Stav NIS 2 ve Finsku
Co směrnice vyžaduje, jak ji Finsko implementuje a kde v tom obraze sedí Traficom a NCSC-FI.
Přehled
Směrnice NIS 2 je vrstvou EU. Zavazuje každý členský stát, včetně Finska, k jediné minimální laťce pro základní a důležité subjekty. Finsko musí tuto laťku přenést do finského práva a pod ní provozovat dozor.
Finsko transponuje NIS 2 prostřednictvím zákona o kybernetické bezpečnosti (Kyberturvallisuuslaki, zákon 124/2025). Parlament jej schválil 11. března 2025 a nabyl účinnosti 8. dubna 2025. To je po lhůtě EU dne 17. října 2024. Dne 7. května 2025 zaslala Evropská komise Finsku a osmnácti dalším členským státům odůvodněné stanovisko za to, že včas neoznámily úplnou transpozici.
Dozor je rozdělen odvětví po odvětví. Finská agentura pro dopravu a komunikace, Traficom, dozoruje nejpočetnější skupinu odvětví a sídlí v ní Národní centrum kybernetické bezpečnosti Finsko (NCSC-FI), které je národním CSIRT a jednotným kontaktním místem podle čl. 8 odst. 3 směrnice. Vedle Traficomu dozorují svá vlastní odvětví Energetický úřad (Energiavirasto), Finská agentura pro bezpečnost a chemikálie (Tukes) a další odvětvové orgány. Bankovnictví a infrastruktury finančních trhů spadají pod DORA, nikoli pod finský zákon o kybernetické bezpečnosti.
Směrnice EU
Směrnice (EU) 2022/2555 (NIS 2)
Celounijní směrnice o kybernetické bezpečnosti. Stanoví povinnosti, které musí každý členský stát transponovat, včetně testu velikosti a odvětví pro základní a důležité subjekty.
Prováděcí akt EU
Prováděcí nařízení (EU) 2024/2690
Technické a metodické požadavky pro poskytovatele DNS, registry TLD, poskytovatele cloudu, datových center a CDN, poskytovatele řízených (bezpečnostních) služeb, online tržiště, vyhledávače, sociální sítě a poskytovatele služeb vytvářejících důvěru. Ve Finsku přímo použitelné, bez nutnosti národní transpozice.
Finská transpozice
Zákon o kybernetické bezpečnosti 124/2025, účinný od 8. dubna 2025
Finská transpozice NIS 2. Horizontální zákon o kybernetické bezpečnosti, který konsoliduje povinnosti dříve rozptýlené napříč několika odvětvovými zákony. Provozní detail doplňují nařízení a metodika Traficomu.
Zákon o kybernetické bezpečnosti 124/2025
Vnáší povinnosti NIS 2 do finského práva. Definuje základní a důležité subjekty, dozorové pravomoci, povinnosti oznamování incidentů a sankce. Provozní detail navazuje prostřednictvím nařízení a metodiky Traficomu.
Traficom a NCSC-FI
Traficom dozoruje dopravu, digitální infrastrukturu, správu IKT služeb, kosmický prostor, poštovní a kurýrní služby, digitální poskytovatele, výzkum a výrobu vozidel a sídlí v něm NCSC-FI jako národní CSIRT a jednotné kontaktní místo. Další odvětví spadají pod vlastní orgány, zejména Energiavirasto pro elektřinu, dálkové vytápění a plynové sítě a Tukes pro ropu, skladování plynu a rafinerie, výrobu vodíku, chemikálie a části zpracovatelského průmyslu. Bankovnictví a infrastruktury finančních trhů pokrývá DORA.
Registrace a hlášení
Finské subjekty se musely zaregistrovat u svého odvětvového dozoru do 8. května 2025. Změny registrovaných údajů je třeba hlásit do dvou týdnů. Významné incidenty se řídí směrnicí: včasné varování do 24 hodin, oznámení do 72 hodin, závěrečná zpráva do jednoho měsíce. Všechna oznámení jsou předávána CSIRT v NCSC-FI.
Ve Finsku platí finské právo
Činnost na finském území se řídí finskou transpozicí. Jednatel české společnosti s finskou dceřinou společností čte pro tu dceřinou společnost zákon o kybernetické bezpečnosti 124/2025, nikoli český zákon č. 264/2025 Sb. Povinnosti směrnice jsou totožné. Postup, dozor a sankce žijí ve finském právu.
Finsko nemůže klesnout pod minimální úroveň EU
Směrnice je nástrojem minimální harmonizace. Finsko může být přísnější. Finsko nesmí klesnout pod směrnici, ani u povinností pro základní a důležité subjekty, ani u lhůt pro hlášení, ani u odpovědnosti řídicího orgánu.
