náš zákazník chce vědět, zda na nás dopadá NIS2, co mám vyplnit

Samo sebe spadat pod NIS2 je odlišná otázka od toho, že jí musíte vyhovět

Zda vaše podnik sám podléhá povinnostem NIS2, závisí na odvětví a velikosti — nikoli na tom, zda to váš zákazník požaduje. NIS2 pracuje se seznamem odvětví (přílohy I a II směrnice) a prahovými hodnotami velikosti: střední nebo velký podle definice EU. Pokud spadáte do této kategorie, jste "podstatným" nebo "důležitým subjektem" a povinnosti podle článku 21 se na vás vztahují přímo, bez ohledu na to, co zákazník napíše do dotazníku. Pokud do ní nespadáte, můžete to jednoduše vyplnit jako "ne, sami nejsme nezávisle povinní podle NIS2" — není to vyhýbavá odpověď, je to správná odpověď, pokud fakticky odpovídá skutečnosti.

Kde se často stává chyba: dodavatel, který sám spadá mimo rozsah, se podrobuje požadavkům článku 21 přesto prostřednictvím smlouvy, protože jeho zákazník to musí posuzovat podle svých vlastních bezpečnostních požadavků na dodavatele To pak není povinnost podle NIS2 pro vás, ale smluvní přenesení této povinnosti. Vyplňte tedy odpověď na otázku, jak ji formulují: "spadáte pod NIS2" je ano/ne na váš vlastní status, nikoli na to, zda používáte opatření podobná NIS2. Tyto dva aspekty se často mylně zaměňují, a vyplnit "ano" proto, že už pracujete na ISO 27001 nebo máte certifikaci, je fakticky nesprávné, pokud sami nespadáte do rozsahu.

Československá implementace se realizuje prostřednictvím Zákona o kybernetické bezpečnosti

Samotná směrnice (2022/2555) definuje odvětví a práh velkosti pro podstatné a důležité subjekty; české provedení — kdo přesně bude určen a s jakými termíny dohledu — probíhá prostřednictvím Zákona o kybernetické bezpečnosti, který vstupuje v platnost 15. srpna 2026. Do tohoto data neexistuje žádné národní určení, na které byste mohli opřít "ano"; poté ano, pokud váš podnik bude na konečném seznamu. Dokud zákon nevstoupí v platnost, je "ještě se neuplatňuje" nebo "ještě se určuje" fakticky správná odpověď, nikoli "ne" — to naznačuje trvalé vyloučení, které zatím neexistuje.