Co jsou střední a velké firmy z hlediska povinností směrnice NIS2

Směrnice NIS2 je soubor pravidel kyberbezpečnosti platný napříč celou Evropskou unií
V České republice vstoupila v platnost v listopadu 2025
Zaměřuje se na ochranu klíčových a důležitých struktur nezbytných pro fungování státu
Dotýká se zejména oblastí jako jsou:
- Energetika
- Bankovnictví a finanční sektor
- Zdravotnictví
- Ochrana vodních zdrojů a vodohospodářská infrastruktura
- Doprava a digitální infrastruktura

Na koho se směrnice NIS2 vztahuje?

Primárně se vztahuje na střední a velké podniky působící ve strategických odvětvích
Cílem je zajistit bezproblémové a bezpečné fungování státu v kritických sektorech
Firmy musí splňovat konkrétní velikostní kritéria, aby pod směrnici spadaly
Nestačí pouze velikost firmy — rozhodující je také odvětví, ve kterém firma působí

Velký podnik musí splňovat všechna následující kritéria současně:

Střední podnik splňuje následující kritéria:

Malý podnik obecně nespadá pod povinnosti NIS2 a splňuje tyto parametry:

Počet zaměstnanců: méně než 50 zaměstnanců
Hodnota aktiv: do 10 milionů EUR
Malé podniky jsou zpravidla od povinností NIS2 osvobozeny
Výjimkou mohou být situace, kdy malý podnik tvoří součást větší provázané firemní struktury

Mnoho firem se domnívá, že se jich povinnosti NIS2 netýkají, protože se považují za malý podnik
Tento omyl může mít vážné právní a bezpečnostní důsledky
Firmy si často neuvědomují, že jsou součástí větší provázané firemní struktury, například:
- Jsou dceřinou společností většího holdingu
- Jsou součástí skupiny propojených firem
- Jejich celkové ukazatele v rámci skupiny překračují stanovené limity
Právě provázanost firemních struktur způsobuje, že:
- Počet zaměstnanců napříč celou skupinou překročí hranici 250
- Celkový roční obrat skupiny přesáhne 50 milionů EUR
- Bilanční suma celé skupiny překročí limit 43 milionů EUR
Firmy by proto měly vždy posuzovat svou velikost v kontextu celé skupiny, nikoliv pouze samostatně