Traficom
Finská agentura pro dopravu a komunikace přímo dozoruje dopravu, digitální infrastrukturu, správu IKT služeb, kosmický prostor, poštovní a kurýrní služby, digitální poskytovatele, výzkum a výrobu vozidel a dopravního vybavení a podle samostatného zákona i veřejnou správu. Jako každý finský dozorový orgán vede seznam subjektů pro svá vlastní odvětví.
NCSC-FI (Kyberturvallisuuskeskus)
Národní centrum kybernetické bezpečnosti uvnitř Traficomu je národní CSIRT a jednotné kontaktní místo podle čl. 8 odst. 3 směrnice. Významný incident se právně oznamuje příslušnému odvětvovému dozorovému orgánu, který jej okamžitě předá NCSC-FI; v praxi jeden sdílený formulář Traficomu dorazí k dozorovému orgánu, CSIRT i jednotnému kontaktnímu místu zároveň.
ENISA
Agentura EU pro kybernetickou bezpečnost. Vydává metodiky, provozuje evropskou databázi zranitelností a koordinuje přes hranice. Není dozorem pro finské subjekty. Ten spočívá na Traficomu a odvětvových orgánech.
Finsko provádí NIS 2 stejně jako Česko, takže nám stačí číst český zákon.
Povinnosti směrnice jsou totožné, dozorová architektura nikoli. V Česku má dozor podle zákona č. 264/2025 Sb. jeden úřad, NÚKIB. Finsko dozor rozděluje mezi odvětvové regulátory s koordinací Traficomu a NCSC-FI. Kdo promítne český model na Finsko, splete si dozor i cestu hlášení.
Oficiální seznam zatím neexistuje, takže můžeme počkat.
Registrace je povinná od 8. dubna 2025 a počáteční lhůta byla 8. května 2025. Každý odvětvový dozorový orgán vede seznam subjektů NIS 2 ve svých odvětvích. Být neregistrován neznamená být ve shodě, znamená to být pro dozor neviditelný. Změny registrovaných údajů se musí hlásit do dvou týdnů (čl. 3 odst. 4 NIS 2, § 41 finského zákona).
Můj odvětvový regulátor řeší vše, NCSC-FI je jen poradní.
Odvětvový orgán provádí dozor a audity a je také místem, kde se významný incident právně oznamuje. Dozorový orgán předává každé oznámení okamžitě CSIRT u NCSC-FI a v praxi jeden sdílený formulář Traficomu doručí hlášení dozorovému orgánu, CSIRT i jednotnému kontaktnímu místu zároveň. Použijte tento formulář místo ručního psaní jednotlivým orgánům.
Supervision and the reporting channel sit at the sector level, scope is wider than under the old Finnish cybersecurity regime, and the management body (toimitusjohtaja, hallitus) carries heavier responsibility. The management body approves and oversees the risk management procedure and must have adequate familiarity with cybersecurity risk management; at essential entities, repeated serious breaches can lead to a temporary ban from the board.
Praktický krok je stejný jako všude v EU: proveďte kontrolu působnosti proti směrnici, zaregistrujte se u odvětvového dozorového orgánu a objevte se na jeho seznamu subjektů, nastavte čtyři průběžné povinnosti (udržujte registrační údaje aktuální, hlášení incidentů, riziko dodavatelského řetězce, dozor řídicího orgánu) a zdokumentujte minimum. Použití sdíleného oznamovacího formuláře Traficomu udržuje cestu hlášení čistou.
- Směrnice (EU) 2022/2555 (NIS 2), EUR-Lex
- Prováděcí nařízení (EU) 2024/2690
- Zákon o kybernetické bezpečnosti 124/2025 (Kyberturvallisuuslaki), Finlex
- Traficom, finská agentura pro dopravu a komunikace, oficiální stránka o transpozici NIS 2
- Kyberturvallisuuskeskus (NCSC-FI), národní CSIRT a jednotné kontaktní místo
- Energiavirasto, odvětvový dozor pro elektřinu, dálkové vytápění a plyn
- Tukes (Finská agentura pro bezpečnost a chemikálie): odvětvový dozorový orgán pro ropu, skladování plynu, výrobu vodíku, chemikálie a části zpracovatelského průmyslu
- Odůvodněné stanovisko Evropské komise ze dne 7. května 2025 k transpozici NIS 2
V praxi
Co mění národní zákon a co ne
Národní zákon mimo jiné určuje, kde se registrujete a komu hlásíte incidenty. Samotná opatření vycházejí ve všech členských státech ze stejného minimálního seznamu (čl. 21 NIS 2). Průvodce vás jimi provede krok za krokem:
Řízení rizik
Sepište, co vaše firma má
Seznam procesů, programů a zařízení, se kterými pracujete.
Řešení incidentů
Naplánujte, co se stane při incidentu
Kdo rozhoduje, komu voláte, jak se spojíte.
Posouzení účinnosti
Zapište přezkoumání vedením
Vedení kontroluje, zda opatření fungují, a schvaluje vaše dokumenty.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
