivnější způsob, jak zvládat různé lhůty pro hlášení incidentů napříč jurisdikcemi?
  Nejspolehlivějším přístupem je navrhnout vaše centrální postupy reakce na incidenty podle nejpřísnější lhůty ve vaší působnosti (např. 6hodinové nebo 24hodinové včasné varování) a současně umožnit místním týmům přizpůsobit obsah oznámení lokálním požadavkům. Využití centralizovaného pracovního prostoru pro evidenci incidentů a nástrojů AI pro přípravu návrhů hlášení pro jednotlivé země vám pomůže dodržet překrývající se termíny, aniž byste regulátorům zasílali rozporuplné informace.

• 3. Jak by měli členové představenstva a vrcholné vedení přistupovat k povinnostem vyplývajícím z NIS2, aniž by se museli stát IT specialisty?
  Členové statutárních orgánů nemusí být technickými experty, ale musí rozumět svým regulatorním povinnostem, schvalovat zásady řízení rizik a dohlížet na jejich realizaci. Vedení by mělo zavést formální rámce správy kybernetické bezpečnosti, pravidelně dostávat přehledy o stavu compliance a zajistit, aby interní IT a právní týmy měly odpovídající zdroje. Využívání strukturovaných přehledů compliance a expertně ověřených map rizik může orgánům společnosti pomoci činit informovaná rozhodnutí a prokázat, že činí přiměřené kroky k ochraně organizace.

• 4. Jak NIS2 interaguje s dalšími předpisy EU, jako jsou GDPR nebo DORA?
  NIS2 stanoví obecné standardy kybernetické bezpečnosti, zatímco GDPR se zaměřuje na ochranu osobních údajů a DORA slouží jako lex specialis pro finanční sektor. Jediný kybernetický incident může vyvolat oznamovací povinnosti a požadavky na řešení podle všech tří rámců. K zvládnutí tohoto překryvu by organizace měly navrhnout jednotné procesy reakce na incidenty, které zohledňují specifické požadavky na hlášení, technické standardy a dozorové orgány každého nařízení, a zajistit tak soulad bez duplicitního úsilí.

• 5. Co mohu dělat nyní, pokud působím v členských státech, kde transpozice NIS2 stále nebyla dokončena?
  Můžete začít zmapováním entit a služeb ve skupině, sladěním základních politik řízení rizik se základními standardy článku 21 a sledováním lokálních návrhů zákonů. Příprava centralizované dokumentace souladu a struktur správy, které lze flexibilně upravit po schválení místních zákonů, vám umožní rychle reagovat a vyhnout se unáhlenému plnění povinností na poslední chvíli.

• 6. Je využívání AI nástrojů pro compliance s NIS2 rizikové z regulatorního pohledu?
  Regulátoři hodnotí, zda plníte své zákonné povinnosti, nikoli jaké interní nástroje k jejich řízení používáte – za předpokladu, že jsou tyto nástroje bezpečné a chrání důvěrné informace. Nástroje AI jsou vysoce efektivní pro analýzu dokumentů, odhalování nesouladů a počáteční tvorbu textů, nemohou však nahradit odborný právní úsudek. Pro zajištění regulatorního souladu by výstupy generované AI měly být vždy přezkoumány, upraveny a validovány kvalifikovanými právními a daňovými experty, kteří detailně znají lokální legislativu i praxi.