Co 'bez zbytečného odkladu' skutečně znamená na 24hodinové lhůtě NIS 2
Čl. 23(4)(a) NIS 2 má dva časovače, nikoli jeden. Znalost rozdílu je rozdílem mezi obhajobou včasného včasného varování a čelením vyhnutelné pokutě podle §65 BSIG.
Proč na znění záleží
Čl. 23(4)(a) NIS 2 říká, že včasné varování je splatné 'bez zbytečného odkladu a v každém případě do 24 hodin' od okamžiku, kdy se subjekt dozvěděl o významném incidentu. Dva časovače, nikoli jeden. Údaj 24 hodin je tvrdým stropem; operativní povinností je první formulace.
V praxi to znamená: oznámení, které dorazí ve 23. hodině, může být stále opožděné, pokud ho subjekt mohl rozumně podat ve 4. hodině. 'Rozumně' je to, co auditoři zpětně testují.
Čtenáři, kteří se s tím setkávají poprvé, se fixují na číslo 24 hodin a přehlížejí právní strukturu. Pochopení obou lhůt je nejlevnější obrana, kterou si můžete připravit předem před incidentem.
Čl. 23(4)(a) NIS 2
V příslušných případech včasné varování, které bez zbytečného odkladu a v každém případě do 24 hodin od okamžiku, kdy se subjekt dozvěděl o významném incidentu, uvede, zda existuje podezření, že je významný incident způsoben protiprávním nebo zlovolným jednáním, nebo zda by mohl mít přeshraniční dopad.
Dva časovače výslovně pojmenované ve stejné větě. 'Bez zbytečného odkladu' je operativní povinnost; '24 hodin' je vnější mez. Spouštěčem je vědomí, nikoli detekce.
§32(1) Nr. 1 BSIG
Wesentliche und wichtige Einrichtungen melden dem Bundesamt erhebliche Sicherheitsvorfälle unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung als frühe Erstmeldung.
Německá transpozice používá 'unverzüglich' pro 'bez zbytečného odkladu'. 'Unverzüglich' je definovaný právní pojem v §121(1) BGB, totiž 'ohne schuldhaftes Zögern', bez zaviněného otálení. Tato definice vnáší do oznamovací povinnosti NIS 2 celý soubor německé judikatury.
Bod odůvodnění 102 NIS 2 (pozadí)
Při určení oznamovacích povinností, časového harmonogramu oznámení a formátu oznámení by mělo být zohledněno posouzení dopadu incidentu.
Bod odůvodnění 102 je interpretační nápověda: načasování oznámení není odtrženo od rozumného posouzení subjektu. Neočekává se od vás, že podáte oznámení dříve, než budete mít informace; očekává se od vás, že podáte oznámení, jakmile to rozumně mohlo být.
Lhůta 1: bez zbytečného odkladu
Operativní povinnost. Subjekt musí podat oznámení, jakmile to rozumně může, poté co se dozvěděl. 'Rozumné' umožňuje čas na potvrzení faktů a interní eskalaci; neumožňuje dávkování pro pohodlí ani čekání na začátek pracovního dne.
Lhůta 2: v každém případě do 24 hodin
Tvrdý strop. Ať už 'rozumné' v daném případě znamenalo cokoli, včasné varování nesmí být později než 24 hodin po vědomí. Po tomto okamžiku je subjekt v porušení i s dokonalým zdůvodněním.
Spouštěč: vědomí
Nikoli technická detekce. Vědomí v právním smyslu je okamžik, kdy subjekt, jednající rozumně, věděl nebo měl vědět. Výstraha SIEM ležící nepřečtená ve frontě se může u subjektu již počítat jako vědomí, pokud by ji rozumně fungující SOC přečetl.
Povoleno: čas na potvrzení
Nemusíte podávat oznámení dříve, než budete mít smysluplné informace. Několik hodin na třídění, potvrzení rozsahu a vyloučení falešných poplachů je rozumné. Směrnice nepostihuje odpovědné ověření.
Povoleno: čas na eskalaci
Interní eskalace přes řetězec reakce na incidenty, s podpisem určeného pracovníka pro hlášení, je součástí běžného řádného postupu. Dvouhodinová eskalace v pracovní době je rozumná; dvacetihodinové čekání, než přiletí generální ředitel z dovolené, není.
Nepovoleno: dávkování pro pohodlí
Čekání na sloučení více podezřelých incidentů, čekání na pracovní dobu, když k incidentu došlo ve 22:00, čekání na ustálení mediální strategie, žádný z těchto důvodů audit nepřežije. 'Unverzüglich' toleruje ověření, nikoli odklad pro vlastní pohodlí subjektu.
14:00, SOC detekuje šifrovací aktivitu na souborovém serveru
Technická detekce. Ještě ne právní vědomí, pokud SOC vyšetřuje. Subjekt je upozorněn, ale ještě si nevytvořil názor, že incident je významný.
15:30, incident potvrzen jako ransomware, rozsah částečně jasný
Vědomí vzniká nyní nejpozději. Obě lhůty začínají. Vnější mez 24 hodin končí v 15:30 následujícího dne. Povinnost 'bez zbytečného odkladu' se zapojuje okamžitě.
16:45, odesláno včasné varování
75 minut po potvrzení. Obhajitelné 'bez zbytečného odkladu', pokud subjekt využil čas k ověření a k interní eskalaci na určeného pracovníka pro hlášení. Oznámení zahrnuje dvě povinné obsahové položky podle čl. 23(4)(a): podezření na zlovolnou příčinu a posouzení přeshraničního dopadu.
Když BSI nebo národní příslušný orgán zpětně auditují incident, dokumentem zájmu je vlastní záznam časové osy subjektu. Očekávají se tři sloupce: čas události, co bylo v tu chvíli známo, jaká akce byla podniknuta.
Audit pokládá jednu otázku: byl v každém bodě časové osy další krok rozumný vzhledem k tomu, co bylo známo. Čistý záznam s opatrnými akcemi obhájí načasování oznámení. Strohý záznam vyzývá auditora, aby předpokládal nejhorší.
- Směrnice (EU) 2022/2555 (NIS 2), čl. 23(4)(a), bod odůvodnění 102, www.eur-lex.europa.eu
- Zákon o spolkovém úřadu pro informační bezpečnost (BSIG), §32, www.gesetze-im-internet.de
- Bürgerliches Gesetzbuch (BGB), §121(1), definice 'unverzüglich'
- ENISA Technical Implementation Guidance v1.0 (červen 2025), §5 k dokumentaci časové osy incidentu
Tato stránka poskytuje strukturovaný návod na základě veřejně dostupných zdrojů (směrnice NIS 2, BSIG, BGB, ENISA TIG). Nepředstavuje právní poradenství ve smyslu §2 RDG. Zda je konkrétní odklad v daném případě 'zbytečný', je právní otázka pro advokáta s oprávněním. Stav k 2026-06-04.