Většina menších e-shopů pod NIS2 přímo nespadá. Jenže regulované firmy mají povinnost přenést bezpečnostní požadavky do smluv se svými dodavateli – tedy i na provozovatele webů, vývojáře a agentury. Na následujících řádcích proto vysvětlíme, koho se týká NIS2 napřímo, kdy se k vám regulace dostane oklikou přes odběratele a co si připravit dřív, než k vám dorazí požadavek na bezpečnostní audit.

Rozdíl mezi „nás se to netýká“ a „nás se to týká“ přitom neurčuje pouze velikost vašeho obratu, ale seznam vašich odběratelů. Ještě předtím si ale vyjasníme jednu věc, na které ztroskotá většina debat o NIS2 – totiž kdo vlastně rozdává pokuty.

NIS2 nikoho nepokutuje, sankce pramení ze zákona o kybernetické bezpečnosti

NIS2 je evropská směrnice a ta zavazuje stát, nikoli vaši firmu. Povinnosti, za jejichž porušení hrozí sankce, plynou ze zákona č. 264/2025 Sb., o kybernetické bezpečnosti (ZoKB), který NIS2 transponoval do českého právního řádu. Ten platí od 1. listopadu 2025, doprovází ho sedm prováděcích vyhlášek a jeho dodržování kontroluje NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost).

Rozdíl vypadá jako právnické šťouralství, v praxi ale rozhoduje o všem podstatném: české provedení jde v několika bodech dál než evropské minimum a horní hranici pokuty stanovuje na 175, respektive 250 milionů korun podle režimu povinností.

Že stát není jen klasicky papežštější než papež, nýbrž přitvrdil oprávněně, pak odpovídá vývoji na druhé straně barikády. Za rok 2025 evidovala Česká republika 21 137 trestných činů z oblasti kybernetické kriminality, meziročně o 14 % více.

Koho se týká NIS2 přímo a kdy narazí i e-shop

Přímá regulace stojí na dvou podmínkách současně:

  1. Firma poskytuje některou ze služeb, které vyhláška vyjmenovává,
  2. a zároveň dosahuje alespoň velikosti středního podniku – tedy padesáti zaměstnanců, případně obratu a bilanční sumy nad deset milionů eur. Do velikosti navíc musíte započítat propojené podniky, takže se desetičlenná dcera velké skupiny počítá do celé skupiny.

Pro e-shopy z toho plyne možná nečekaný závěr: prodej vlastního zboží mezi regulované služby nepatří. Zákon míří na:

  • online tržiště, tedy platformy, kde obchodují třetí strany,
  • dále na vyhledávače
  • a sociální sítě.

Běžný e-shop s vlastním sortimentem tak ohlašovací povinnost nemá – dokud neotevře prodej cizím obchodníkům nebo nepřeroste velikostní práh (viz bod 2 výše). Od chvíle, kdy kritéria naplní, mu na ohlášení NÚKIB zbývá jen šedesát dnů.

Tím ovšem celý příběh nekončí. Regulovaná organizace vybírá dodavatele podle vlastních bezpečnostních pravidel a promítá požadavky do smluv – od hlášení incidentů přes právo na audit až po způsob předání dat po skončení spolupráce. Jestliže tedy provozujete web nemocnici, energetické firmě nebo výrobnímu podniku, ZoKB (NIS2) se týká i vás. Detailní přehled, kdo pod nový kybernetický zákon spadá a jaké lhůty musí dodržet, rozebírá samostatný článek v odkazu.

Tři povinnosti podle NIS2, které doputují až k vám

Regulovaná firma po vás nebude chtít celý systém řízení bezpečnosti. Vybere si z něj ale ty části, které se dotýkají služby, již jí dodáváte:

  • řízení rizik – potřebujete písemný přehled o tom, jaká data spravujete, kdo k nim má přístup a co uděláte, až o ně přijdete,
  • hlášení incidentů – zákon ukládá prvotní hlášení do 24 hodin, doplňující oznámení do 72 hodin a závěrečnou zprávu do třiceti dnů; odběratel tyto lhůty přenese smlouvou i na vás,
  • bezpečnost dodavatelského řetězce – provozujete-li e-shop na cizím hostingu a s pluginy od třetích stran, ručíte i za ně a stejné záruky bude odběratel vyžadovat rovněž po vás.

Proč NIS2 přeroste možnosti správce webu

Bezpečnostní specialisté chybí celé Evropě a menší firmy jich neuloví víc než velké. Jeden člověk, který se stará o web, aktualizace i objednávky, vedle toho nestihne psát bezpečnostní politiky, testovat obnovu záloh a hlídat provoz čtyřiadvacet hodin denně. Proto řada e-shopů řeší přípravu s externím IT partnerem – ten dodá audit, dohled nad logy, penetrační testy i školení, odpovědnost ovšem zůstává na vedení firmy. Počítejte také s tím, že NIS2 není sama: evropský akt o přístupnosti dopadá na e-shopy od června 2025 a nařízení CRA míří na výrobce softwaru a hardwaru.

Kdo se zeptá dřív, má dřív i jasno

Bezpečnostní dodatek ke smlouvě přijde bez varování a lhůta na podpis bývá kratší, než kolik zabere zavedení čehokoli z výše uvedeného. Projděte si proto seznam svých největších odběratelů a zjistěte, kdo z nich pod zákon spadá. Odpověď vám prozradí, kolik času vám zbývá.