Podle výkladu Národného bezpečnostného úradu zpravidla ne, protože organizační složka je součástí české společnosti a ta spadá pod pravomoc státu, v němž je usazena, tedy pod český zákon o kybernetické bezpečnosti. Výklad úřadu však není závazný. Směrnice NIS2 v odůvodnění u subjektu usazeného ve více státech počítá se souběžnou pravomocí. Složku s vlastním provozem je proto rozumné posoudit i podle slovenského zákona. Výjimkou jsou poskytovatelé veřejných sítí a služeb elektronických komunikací, kteří spadají pod stát, kde služby poskytují, a některé digitální služby, u nichž rozhoduje, kde se přijímají rozhodnutí o kybernetické bezpečnosti. Slovenská dceřiná společnost je naopak slovenským subjektem.
Česká společnost s organizační složkou na Slovensku podle výkladu Národného bezpečnostného úradu zpravidla nemusí za tuto složku plnit slovenský zákon o kybernetické bezpečnosti. Složka není samostatnou osobou, a proto se posuzuje spolu se společností podle státu, v němž je společnost usazena. Slovenská úprava se však může uplatnit u telekomunikačních a některých digitálních služeb. Slovenská dceřiná společnost se naopak posuzuje podle slovenského zákona.
Rozhoduje, kde je společnost usazena
Směrnice (EU) 2022/2555 (NIS2) podřizuje subjekty ve své působnosti pravomoci členského státu, v němž jsou usazeny (čl. 26 odst. 1 směrnice (EU) 2022/2555). Národný bezpečnostný úrad na otázku české akciové společnosti s organizační složkou na Slovensku odpověděl, že složka nemá právní subjektivitu, a proto ji váže právní řád České republiky, kde je usazen podnikatel, který ji zřídil (stanovisko NBÚ k odštěpným závodům). Úřad zároveň upozorňuje, že jeho odpovědi nejsou právně závazným výkladem. Směrnice v odůvodnění navíc uvádí, že subjekt, který poskytuje služby nebo je usazen ve více než jednom členském státě, by měl podléhat souběžné pravomoci každého z nich a jejich orgány by měly spolupracovat (odůvodnění 113). Pokud má složka na Slovensku vlastní provoz a služby, je proto rozumné posoudit ji i podle slovenského zákona.
V Česku od 1. listopadu 2025 platí zákon č. 264/2025 Sb. o kybernetické bezpečnosti (zákon o kybernetické bezpečnosti). Vztahuje se na osoby usazené na území České republiky a bez ohledu na místo usazení i na ty, kteří tam zajišťují sítě nebo poskytují služby elektronických komunikací (§ 1 odst. 2 zákona č. 264/2025 Sb.). Zda vaše služba splňuje podmínky registrace u českého úřadu NÚKIB, určují § 4 a 5 tohoto zákona a vyhláška úřadu (§ 4 odst. 2).
Kdy se uplatní slovenský zákon
Směrnice stanoví výjimky z pravidla usazení, které se mohou týkat i české firmy. Poskytovatelé veřejných sítí elektronických komunikací a veřejně dostupných služeb elektronických komunikací spadají pod stát, v němž služby poskytují (čl. 26 odst. 1 písm. a)). Pokud tedy prostřednictvím slovenské složky poskytujete veřejné služby elektronických komunikací na Slovensku, v tomto rozsahu spadáte pod slovenskou pravomoc. Slovenský zákon č. 69/2018 Z. z. o kybernetické bezpečnosti stanoví zápis takového podniku do registru provozovatelů základní služby bez ohledu na velikost (§ 17 odst. 1 písm. c) bod 1). U vyjmenovaných digitálních služeb rozhoduje hlavní provozovna v Unii (písm. b)) a slovenský zákon to přebírá takto:
Citace v původním znění:
Ak ide o osobu, ktorá poskytuje službu DNS, službu registrácie názvu domény, službu cloud computingu, službu dátového centra, sieť na sprístupňovanie obsahu, riadenú službu, bezpečnostnú službu, službu online trhu, službu internetového vyhľadávača alebo platformu služieb sociálnej siete, možno ju zapísať do registra prevádzkovateľov základnej služby a tento zákon sa na ňu vzťahuje aj vtedy, ak nemá trvalý pobyt, miesto podnikania alebo sídlo na území Slovenskej republiky, a) má trvalý pobyt, miesto podnikania alebo sídlo v členskom štáte Európskej únie alebo štáte, ktorý je zmluvnou stranou Dohody o Európskom hospodárskom priestore […] a na území Slovenskej republiky 1. najčastejšie prijíma rozhodnutia týkajúce sa bezpečnostných opatrení na riadenie rizík, […]
Pokud česká firma poskytuje například cloud, datové centrum nebo řízené IT služby a rozhodnutí o kybernetické bezpečnosti se nejčastěji přijímají v její slovenské složce, může se na ni vztahovat slovenský zákon. Pokud takové místo nelze určit, rozhoduje stát, kde se provádějí operace kybernetické bezpečnosti, a nakonec stát provozovny s nejvyšším počtem zaměstnanců v Unii (čl. 26 odst. 2). Pokud provozovatel základní služby poskytuje službu i v jiném členském státě, NBÚ v součinnosti s orgánem tohoto státu rozhodne, podle kritérií kterého státu bude identifikován (§ 19 odst. 5).
Co platí pro dceřinou společnost a slovenské odběratele
Pokud na Slovensku působíte prostřednictvím dceřiné společnosti, ta je usazena na Slovensku a její povinnosti se posuzují podle slovenského zákona. Do její velikosti se přitom započítávají i partnerské a propojené podniky skupiny, jak vysvětluje otázka vztahuje se na nás NIS2.
I když pod slovenský zákon nespadáte, slovenští odběratelé, kteří jsou provozovateli základní služby, s vámi při činnosti přímo související s bezpečností jejich sítí a informačních systémů musí uzavřít smlouvu o zajištění plnění bezpečnostních opatření a notifikačních povinností (§ 19 odst. 2 zákona č. 69/2018 Z. z.). Výjimkou je nízké riziko takové činnosti nebo dodavatel, který je sám zapsán ve slovenském registru provozovatelů základní služby (§ 19 odst. 3 a § 3 odst. 2). Co má taková smlouva obsahovat, rozebírá článek NIS2 ve smlouvách s dodavateli.
Posoudíme, pod pravomoc kterého státu vaše firma a její služby spadají. Pokud se na vás vztahuje slovenský zákon, připravíme registraci u NBÚ i nastavení povinností v rámci služby NIS2 a kybernetická bezpečnost.
Odpověď je obecnou informací k právnímu stavu k 3. 10. 2026 — nejde o právní službu ani náhradu posouzení konkrétního případu. Vaše situace se může v detailech lišit; pokud si chcete být jistí, projděme ji společně při konzultaci.
