Podľa výkladu Národného bezpečnostného úradu spravidla nie, pretože organizačná zložka je súčasťou českej spoločnosti a tá patrí pod právomoc štátu, v ktorom je usadená, teda pod český zákon o kybernetickej bezpečnosti. Výklad úradu však nie je záväzný. Smernica NIS2 v odôvodnení pri subjekte usadenom vo viacerých štátoch počíta so súbežnou právomocou. Zložku s vlastnou prevádzkou je preto rozumné posúdiť aj podľa slovenského zákona. Výnimkou sú poskytovatelia verejných elektronických komunikačných sietí a služieb, ktorí patria pod štát, kde služby poskytujú, a niektoré digitálne služby, pri ktorých rozhoduje, kde sa prijímajú rozhodnutia o kybernetickej bezpečnosti. Slovenská dcérska spoločnosť je naopak slovenským subjektom.
Česká spoločnosť s organizačnou zložkou na Slovensku podľa výkladu Národného bezpečnostného úradu spravidla nemusí za túto zložku plniť slovenský zákon o kybernetickej bezpečnosti. Zložka nie je samostatnou osobou, a preto sa posudzuje spolu so spoločnosťou podľa štátu, v ktorom je spoločnosť usadená. Slovenská úprava sa však môže uplatniť pri telekomunikačných a niektorých digitálnych službách. Slovenská dcérska spoločnosť sa naopak posudzuje podľa slovenského zákona.
Rozhoduje, kde je spoločnosť usadená
Smernica (EÚ) 2022/2555 (NIS2) podriaďuje subjekty vo svojej pôsobnosti právomoci členského štátu, v ktorom sú usadené (čl. 26 ods. 1 smernice (EÚ) 2022/2555). Národný bezpečnostný úrad na otázku českej akciovej spoločnosti s organizačnou zložkou na Slovensku odpovedal, že zložka nemá právnu subjektivitu, a preto ju viaže právny poriadok Českej republiky, kde je usadený podnikateľ, ktorý ju zriadil (stanovisko NBÚ k odštepným závodom). Úrad zároveň upozorňuje, že jeho odpovede nie sú právne záväzným výkladom. Smernica v odôvodnení navyše uvádza, že subjekt, ktorý poskytuje služby alebo je usadený vo viac ako jednom členskom štáte, by mal podliehať súbežnej právomoci každého z nich a ich orgány by mali spolupracovať (odôvodnenie 113). Ak má zložka na Slovensku vlastnú prevádzku a služby, je preto rozumné posúdiť ju aj podľa slovenského zákona.
V Česku od 1. novembra 2025 platí zákon č. 264/2025 Sb. o kybernetickej bezpečnosti (zákon o kybernetické bezpečnosti). Vzťahuje sa na osoby usadené na území Českej republiky a bez ohľadu na miesto usadenia aj na tých, ktorí tam zabezpečujú siete alebo poskytujú služby elektronických komunikácií (§ 1 ods. 2 zákona č. 264/2025 Sb.). Či vaša služba spĺňa podmienky registrácie u českého úradu NÚKIB, určujú § 4 a 5 tohto zákona a vyhláška úradu (§ 4 ods. 2).
Kedy sa uplatní slovenský zákon
Smernica stanovuje výnimky z pravidla usadenia, ktoré sa môžu týkať aj českej firmy. Poskytovatelia verejných elektronických komunikačných sietí a verejne dostupných služieb elektronických komunikácií patria pod štát, v ktorom služby poskytujú (čl. 26 ods. 1 písm. a)). Ak teda cez slovenskú zložku poskytujete verejné elektronické komunikačné služby na Slovensku, v tomto rozsahu patríte pod slovenskú právomoc. Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti stanovuje zápis takéhoto podniku do registra prevádzkovateľov základnej služby bez ohľadu na veľkosť (§ 17 ods. 1 písm. c) bod 1). Pri vymenovaných digitálnych službách rozhoduje hlavná prevádzkareň v Únii (písm. b)) a slovenský zákon to preberá takto:
Ak ide o osobu, ktorá poskytuje službu DNS, službu registrácie názvu domény, službu cloud computingu, službu dátového centra, sieť na sprístupňovanie obsahu, riadenú službu, bezpečnostnú službu, službu online trhu, službu internetového vyhľadávača alebo platformu služieb sociálnej siete, možno ju zapísať do registra prevádzkovateľov základnej služby a tento zákon sa na ňu vzťahuje aj vtedy, ak nemá trvalý pobyt, miesto podnikania alebo sídlo na území Slovenskej republiky, a) má trvalý pobyt, miesto podnikania alebo sídlo v členskom štáte Európskej únie alebo štáte, ktorý je zmluvnou stranou Dohody o Európskom hospodárskom priestore […] a na území Slovenskej republiky 1. najčastejšie prijíma rozhodnutia týkajúce sa bezpečnostných opatrení na riadenie rizík, […]
Ak česká firma poskytuje napríklad cloud, dátové centrum alebo riadené IT služby a rozhodnutia o kybernetickej bezpečnosti sa najčastejšie prijímajú v jej slovenskej zložke, môže sa na ňu vzťahovať slovenský zákon. Ak také miesto nemožno určiť, rozhoduje štát, kde sa vykonávajú operácie kybernetickej bezpečnosti, a napokon štát prevádzkarne s najvyšším počtom zamestnancov v Únii (čl. 26 ods. 2). Ak prevádzkovateľ základnej služby poskytuje službu aj v inom členskom štáte, NBÚ v súčinnosti s orgánom tohto štátu rozhodne, podľa kritérií ktorého štátu bude identifikovaný (§ 19 ods. 5).
Čo platí pre dcérsku spoločnosť a slovenských odberateľov
Ak na Slovensku pôsobíte cez dcérsku spoločnosť, tá je usadená na Slovensku a jej povinnosti sa posudzujú podľa slovenského zákona. Do jej veľkosti sa pritom započítavajú aj partnerské a prepojené podniky skupiny, ako vysvetľuje otázka vzťahuje sa na nás NIS2.
Aj keď pod slovenský zákon nespadáte, slovenskí odberatelia, ktorí sú prevádzkovateľmi základnej služby, s vami pri činnosti priamo súvisiacej s bezpečnosťou ich sietí a informačných systémov musia uzavrieť zmluvu o zabezpečení plnenia bezpečnostných opatrení a notifikačných povinností (§ 19 ods. 2 zákona č. 69/2018 Z. z.). Výnimkou je nízke riziko takej činnosti alebo dodávateľ, ktorý je sám zapísaný v slovenskom registri prevádzkovateľov základnej služby (§ 19 ods. 3 a § 3 ods. 2). Čo má taká zmluva obsahovať, rozoberá článok NIS2 v zmluvách s dodávateľmi.
Posúdime, pod právomoc ktorého štátu vaša firma a jej služby patria. Ak sa na vás vzťahuje slovenský zákon, pripravíme registráciu na NBÚ aj nastavenie povinností v rámci služby NIS2 a kybernetická bezpečnosť.
Odpoveď je všeobecná informácia k právnemu stavu k 3. 10. 2026 — nie je právnou službou ani nenahrádza posúdenie konkrétneho prípadu. Vaša situácia sa môže v detailoch líšiť; ak si chcete byť istí, prejdime ju spolu na konzultácii.
