které sektory podléhají směrnici NIS2

Jedenáct sektorů s vysokým rizikem, sedm pod ním

NIS2 pracuje se seznamem sektorů rozděleným do dvou příloh. Příloha I uvádí sektory s nejvyšším rizikem: energetika, doprava, bankovnictví, pitná voda, odpadní voda, digitální infrastruktura, veřejná správa, zdravotnictví, kosmonautika a několik dalších. Organizace v těchto odvětvích mohou být v závislosti na jejich velikosti považovány za kritickou entitu. Příloha II uvádí sektory považované za důležité: poštovní a kurýrní služby, nakládání s odpady, chemie, potraviny, výroba určitých zboží, poskytovatelé digitálních služeb a výzkum. Obě přílohy jsou zahrnuty v Zákoně o kybernetické bezpečnosti, v českém přenosu směrnice.

Sektor není jediným kritériem. V rámci těchto sektorů hraje roli také velikost organizace — počet zaměstnanců a roční obrat mají vliv na to, zda se něco klasifikuje jako kritické, důležité, nebo vůbec se nedotýká. Kromě toho existuje skupina, která není uvedena v přílohách, ale přesto je postižena důsledky: dodavatelé kritické nebo důležité entity, kteří prostřednictvím povinnosti svého zákazníka v oblasti bezpečnosti dostávají seznamy otázek zabezpečení a smluvní požadavky, aniž by sami podléhali povinnosti. Kdo chce vědět co se přesně mění s národním zákonem najde tam překlad těchto příloh do českého textu. Finanční instituce jsou výjimkou: podléhají jiné evropské nařízení a nikoli NIS2.

Na čem se to zakládá: přílohy směrnice

Rozdělení sektorů vychází z příloh Směrnice (EU) 2022/2555, která vymezuje rozsah povinnosti v oblasti bezpečnosti a povinnosti hlášení — deset opatření z článku 21 odstavec 2 platí pro ty, kdo spadají do tohoto rozsahu. Zákon o kybernetické bezpečnosti tento seznam převezme pro českou situaci, přičemž NÚKIB slouží jako zdroj informací o praktické stránce povinnosti v oblasti bezpečnosti a povinnosti hlášení. Kdo po tomto seznamu sektorů chce vědět, zda jeho vlastní organizace skutečně spadá pod tuto regulaci, může si to dále ověřit prostřednictvím kontroly, zda podnik podléhá NIS2, a kdo si není jistý mezi dvěma statusy v rámci příloh, najde vysvětlení v rozdílu mezi kritickou a důležitou entitou.