Pro vedení

Plán NIS2: sedm kroků k zavedení NIS2, pro vedení

Sedm kroků v pořadí, v jakém přicházejí: ověřit, zda se vás NIS2 týká, zaregistrovat se u BSI, proškolit vedení, sepsat, co máte, zapojit dodavatele, zavést opatření a nakonec schválit a dohlížet. U každého kroku je uvedeno, kdo ho dělá a jaké ustanovení ho vyžaduje.

Začít

Domluvit hovor

Rozhoduje někdo jiný? Jedna stránka pro vaše vedení

Simon Orzel·Zuletzt geprüft 5. Oktober 2026

1lze delegovat

Ověřit, zda se vás NIS2 týká

Zda je vaše firma základním nebo důležitým subjektem, závisí na odvětví, počtu zaměstnanců a obratu. V Německu vás otázkami provede ověření dotčenosti od BSI. BSI uvádí, že jeho výsledek není právně závazný. V případě pochybností rozhodne právní posouzení konkrétního případu.

Právní základ: Art. 2, 3 NIS 2 · § 28 BSIG (DE)
Kdo: Vedení nebo osoba, kterou pověří

K ověření dotčenosti od BSI

2lze delegovat

Zaregistrovat se u svého úřadu

Nejpozději tři měsíce poté, co se vaše firma stane dotčenou, ji zaregistrujete u BSI, přes portál BSI s vaším firemním účtem. Existující certifikát organizace z ELSTER, například z daňových podání, lze použít znovu. Nový se aktivuje dopisem; podle Mein Unternehmenskonto to trvá nejméně pět pracovních dnů. Pokud máte provozovny v dalších zemích EU, registrujete se i tam.

Právní základ: Art. 3(4) NIS 2 · § 33 BSIG (DE)
Kdo: Kdo spravuje firemní účet (ELSTER)

Úřady ve všech zemích EU

Krok v průvodci: registrace u BSI, vysvětlená jednoduchými slovy — V průvodci nisd2.eu: Průvodce vysvětlí registraci jednoduchými slovy a vy zaznamenáte ID svého uživatelského účtu a datum registrace.

3osobně

Proškolit vedení

Každý člen vedení se pravidelně účastní školení, aby dokázal rozpoznat a posoudit rizika a postupy řízení rizik v bezpečnosti informací. Interval zákon nestanoví. Důvodová zpráva vykládá „pravidelně“ jako školení nabízená nejméně jednou za tři roky. Zákon nevyžaduje minimální délku ani schválení poskytovatele.

Právní základ: Art. 20(2) NIS 2 · § 38(3) BSIG (DE)
Kdo: Vedení, osobně

Kurz pro vedení

4lze delegovat

Sepsat, co máte, a posoudit rizika

Nejprve seznam: software, zařízení, služby a procesy, na kterých váš provoz závisí. Potom u každé položky, co se může stát a jak vážné by to bylo. Jak důkladně, závisí na velikosti a riziku vaší firmy (§ 30(1) věta druhá BSIG). Co rozhodnete, zaznamenáte (věta třetí).

Právní základ: Art. 21(2)(a), (i) NIS 2 · § 30(2) č. 1, 9 BSIG (DE)
Kdo: Vedoucí IT, s odbornými útvary

Jak provést analýzu rizik

Matice rizik vzorové firmy: kolik položek leží v každém poli — V průvodci nisd2.eu: Zaškrtnete, co vaše firma používá, a každou položku ohodnotíte na matici standardu BSI 200-3. Přehled ukáže, co potřebuje ochranu nejdřív.

5lze delegovat

Zapojit dodavatele

Jde o všechny přímé dodavatele a poskytovatele služeb, nejen o IT. Zaznamenejte, kdo pro vás pracuje, jak moc je váš provoz na kom závislý a co jste s nimi dohodli o bezpečnosti.

Právní základ: Art. 21(2)(d) NIS 2 · § 30(2) č. 4 BSIG (DE)
Kdo: Nákup nebo vedoucí IT

Dodavatelský řetězec podle NIS2

Závazky dodavatele, jak je zákazník čte ve svém registru dodavatelů — V průvodci nisd2.eu: Koho uvedete jako dodavatele svého softwaru a techniky, ten už je na vašem seznamu dodavatelů. Dodavatelé na nisd2.eu jednou vyplní jednotný bezpečnostní dotazník a vy si jejich odpovědi přečtete ve svém registru dodavatelů.

6lze delegovat

Zavést opatření a zaznamenat je

§ 30(2) BSIG uvádí deset oblastí, od zvládání bezpečnostních incidentů přes zálohy a dodavatelský řetězec po druhý faktor při přihlášení. Jak důkladné musí každé opatření být, závisí na velikosti a riziku. Významné incidenty hlásíte společnému ohlašovacímu místu BSI a Spolkového úřadu pro ochranu obyvatelstva a pomoc při katastrofách: včasné varování do 24 hodin, oznámení incidentu do 72 hodin a závěrečnou zprávu měsíc po oznámení (§ 32(1) BSIG).

