Tato stránka je určena řídícím pracovníkům bezpečnosti, compliance oddělením a technickým týmům bank, spořitelen a úvěrních institucí podléhajících dohledu České národní banky. Seznámíte se zde s konkrétními povinnostmi plynoucími z NIS2, kritickými lhůtami a praktickými kroky k zajištění souladu.
Povinnosti se týkají všech licencovaných bank, spořitelen a úvěrních institucí, které podléhají finančnímu dohledu České národní banky a jsou registrovány v ČR. Bez ohledu na velikost aktiv se na ně vztahují povinnosti Essential entity dle NIS2. Včetně spořitelen, stavebních spořitelen a dalších institucí, kterým byla vydána licence na úvěrování.
Každá banka v působnosti zákona k 1. 11. 2025 měla do 31. prosince 2025 provést registraci u NÚKIB a zaslat autoevaluaci svého současného stavu bezpečnosti vůči požadavkům zákona č. 264/2025 Sb. Nové banky se registrují průběžně do 60 dnů od naplnění kritérií. Registrace slouží jako základ pro ověřování souladu a stanovení lhůt pro implementaci technických opatření, která musí být dokončena nejpozději do 1 roku od doručení rozhodnutí NÚKIB o registraci.
Banky musí vytvořit formální dokumentaci ICT risk management frameworku obsahující politiky, procedury a odpovědnosti pro řízení kybernetických rizik. Součástí musí být také mapa kritických systemů, inventář externích ICT poskytovatelů a schválené procesy pro řízení zranitelností a incidentů.
Při detekci incidentu musí banka zaslat NÚKIB včasné varování do 24 hodin a formální hlášení do 72 hodin. Finální zpráva se předkládá do 1 měsíce. Incidenty je třeba hlásit jak národnímu CSIRTu, tak finančnímu supervizorovi (ČNB). Nesprávná klasifikace incidentu nebo zmešknutí lhůty vede na vysoké pokuty.
Banky musí provést bezpečnostní posouzení všech externích ICT poskytovatelů (Cloud, Payment Services, Fintechové integrace) a zajistit, aby smlouvy obsahovaly zákonné bezpečnostní klauzule, práva na audit a povinnost bezodkladného hlášení bezpečnostních incidentů. Fintech parneři a cloudoví poskytovatelé nesmí být outsourcováni bez formálního schválení a dokumentace.
Banky musí provádět alespoň jedenkrát ročně penetrační testování a komplexní zranitelnostní posouzení kritických systemů, včetně core banking platforem a platebních kanálů. Výsledky musí být zdokumentovány a zjištěné zranitelnosti řešeny podle stanoveného harmonogramu. Testy musí být prováděny kvalifikovanými třetími stranami.
Registrace a autoevaluace musely být zaslány do 31. prosince 2025 (pro subjekty v působnosti zákona od 1. 11. 2025); nové subjekty se registrují průběžně do 60 dnů od naplnění kritérií. Zmeškaná lhůta je porušením zákona č. 264/2025 Sb. a může vést na pokutu až 10 milionů EUR nebo 2% ročního obratu. Doporučujeme dokončit registraci co nejdříve a implementovat opatření nejpozději do 1 roku od doručení rozhodnutí NÚKIB o registraci.
NIS2 vyžaduje hlášení pouze incidentů, které mají významný dopad na dostupnost, integritu nebo bezpečnost služeb. Každá banka musí definovat vlastní kritéria klasifikace v souladu s NÚKIB guidelines. Nejasnosti vede k podcenění incidentů a hrozí pokuta. Doporučujeme konzultaci s NÚKIB nebo právním poradcem pro vytvoření jasných kritérií.
Pro Essential entities (kam banky patří) je maximální pokuta 10 milionů EUR nebo 2% celosvětového ročního obratu, podle toho, která částka je vyšší. Za konkrétní porušení (např. zmeškání hlášení v 72 hodin) mohou být uvaleny postupné pokuty. České banky by měly s implementací začít okamžitě, aby se vyhnuly vysokým sankcím.