Tato příručka je určena ředitelům kybernetické bezpečnosti, provozním manažerům a compliance oddělením firem zajišťujících sběr a zpracování odpadů. Naučíte se konkrétní povinnosti stanovené zákonem č. 264/2025 Sb. a lhůty jejich plnění.
Mezi subjekty spadající pod NIS2 jako důležité entity patří operátoři komunálního sběru odpadů, průmyslové procesory odpadů a operátoři nebezpečného odpadu v České republice, jejichž činnost je kritická pro veřejné služby. Povinnost registrace a self-assessment se vztahuje na všechny takové subjekty bez ohledu na velikost, pokud jejich služby jsou nezbytné pro hospodaření s odpady na území ČR.
Operátoři odpadů musí zajistit adekvátní zabezpečení informačních systémů používaných pro sledování vozů, plánování sběrných tras a řízení operací. Tyto systémy musí být chráněny před neoprávněným přístupem a manipulací, která by mohla vést k přerušení sběrné služby nebo úniku citlivých údajů. Součástí povinnosti je i kontrola přístupu a autentizace osob k těmto kritickým systémům.
Všechny záznamy týkající se třídy, původu, zpracování a likvidace nebezpečného odpadu musí být chráněny před neoprávněným přístupem, ztrátou nebo zneužitím. Subjekty jsou povinny implementovat přístupové kontroly, šifrování a auditní mechanismy. Digitální evidence musí být dostupná i v případě havárie nebo kybernetického útoku.
V případě kybernetického incidentu nebo operačního přerušení sběrné služby jsou operátoři povinni oznámit jej orgánu NÚKIB bez zbytečného zpoždění, nejpozději do 24 hodin (včasné varování), formální notifikaci do 72 hodin a finální zprávu do 1 měsíce. Incidenty musí být dokumentovány s popisem dopadu na sběr a zpracování komunálního nebo nebezpečného odpadu.
Operátoři musí zajistit bezpečnost IoT senzorů a monitorovacích zařízení instalovaných na vozech nebo v zařízeních pro zpracování odpadů. Je nutné ověřit bezpečnost zdrojů těchto zařízení, aktualizace firmware, správu hesel a ochranu před fyzickým či bezdrátovým útokem. Součástí povinnosti je i dohled nad třetími stranami poskytujícími obsluhu těchto technologií.
Všechny důležité entity v sektoru odpadů musely do 31. prosince 2025 provést registraci v agendě NÚKIB a vyplnit self-assessment vyhodnocující jejich kybernetickou bezpečnost. Technická bezpečnostní opatření musí být implementována nejpozději do 1 roku od doručení rozhodnutí o registraci. Registrace a assessment jsou základem pro další monitoring a kontrolu ze strany orgánu dohledu.
Musíte hlásit všechny incidenty, které narušují bezpečnost nebo dostupnost kritických služeb souvisejících se sběrem a zpracováním odpadů (přerušení vozového systému, ztráta evidence nebezpečného odpadu, hacking monitorovacího zařízení). Hlášení obsahuje popis incidentu, postižená zařízení, dopad na provoz a návrh nápravy. Včasné varování (24 hodin), formální notifikace (72 hodin), finální zpráva (1 měsíc).
Jste důležitou entitou, pokud vaše společnost zajišťuje sběr komunálního odpadu, průmyslový sběr nebo likvidaci nebezpečného odpadu na území ČR a vaše služby jsou nezbytné pro provoz infrastrutktury. Všichni takoví operátoři se považují za důležité entity bez ohledu na velikost. Potvrzení postavení a detailní kritéria naleznete v agendě NÚKIB nebo u české inspekce kybernetické bezpečnosti.
Pro důležité entity (jako je váš sektor) stanovuje zákon č. 264/2025 Sb. pokuty až do výše 7 milionů EUR nebo 1,4 % celkového ročního obratu (podle toho, která částka je vyšší). Pokuty se vztahují na nedodržení registrace do 31. 12. 2025, neimplementaci bezpečnostních opatření do 12 měsíců, neposkytnutí informací NÚKIB nebo neplnění povinnosti hlášení incidentů.