Směrnice (EU) 2022/2555 (NIS2) – čl. 23 odst. 4 směrnice (EU) 2022/2555; § 15, § 16 odst. 1 až 3 a § 18 odst. 2 zák. č. 264/2025 Sb.

Směrnice (EU) 2022/2555 (čl. 23 odst. 4) stanoví pro významný incident: a) včasné varování bez zbytečného odkladu, nejpozději do 24 hodin po zjištění; b) oznámení incidentu nejpozději do 72 hodin po zjištění (poskytovatel služby vytvářející důvěru do 24 hodin); c) průběžnou zprávu na žádost; d) závěrečnou zprávu nejpozději do jednoho měsíce od oznámení; e) trvá-li incident v okamžiku, kdy má být předložena závěrečná zpráva, zprávu o pokroku v této lhůtě a závěrečnou zprávu nejpozději jeden měsíc po vyřešení incidentu. Zákon č. 264/2025 Sb. to provádí v § 15 a 16: hlásí se incidenty, které se projevily ve stanoveném rozsahu, mají původ v kybernetickém prostoru a nelze u nich ve lhůtě pro prvotní hlášení vyloučit úmyslné zavinění – ve vyšším režimu NÚKIB (§ 15 odst. 1), v nižším režimu Národnímu CERT a jen ty, které mají významný dopad na poskytování regulované služby (§ 15 odst. 2). Poskytovatel podá prvotní hlášení bez zbytečného odkladu, nejpozději do 24 hodin po zjištění (§ 16 odst. 1); ve vyšším režimu mu NÚKIB do 24 hodin po nahlášení sdělí, zda má incident významný dopad na kybernetický prostor státu (§ 16 odst. 2). Jen u incidentu s významným dopadem na poskytování služby (nižší režim) nebo na kybernetický prostor státu (vyšší režim) poskytovatel dále podává (§ 16 odst. 3): a) oznámení do 72 hodin po zjištění (poskytovatel regulovaných služeb vytvářejících důvěru do 24 hodin); b) průběžnou zprávu na výzvu NÚKIB nebo Národního CERT; c) závěrečnou zprávu nejpozději do 30 dnů od předložení oznámení – trvá-li incident po uplynutí této lhůty, podá bez zbytečného odkladu průběžnou zprávu o aktuálním stavu zvládání a závěrečnou zprávu nejpozději do 30 dnů ode dne vyřešení incidentu. Hlásí se přes Portál NÚKIB; nelze-li jej využít, ve vyšším režimu e-mailem na adresu NÚKIB určenou pro hlášení incidentů nebo do datové schránky NÚKIB, v nižším režimu e-mailem na adresu Národního CERT určenou pro hlášení incidentů nebo do jeho datové schránky (§ 16 odst. 4). Poskytovatelé služeb podle § 18 odst. 1 (mj. DNS, cloud computing, datová centra, on-line tržiště, internetové vyhledávače, sociální sítě, řízené služby), s výjimkou služeb vytvářejících důvěru, hlásí všechny incidenty s významným dopadem na poskytování služby podle prováděcího předpisu Komise (§ 18 odst. 2). Povinnost hlásit začíná nejpozději do 1 roku od doručení rozhodnutí o registraci (§ 15 odst. 4).