3
Jak postupovat v případě, že se na Vás vztahuje NIS 2
Mgr. Mgr. Radana Burešová
V případě, že subjekt (právnická, popř. fyzická osoba) dospěje k závěru, že se na něj vztahuje směrnice Evropského parlamentu a Rady (EU) 2022/2555 ze dne 14. prosince 2022 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii a o změně nařízení (EU) č. 910/2014 a směrnice (EU) 2018/1972 a o zrušení směrnice (EU) 2016/1148 (směrnice NIS 2), resp. česká právní úprava přijatá na jejím základě, bude se muset zaregistrovat u Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB).
Postup této registrace bude upraven v českých předpisech (zákonu a vyhlášce) přijatých k provedení směrnice NIS 2. Tyto předpisy jsou v současné době ve fázi přípravy a očekává se, že nabydou účinnosti v roce 2024.
Níže uvedené informace tedy budou muset být upřesněny, až bude známo definitivní znění příslušných právních předpisů. Nicméně již teď lze vycházet z určitých principů, které vyplývají přímo ze směrnice NIS 2:
1. Povinné subjekty se budou muset tzv. samoidentifikovat, tj. samy vyhodnotit, zda se na ně vztahuje směrnice NIS 2, resp. příslušné české právní předpisy, a pokud tomu tak bude, budou se muset zaregistrovat u NÚKIB.
2. Registrace a případná další komunikace s NÚKIB (např. hlášení bezpečnostních incidentů) bude probíhat prostřednictvím speciálního portálu NÚKIB.
3. Nesplnění uvedených povinností bude sankcionováno.
Registraci bude nutno provést nejpozději do 30 dnů ode dne, kdy příslušný subjekt zjistí, že došlo k naplnění kritérií pro identifikaci regulované služby (subjektivní lhůta), nejpozději však do 90 dnů ode dne, kdy k naplnění kritérií pro identifikaci regulované služby došlo (objektivní lhůta). V některých případech registraci z úřední povinnosti provede NÚKIB (např. když ji neprovede subjekt sám).
Na základě registrace NÚKIB provede zápis registrovaného subjektu do evidence poskytovatelů regulovaných služeb. Osoby zapsané v této evidenci budou povinny plnit všechny povinnosti vyplývající ze zákona, a to od okamžiku doručení vyrozumění o zápisu do evidence poskytovatelů regulovaných služeb až do okamžiku doručení vyrozumění o výmazu z evidence poskytovatelů regulovaných služeb.
Nesplnění povinnosti registrovat se, popř. ohlásit některé skutečnosti uvedené níže, bude sankcionováno pokutou. U méně závažných přestupků bude maximální výše pokuty stanovena pevnou částkou…
