Odkud povinnosti dodavatelů vznikají

Zákon sám o sobě dodavateli povinnosti zpravidla neukládá. Místo toho ukládá povinné osobě, aby zajistila, že i její dodavatelé budou v přiměřené míře dodržovat bezpečnostní opatření. Povinná osoba proto tuto povinnost promítne do smlouvy – doplní ji o kyberbezpečnostní doložky, kterými se dodavatel zaváže dodržovat určitý standard zabezpečení, případně jí udělí právo kontrolovat zavedená opatření.

Jinými slovy: dodavatel neodpovídá NÚKIBu přímo ze zákona, ale svému zákazníkovi na základě smlouvy. Ani NIS2, ani ZKB navíc povinné osobě nedovolují zbavit se odpovědnosti za kybernetickou bezpečnost tím, že příslušné činnosti svěří externímu dodavateli.

Jedinou výjimkou je § 24 ZKB. Ten umožňuje NÚKIBu v případě hrozícího či probíhajícího incidentu na návrh poskytovatele služby v režimu vyšších povinností uložit dodavateli povinnost předat informace a data související s provozem aktiv, která slouží k poskytování regulované služby. Takové rozhodnutí NÚKIB se vymáhá stejně jako movité věci.

Jaké povinnosti lze očekávat

Konkrétní požadavky se liší podle toho, jak podstatná jsou aktiva, která dodavatel pro povinnou osobu spravuje, a jak snadno by je mohl případný útočník zneužít k proniknutí do jejích systémů. Nejčastěji po dodavatelích povinné osoby požadují:

  • dodržení SLA a garance dostupnosti služby;

  • zajištění důvěrnosti, integrity a dostupnosti informací;

  • možnost auditu u dodavatele;

  • řízení subdodavatelů;

  • smluvně předem dohodnutý postup po ukončení spolupráce;

  • plán kontinuity provozu (business continuity plan) a plán obnovy po havárii (disaster recovery plan) či alespoň jejich garance;

  • oznamování kybernetických incidentů;

  • sankce za porušení sjednaných povinností.

Významný dodavatel – přísnější režim

Vedle běžných dodavatelů zavádí česká úprava i kategorii významného dodavatele. Podle § 2 vyhlášky č. 409/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností jde o toho, kdo povinné osobě poskytuje plnění významné z hlediska zajištění kybernetické bezpečnosti regulované služby. Klíčové je, že povinná osoba musí dodavatele o tomto zařazení prokazatelně písemně informovat – dokud se tak nestane, za významného dodavatele se nepovažuje.

I v tomto případě dopadají povinnosti primárně na povinnou osobu, která je následně promítá do smlouvy s významným dodavatelem. Osoby v režimu vyšších povinností by měly zvážit zejména tato ustanovení:

  • povinnost dodavatele informovat o změně ve vlastnictví nebo ovládání;

  • povinnost informovat o žádosti zahraničního orgánu o poskytnutí dat;

  • oprávnění jednostranně ukončit smlouvu při zásadní změně kontroly nad dodavatelem nebo nad klíčovými aktivy, která využívá.