Právní základ: Art. 21, 23 NIS 2 · §§ 30, 32 BSIG (DE)
Kdo: Vedoucí IT nebo pověřenec pro bezpečnost informací

Všechny požadavky v přehledu

Co zůstává po schválení: co dělat při incidentu a co se opakuje — V průvodci nisd2.eu: Průvodce s vámi z vašich odpovědí sepíše bezpečnostní politiku a plán reakce na incidenty. Po schválení jedna stránka říká, co dělat při incidentu a co se opakuje.

7osobně

Schválit a dohlížet na zavádění

Vedení je povinno opatření zavést a dohlížet na jejich zavádění (§ 38(1) BSIG). Směrnice EU navíc vyžaduje, aby opatření schválilo (Art. 20(1) NIS 2). Jak často vedení kontroluje stav, zákon nestanoví.

Právní základ: Art. 20(1) NIS 2 · § 38(1) BSIG (DE)
Kdo: Vedení, osobně

Jaké dokumenty NIS2 vyžaduje

Dokumenty z průvodce schválené vedením, každý se jménem a datem — V průvodci nisd2.eu: Na konci vedení dokumenty přečte a schválí je v aplikaci pod vlastním účtem. Jméno a datum se pak objeví na každém dokumentu.

Co to znamená pro firmu s 50 až 150 zaměstnanci

Sedm kroků platí pro každou dotčenou firmu. Kolik práce každý z nich dá, závisí na velikosti a riziku.

Dva kroky zůstávají osobně na vedení: školení a schválení s dohledem. Ostatní obvykle zajistí vedoucí IT, nákup nebo poskytovatel IT služeb.

Pevnou lhůtu má registrace: nejpozději tři měsíce poté, co se vaše firma stane dotčenou. Ostatní povinnosti platí od téhož dne.

§ 30(1) věta druhá · § 33(1) · § 38 BSIG

Příklad

Smyšlená firma: výrobce balicích strojů se 110 zaměstnanci a jedním jednatelem.

Ověřit: strojírenství je uvedeno v příloze 2 BSIG. Se 110 zaměstnanci je firma důležitým subjektem.

Zaregistrovat: kvůli daním už má certifikát organizace z ELSTER. S ním se zaregistruje na portálu BSI.

Proškolit: jednatel absolvuje školení pro vedení a zaznamená datum a obsah.

Sepsat: vedoucí IT zapíše, na čem provoz závisí: ERP, konstrukční software, řízení výroby, e-mail. U každé položky posoudí, co se může stát.

Dodavatelé: nákup začne seznamem z účtárny. Poskytovatel IT služeb a dodavatel ERP jsou nahoře.

Opatření: z toho vznikne bezpečnostní politika a plán reakce na incidenty. Plán také říká, kdo incident hlásí.

Schválit: jednatel dokumenty přečte a schválí. Jednou ročně s vedoucím IT zkontroluje stav; tento interval si firma zvolila sama.

Jak to probíhá v průvodci

Průvodce na nisd2.eu vás zavedením provede v tomto pořadí, krok za krokem.

20 kroků. Provozovatelé kritických zařízení mají o jeden krok víc.

U každého kroku je předpis, vysvětlený jednoduchými slovy.

Co ještě nejde, odložíte stranou a pokračujete dál.

Pokud se rozhodnete některý bod vědomě nezavést, zapíšete proč. Vedení toto rozhodnutí podepíše také.

Na konci vedení schválí dokumenty v aplikaci pod vlastním účtem. Jméno a datum se pak objeví na každém dokumentu.

Začít prvním krokem

Časté otázky

Co patří do plánu NIS2?

Sedm kroků: ověřit, zda se vás NIS2 týká, zaregistrovat se u BSI, proškolit vedení, sepsat, co máte, a posoudit rizika, zapojit dodavatele, zavést opatření a zaznamenat je, schválit a dohlížet.

Které kroky musí vedení udělat samo?

Školení a dohled nad zaváděním (§ 38(1) a (3) BSIG). Zbytek práce může předat, ale ne povinnost zajistit, aby se udělala.

Jaké jsou lhůty?

Registrace je splatná nejpozději tři měsíce poté, co se vaše firma stane dotčenou (§ 33(1) BSIG). Významné incidenty se hlásí do 24 hodin, 72 hodin a jednoho měsíce (§ 32(1) BSIG). Opatření platí ode dne, kdy se vaše firma stane dotčenou.

Potřebujeme certifikaci, například ISO 27001?

Zákon ji nevyžaduje. Co zavádíte, zapíšete (§ 30(1) věta třetí BSIG). Certifikát může vaše doklady podpořit.

Zdroje

Zákon o BSI (BSIG) §§ 28, 30, 32, 33, 38, gesetze-im-internet.de/bsig_2025
Směrnice (EU) 2022/2555 (NIS 2), Art. 2, 3, 20, 21, 23, EUR-Lex
Důvodová zpráva k NIS2UmsuCG, tisk Spolkového sněmu 21/1501, s. 154 (k § 38(3))
BSI: ověření dotčenosti NIS 2, betroffenheitspruefung-nis-2.bsi.de
Mein Unternehmenskonto: nápověda k certifikátu organizace z ELSTER, info.mein-unternehmenskonto.de