NIS2 registrací nekončí: kybernetická bezpečnost patří do smluv s dodavateli

Registrací u slovenského Národního bezpečnostního úřadu povinnosti provozovatele základní služby teprve začínají — do dvanácti měsíců od zápisu musí přijmout bezpečnostní opatření a ta se zdaleka netýkají jen vlastní infrastruktury. Zákon č. 69/2018 Z. z. o kybernetické bezpečnosti výslovně počítá s tím, že bezpečnost je třeba dostat i do smluv s dodavateli. Provozovatelé zapsaní ještě podle úpravy z doby před rokem 2025 mohou do 31. prosince 2026 plnit opatření i podle předchozích předpisů, jak připouští § 34b odst. 5 tohoto zákona. Zda se režim vztahuje na vaši firmu, rozebíráme v odpovědi NIS2: vztahuje se na nás?. Zde píšeme o tom, co následuje po registraci.

Smlouva s dodavatelem není volba, ale povinnost

S tím, kdo pro provozovatele základní služby vykonává činnost přímo související s bezpečností jeho sítí a informačních systémů, musí mít provozovatel zvláštní smlouvu:

Provozovatel základní služby je povinen při výkonu činnosti, která přímo souvisí s dostupností, důvěrností a integritou provozu sítí a informačních systémů provozovatele základní služby prostřednictvím třetí strany, uzavřít smlouvu o zajištění plnění bezpečnostních opatření a notifikačních povinností podle tohoto zákona po celou dobu výkonu této činnosti; při uzavření smlouvy se provádí analýza rizik.

— Český překlad § 19 odst. 2 zákona č. 69/2018 Z. z.

Výjimka platí pouze tehdy, pokud je dodavatel sám provozovatelem základní služby nebo pokud je riziko dané činnosti nízké (§ 19 odst. 3) — nízké riziko by měla podložit analýza rizik, nikoli pocit. Dodavatelský řetězec je zároveň jednou z povinných oblastí bezpečnostních opatření podle § 20 odst. 2 zákona č. 69/2018 Z. z. a vyhláška č. 227/2025 Z. z. v § 7 odst. 2 vyjmenovává, co smlouva obsahuje zejména: závazek dodavatele dodržovat bezpečnostní politiky provozovatele, jeho výslovný souhlas s nimi, rozsah a způsob kontroly a auditu a povinnost informovat o incidentech a poskytnout součinnost při jejich řešení. Vzor smlouvy zveřejňuje Národní bezpečnostní úřad na svém webu. Starší smlouvy uzavřené do konce srpna 2025 zůstávají v platnosti nejdéle do doby v nich původně sjednané, ale pokud s těmito požadavky nejsou v souladu, po 31. srpnu 2025 je nelze prodloužit (§ 8 vyhlášky).

Přenesení povinností na subdodavatele

Smluvní kaskáda nekončí u prvního dodavatele. Pokud váš dodavatel používá subdodavatele, kteří se dostanou k vašim systémům nebo datům, doporučujeme povinnosti smluvně přenést i na ně — jinak řetězec drží jen po první článek. Do dodavatelských smluv proto patří:

• hlášení incidentů — komu, jakým kanálem a dokdy. Podle § 24 odst. 3 zákona č. 69/2018 Z. z. hlásí provozovatel závažný kybernetický bezpečnostní incident bez zbytečného odkladu: včasné varování nejpozději do 24 hodin a oznámení nejpozději do 72 hodin od jeho zjištění (poskytovatel důvěryhodných služeb i oznámení do 24 hodin); dodavatelská lhůta by proto měla být kratší a pojem „zjištění“ jasně definovaný;
• kontrola a audit — právo provozovatele prověřit plnění opatření u dodavatele včetně rozsahu, způsobu a rozdělení nákladů;
• SLA na opravy — reakční časy při zranitelnostech a incidentech, eskalační kontakty dostupné nepřetržitě a součinnost při obnově provozu;
• ukončení a kontinuita — exit plán, předání dat a konfigurací a trvání licencí potřebných k provozu po skončení spolupráce. Zákon zároveň výslovně uvádí, že uzavření takové smlouvy nesmí bránit v hospodářské soutěži (§ 19 odst. 2).

Druhá strana stolu: co čekat, když jste dodavatelem vy

Pokud provozovateli základní služby dodáváte IT služby, taková smlouva vám dříve či později přistane na stole — psaná z pohledu odběratele. Pozor zejména na čtyři místa. Prvním je lhůta k hlášení incidentu sjednaná výrazně přísněji než zákonné lhůty, navíc bez definice, kdy je incident „zjištěn“. Druhým odpovědnost „za výsledek“, která může vyloučit liberační důvody podle § 374 obchodního zákoníku. Třetím smluvní pokuty bez stropu — soud je sice může podle § 301 obchodního zákoníku snížit, ale spoléhat na to není strategie, strop patří přímo do smlouvy. A nakonec jednostranně měnitelné bezpečnostní politiky: pokud je odběratel může kdykoli zpřísnit, patří k tomu právo dodavatele na úpravu ceny nebo na odmítnutí změny, která podstatně zvyšuje náklady.

Jak k tomu přistoupit

Nastavení povinností včetně dodavatelských smluv řeší služba NIS2 a kybernetická bezpečnost; bezpečnostní požadavky promítneme do servisní smlouvy se SLA i do implementační smlouvy a při větším počtu dodavatelů drží kaskádu pohromadě smluvní dohled. Nechat si dodavatelské smlouvy prověřit se vyplatí před vznikem prvního incidentu.