NIS2: Francie před Soudním dvorem EU, bez národního rámce čeká 15 000 subjektů

Směrnici NIS2 měla Francie transponovat do 17. října 2024. Termín nesplnila, a Komise se 8. července 2026 rozhodla postoupit ji Soudnímu dvoru EU společně se Španělskem, Irskem a Nizozemskem, s návrhem na finanční sankce. Takzvaný zákon Résilience, který má směrnici transponovat, není na programu červencového zasedání: jeho projednávání se odkládá na podzim. Evropská povinnost přitom platí už od října 2024.

Jedna skutečnost mění situaci těm, kdo chtějí postupovat dál: technický referenční rámec je totiž už veřejný. ANSSI zveřejnila v březnu 2026 svůj Référentiel Cyber France, který převádí požadavky NIS2 do bezpečnostních cílů, dvacet pro klíčové subjekty, patnáct pro důležité subjekty. Jinými slovy, podstata toho, co bude vyžadováno, je známa ještě před hlasováním o zákoně. Čekat na text, než se začne jednat, znamená čekat jen na formální podobu povinností, jejichž obsah už je znám.

Skutečnou podstatou je změna měřítka: z několika stovek provozovatelů pod NIS1 přechází Francie na 15 000 až 18 000 dotčených subjektů, rozdělených na „klíčové subjekty“ a „důležité subjekty“. Průmyslové střední podniky, samosprávy, subjekty ze zdravotnictví, dopravy či potravinářství zjistí, že spadají do působnosti, s povinnostmi řízení rizik, hlášení incidentů a dohledu ze strany ANSSI.

Jde o stejný koncepční posun jako kdysi u GDPR: kybernetická bezpečnost přestává být záležitostí expertů a dobrých úmyslů a stává se systémem, jehož existenci a fungování je třeba umět doložit. Řízení, analýza rizik, bezpečnost dodavatelského řetězce, řešení incidentů, kontinuita provozu: každý požadavek směrnice předpokládá důkazy.

Pozornost přitahuje i nerovnoměrnost sankcí: až 10 milionů eur nebo 2 % celosvětového obratu pro klíčové subjekty, u kterých probíhají proaktivní kontroly, a 7 milionů eur nebo 1,4 % pro důležité subjekty, kontrolované až po incidentu. V obou případech se v den kontroly improvizace pozná.

NIS2 ukládá minimální základ opatření: bezpečnostní politiky a analýzu rizik, řešení incidentů, kontinuitu provozu a krizové řízení, bezpečnost dodavatelského řetězce, bezpečnost pořizování a vývoje, hodnocení účinnosti opatření, základní kybernetickou hygienu a školení, kryptografii, bezpečnost lidských zdrojů a řízení přístupu, vícefaktorové ověřování. Deset oblastí požadavků, které ve výsledku tvoří referenční rámec.

K tomu přistupuje mechanismus hlášení významných incidentů, s přísnými lhůtami: včasné varování do 24 hodin, oznámení do 72 hodin, závěrečná zpráva do jednoho měsíce. Dodržet tyto lhůty se v den incidentu improvizovat nedá: předpokládá to detekci, posouzení a rozhodovací řetězec, které už fungují a jsou otestované.

Skutečný dosah přesahuje 15 000 určených subjektů: směrnice jim ukládá zajistit bezpečnost svého dodavatelského řetězce, a tento požadavek se smluvně šíří dál. Softwarový subdodavatel, průmyslový údržbář nebo logistický poskytovatel mimo přímou působnost dostane dotazníky a smluvní doložky od svých regulovaných zákazníků.

Pro tyto dodavatele je chytrý výklad obchodní: ten, kdo přichází s měřitelnou a doložitelnou kybernetickou vyspělostí, mění vynucenou povinnost v argument pro zalistování. Ve výběrových řízeních roku 2027 to bude kritérium výběru, nikoli bonus.

Pro organizaci, která se s tématem teprve seznamuje, dává smysl postupovat ve třech krocích: zjistit, zda spadáte do působnosti a z jakého titulu; změřit svou skutečnou vyspělost vůči požadavkům směrnice, subjekt po subjektu, místo sbírání jednorázových auditů; a převést zjištěné mezery do akčního plánu s termíny, protože dosažení potřebné úrovně potrvá měsíce a harmonogram nepočká.

Náš katalog obsahuje 11 referenčních rámců pro kybernetickou bezpečnost, které toto měření umožňují, a stejná logika platí i pro skupiny podniků: každá dceřiná společnost hodnocená podle stejného základu, konsolidace, která ukáže, kam soustředit úsilí. Soulad s NIS2 bude řízeným maratonem, a je lepší do něj vstupovat s nástrojem v ruce.